Anzeige

Anzeige

VERANSTALTUNGEN

OMX 2018
22.11.18 - 22.11.18
In Salzburg, Österreich

SEOkomm 2018
23.11.18 - 23.11.18
In Salzburg, Österreich

Blockchain Business Summit
03.12.18 - 03.12.18
In Nürnberg

Cyber Risk Convention
05.12.18 - 05.12.18
In Köln

IT-Tage 2018
10.12.18 - 13.12.18
In Frankfurt

Anzeige

Anzeige

Anzeige

Angler am See

Unit 42, das Forschungsteam von Palo Alto Networks, hat Cyberangriffe beobachtet, die sie unter dem Schlagwort „MuddyWater“ zusammenfasst. Es handelt sich um spionagebezogene Attacken, die auf Täuschung setzen.

Zum Hintergrund der Namensgebung: Bisher herrschte große Verwirrung in der Sicherheitscommunity bei der Zuordnung dieser Bedrohung, ähnlich dem Fischen in trüben Gewässern. Obwohl die Aktivität zuvor von anderen Quellen mit der FIN7-Gruppe in Verbindung gebracht wurde, deuten die Forschungsergebnisse von Palo Alto Networks darauf hin, dass die Aktivität tatsächlich spionagebezogen ist und wahrscheinlich nicht mit FIN7 zusammenhängt.

Die MuddyWater-Angriffe richten sich gegen Ziele in verschiedenen Ländern. MuddyWater-Angriffe sind durch die Verwendung einer sich langsam entwickelnden PowerShell-basierten Backdoor der ersten Stufe gekennzeichnet, die Unit 42 als „PowerStats“ bezeichnet. Trotz umfassender Aufdeckung und vielen Berichten über MuddyWater-Angriffe setzten die Angreifer ihre Aktivitäten mit nur schrittweisen Änderungen an den Tools und Techniken fort.

Das Forschungsteam von Palo Alto Networks stieß zuletzt auf eine Reihe schädlicher Dateien, die fast identisch mit denen waren, die zuvor von den Experten von MalwareBytes und Morphisec diskutiert wurden und auf Regierungsorganisationen abzielten. Diese Angriffe wurden auch von mehreren anderen Forschern verfolgt und die Erkenntnisse auf Twitter und in anderen Medien veröffentlicht. Die MuddyWater-Aktivitäten waren im gesamten Jahr 2017 konsistent und richteten sich laut Analyse von Unit 42 auf Ziele in mindestens neun Ländern.

Die schädlichen Dokumente wurden entsprechend der Zielregionen angepasst, wobei häufig die Logos von lokalen Behörden verwendet wurden, und forderten die Benutzer auf, Sicherheitskontrollen zu umgehen und Makros zu aktivieren. Ein immer wiederkehrendes Thema früherer Berichte war der Open-Source-Charakter vieler der von MuddyWater verwendeten Tools: Meterpreter, Mimikatz, Lazagne, Invoke-Obfuscation etc. In ihren jüngsten Angriffsdokumenten verwendeten die Angreifer teilweise GitHub als Hosting-Site für ihre eigene Backdoor PowerStats. In einigen Fällen beobachteten die Forscher, dass manipulierte Konten bei Unternehmen die Malware versendeten. Diese Nutzung von fremden Unternehmen zum Angriff auf weitere Ziele ist ein riskanter Schachzug der Angreifer, da sie damit potenziell ihre Aktivitäten innerhalb der kompromittierten Unternehmen offenlegen.

Als sich die Forscher von Unit 42 das Cluster von Aktivitäten ansahen, die aus spionagefokussierten Angriffen zu bestehen schienen, waren sie erstaunt, da die bislang veröffentlichten Berichte diese Angriffe auf FIN7 zurückführten. FIN7 ist jedoch eine finanziell motivierte Gruppe von Kriminellen mit Zielen in den Bereichen Gastronomie, Dienstleistungen und Finanzsektor. Die Verbindung zu FIN7 basierte aber im Wesentlichen auf einem Download eines nichtöffentlichen „DNSMessenger“-Tools von einem MuddyWater-C2-Server.

Unit 42 hat seine jüngsten Erkenntnisse zusammengefasst, um die bisher öffentlich aufgestellten Hypothesen zu bewerten.

  1. Der Bedrohungsakteur FIN7 beteiligt sich auch an Spionage im Nahen Osten: unwahrscheinlich
  2. Die DNSMessenger-Malware ist ein gemeinsam genutztes Tool, das von FIN7, MuddyWater und möglicherweise anderen Gruppen verwendet wird: unwahrscheinlich
  3. In der ursprünglichen Morphisec-Analyse gab es einen Fehler, wodurch diese Angriffe mit FIN7 verknüpft wurden: möglich
  4. Die Angreifer erkannten, dass sie untersucht wurden und legten eine falsche Fährte an: möglich

www.paloaltonetworks.com
 

GRID LIST
Drohne

Gefährdung der IT-Sicherheit durch Drohnen

NTT Security (Germany), das auf Sicherheit spezialisierte Unternehmen und „Security…
Tb W190 H80 Crop Int C643b2c4d7af3e5bf9a53fb7d888e4a0

E-Mail-Sicherheit in der Praxis weiterhin vernachlässigt

Vor einigen Wochen veröffentlichte das BSI (Bundesamt für Sicherheit in der…
Wurm

30-jähriges Jubiläum des Morris-Wurms - Nehmen wir die Cyber Security ernst?

Am 2. November 2018 sind 30 Jahre seit der Verbreitung des berüchtigten Morris-Wurms…
GandCrab

Bitdefender entschlüsselt Ransomware GandCrab

Bitdefender hat ein Entschlüsselungswerkzeug für neueste Versionen der…
Advanced Persistent Threats

APT-Attacken: Erkennungsverfahren zur zuverlässigen Abwehr

Advanced Persistent Threats (APT) gehören zu den größten Gefahren in der IT. Dabei…
Hacker

Comment Crew: Ein alter Bekannter oder sind Nachahmer unterwegs?

Vor fünf Jahren wurde publik, dass eine chinesische Hackergruppe namens APT1 oder Comment…
Smarte News aus der IT-Welt