Spionagebezogene Attacken

Gezielte Cyberangriffe von „MuddyWater“

Unit 42, das Forschungsteam von Palo Alto Networks, hat Cyberangriffe beobachtet, die sie unter dem Schlagwort „MuddyWater“ zusammenfasst. Es handelt sich um spionagebezogene Attacken, die auf Täuschung setzen.

Zum Hintergrund der Namensgebung: Bisher herrschte große Verwirrung in der Sicherheitscommunity bei der Zuordnung dieser Bedrohung, ähnlich dem Fischen in trüben Gewässern. Obwohl die Aktivität zuvor von anderen Quellen mit der FIN7-Gruppe in Verbindung gebracht wurde, deuten die Forschungsergebnisse von Palo Alto Networks darauf hin, dass die Aktivität tatsächlich spionagebezogen ist und wahrscheinlich nicht mit FIN7 zusammenhängt.

Anzeige

Die MuddyWater-Angriffe richten sich gegen Ziele in verschiedenen Ländern. MuddyWater-Angriffe sind durch die Verwendung einer sich langsam entwickelnden PowerShell-basierten Backdoor der ersten Stufe gekennzeichnet, die Unit 42 als „PowerStats“ bezeichnet. Trotz umfassender Aufdeckung und vielen Berichten über MuddyWater-Angriffe setzten die Angreifer ihre Aktivitäten mit nur schrittweisen Änderungen an den Tools und Techniken fort.

Die Forschung

Das Forschungsteam von Palo Alto Networks stieß zuletzt auf eine Reihe schädlicher Dateien, die fast identisch mit denen waren, die zuvor von den Experten von MalwareBytes und Morphisec diskutiert wurden und auf Regierungsorganisationen abzielten. Diese Angriffe wurden auch von mehreren anderen Forschern verfolgt und die Erkenntnisse auf Twitter und in anderen Medien veröffentlicht. Die MuddyWater-Aktivitäten waren im gesamten Jahr 2017 konsistent und richteten sich laut Analyse von Unit 42 auf Ziele in mindestens neun Ländern.

Die schädlichen Dokumente wurden entsprechend der Zielregionen angepasst, wobei häufig die Logos von lokalen Behörden verwendet wurden, und forderten die Benutzer auf, Sicherheitskontrollen zu umgehen und Makros zu aktivieren. Ein immer wiederkehrendes Thema früherer Berichte war der Open-Source-Charakter vieler der von MuddyWater verwendeten Tools: Meterpreter, Mimikatz, Lazagne, Invoke-Obfuscation etc. In ihren jüngsten Angriffsdokumenten verwendeten die Angreifer teilweise GitHub als Hosting-Site für ihre eigene Backdoor PowerStats. In einigen Fällen beobachteten die Forscher, dass manipulierte Konten bei Unternehmen die Malware versendeten. Diese Nutzung von fremden Unternehmen zum Angriff auf weitere Ziele ist ein riskanter Schachzug der Angreifer, da sie damit potenziell ihre Aktivitäten innerhalb der kompromittierten Unternehmen offenlegen.

Als sich die Forscher von Unit 42 das Cluster von Aktivitäten ansahen, die aus spionagefokussierten Angriffen zu bestehen schienen, waren sie erstaunt, da die bislang veröffentlichten Berichte diese Angriffe auf FIN7 zurückführten. FIN7 ist jedoch eine finanziell motivierte Gruppe von Kriminellen mit Zielen in den Bereichen Gastronomie, Dienstleistungen und Finanzsektor. Die Verbindung zu FIN7 basierte aber im Wesentlichen auf einem Download eines nichtöffentlichen „DNSMessenger“-Tools von einem MuddyWater-C2-Server.

Anzeige

Weitere Artikel

Newsletter
Newsletter Box

Mit Klick auf den Button "Jetzt Anmelden" stimme ich der Datenschutzerklärung zu.