VERANSTALTUNGEN

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Internet World Congress
09.10.18 - 10.10.18
In München

plentymarkets Omni-Channel Day 2018
12.10.18 - 12.10.18
In Kassel

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

4. Esslinger Forum: Das Internet der Dinge
17.10.18 - 17.10.18
In Esslingen

Angler am See

Unit 42, das Forschungsteam von Palo Alto Networks, hat Cyberangriffe beobachtet, die sie unter dem Schlagwort „MuddyWater“ zusammenfasst. Es handelt sich um spionagebezogene Attacken, die auf Täuschung setzen.

Zum Hintergrund der Namensgebung: Bisher herrschte große Verwirrung in der Sicherheitscommunity bei der Zuordnung dieser Bedrohung, ähnlich dem Fischen in trüben Gewässern. Obwohl die Aktivität zuvor von anderen Quellen mit der FIN7-Gruppe in Verbindung gebracht wurde, deuten die Forschungsergebnisse von Palo Alto Networks darauf hin, dass die Aktivität tatsächlich spionagebezogen ist und wahrscheinlich nicht mit FIN7 zusammenhängt.

Die MuddyWater-Angriffe richten sich gegen Ziele in verschiedenen Ländern. MuddyWater-Angriffe sind durch die Verwendung einer sich langsam entwickelnden PowerShell-basierten Backdoor der ersten Stufe gekennzeichnet, die Unit 42 als „PowerStats“ bezeichnet. Trotz umfassender Aufdeckung und vielen Berichten über MuddyWater-Angriffe setzten die Angreifer ihre Aktivitäten mit nur schrittweisen Änderungen an den Tools und Techniken fort.

Das Forschungsteam von Palo Alto Networks stieß zuletzt auf eine Reihe schädlicher Dateien, die fast identisch mit denen waren, die zuvor von den Experten von MalwareBytes und Morphisec diskutiert wurden und auf Regierungsorganisationen abzielten. Diese Angriffe wurden auch von mehreren anderen Forschern verfolgt und die Erkenntnisse auf Twitter und in anderen Medien veröffentlicht. Die MuddyWater-Aktivitäten waren im gesamten Jahr 2017 konsistent und richteten sich laut Analyse von Unit 42 auf Ziele in mindestens neun Ländern.

Die schädlichen Dokumente wurden entsprechend der Zielregionen angepasst, wobei häufig die Logos von lokalen Behörden verwendet wurden, und forderten die Benutzer auf, Sicherheitskontrollen zu umgehen und Makros zu aktivieren. Ein immer wiederkehrendes Thema früherer Berichte war der Open-Source-Charakter vieler der von MuddyWater verwendeten Tools: Meterpreter, Mimikatz, Lazagne, Invoke-Obfuscation etc. In ihren jüngsten Angriffsdokumenten verwendeten die Angreifer teilweise GitHub als Hosting-Site für ihre eigene Backdoor PowerStats. In einigen Fällen beobachteten die Forscher, dass manipulierte Konten bei Unternehmen die Malware versendeten. Diese Nutzung von fremden Unternehmen zum Angriff auf weitere Ziele ist ein riskanter Schachzug der Angreifer, da sie damit potenziell ihre Aktivitäten innerhalb der kompromittierten Unternehmen offenlegen.

Als sich die Forscher von Unit 42 das Cluster von Aktivitäten ansahen, die aus spionagefokussierten Angriffen zu bestehen schienen, waren sie erstaunt, da die bislang veröffentlichten Berichte diese Angriffe auf FIN7 zurückführten. FIN7 ist jedoch eine finanziell motivierte Gruppe von Kriminellen mit Zielen in den Bereichen Gastronomie, Dienstleistungen und Finanzsektor. Die Verbindung zu FIN7 basierte aber im Wesentlichen auf einem Download eines nichtöffentlichen „DNSMessenger“-Tools von einem MuddyWater-C2-Server.

Unit 42 hat seine jüngsten Erkenntnisse zusammengefasst, um die bisher öffentlich aufgestellten Hypothesen zu bewerten.

  1. Der Bedrohungsakteur FIN7 beteiligt sich auch an Spionage im Nahen Osten: unwahrscheinlich
  2. Die DNSMessenger-Malware ist ein gemeinsam genutztes Tool, das von FIN7, MuddyWater und möglicherweise anderen Gruppen verwendet wird: unwahrscheinlich
  3. In der ursprünglichen Morphisec-Analyse gab es einen Fehler, wodurch diese Angriffe mit FIN7 verknüpft wurden: möglich
  4. Die Angreifer erkannten, dass sie untersucht wurden und legten eine falsche Fährte an: möglich

www.paloaltonetworks.com
 

GRID LIST
Hacker

Anstieg des CEO-Frauds beobachtet

Das Volumen von Phising-Nachrichten mit CEO-Fraud-Inhalt, die gemeldet wurden, hat sich…
Hacker Kamera

Zero‑Day‑Schwachstelle in Videoüberwachungs‑Software entdeckt

Mit der „Peekaboo” getauften Schwachstelle können Cyberkriminelle die Aufnahmen…
Hacker

Kryptomining-Malware in Kodi Add-ons enttarnt

Die Benutzer von Kodi sollten sich ihre installierten Zusatzprogramme nochmal ganz genau…
Hacker

Hacker-Gruppe LuckyMouse signiert Malware mit legitimem Zertifikat

Die Experten von Kaspersky Lab (GReAT) haben mehrere Infektionen eines bisher unbekannten…
Trojaner

Verbreitung von Mining-Trojanern für Windows und Linux

Im vergangenen Monat gerieten erneut Mining-Trojaner in das Visier der Virenanalysten von…
Schloss

Wie lassen sich falsche Webzertifikate ausstellen?

Ein Forscherteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in…
Smarte News aus der IT-Welt