Anzeige

Hacker

Die Sofacy-Gruppe, auch bekannt unter den Namen APT28, Fancy Bear, STRONTIUM, Sednit, Zarenteam und Pawn Storm, wird auch 2018 sehr aktiv bleiben, so die jüngste Einschätzung von Palo Alto Networks.

Die Forschungsabteilung Unit 42 beobachtet diese kriminelle Gruppe bereits seit geraumer Zeit, aufgrund ihrer anhaltenden weltweiten schädlichen Aktivitäten über alle Branchen hinweg, bis in den öffentlichen Sektor hinein. Zuletzt entdeckte Unit 42 eine Kampagne, die sich gegen verschiedene Außenministerien weltweit richtete. Interessanterweise fanden innerhalb der Kampagne offensichtlich zwei parallele Aktivitäten statt, wobei jeweils ein völlig anderes Tool-Set für die Angriffe zum Einsatz kam.

Anfang Februar entdeckten die Forscher von Palo Alto Networks einen Angriff auf zwei Regierungsinstitutionen, eine davon in Europa und die andere in Nordamerika. Als anfänglicher Angriffsvektor diente eine Phishing-E-Mail mit einer gefälschten Absenderadresse, angeblich von Jane’s by IHSMarkit, ein bekannter Anbieter von Informationen und Analysen im Verteidigungs- und Regierungsumfeld. Der als Lockvogel dienende Text in der Phishing-E-Mail besagte, dass als Anhang ein Eventkalender beigefügt ist, der für die Empfänger relevante Termine enthält. Zudem waren spezifische Anweisungen enthalten zu Aktionen, die das Opfer ergreifen müsste, wenn „Schwierigkeiten beim Anzeigen des Dokuments“ auftreten würden.

Der Anhang selbst ist ein Microsoft Excel-Dokument, das ein bösartiges Makroskript enthält. Ein Loader-Trojaner ist dabei für die Installation und Ausführung der Nutzlast dieses Angriffs verantwortlich. Die cdnver.dll-Nutzlast, die von der Loader-Programmdatei installiert wird, ist eine Variante der SofacyCarberp-Nutzlast, die von der Gruppe häufig verwendet wird. Insgesamt führt SofacyCarberp eine erste Erkundung durch, indem es Systeminformationen sammelt und diese an einen C2-Server sendet, bevor zusätzliche Tools auf das System heruntergeladen werden.

Der Loader und das SofacyCarberp-Sample, die bei diesem Angriff geliefert wurden, ähneln denen, die Unit 42 in der Vergangenheit bereits analysiert hatte, enthalten jedoch deutliche Unterschiede. Dazu gehören ein neuer Hashalgorithmus zum Auflösen von API-Funktionen und zum Auffinden laufender Browserprozesse für die Injektion sowie Änderungen an den C2-Kommunikationsmechanismen.

Es scheint so, als ob Sofacy auf ein Open-Source-Tool namens Luckystrike zurückgriff, um das Zustelldokument und/oder das Makro zu generieren, das bei diesem Angriff verwendet wurde. Luckystrike, das im September 2016 auf der DerbyCon 6 vorgestellt wurde, ist ein Microsoft PowerShell-basiertes Tool, das bösartige Zustelldokumente generiert, indem es einem Benutzer ermöglicht, einem Excel- oder Word-Dokument ein Makro hinzuzufügen, um eine eingebettete Nutzlast auszuführen. Die Forscher von Palo Alto Networks glauben, dass Sofacy dieses Tool verwendet hat, da das Makro in seinem Lieferdokument den Makros in Luckystrike ähnelt.

Die Nutzung dieser Erkenntnisse ermöglichte es Palo Alto Networks, potenzielle C2-Domains vorherzusagen, die schließlich von der Sofacy-Gruppe verwendet werden würden. In diesem Szenario wurde die Domain cdnverify[.]net am 30. Januar 2018 registriert – und nur zwei Tage später wurde ein Angriff mit dieser C2-Domain gestartet.

Die Sofacy-Gruppe sollte in diesem Stadium daher keine unbekannte Bedrohung mehr sein. Sie wurde gut dokumentiert und gut erforscht, wobei viele ihrer Angriffsmethoden aufgedeckt wurden. Die cyberkriminelle Gruppe ist dennoch weiterhin hartnäckig in ihren Angriffskampagnen und verwendet ähnliche Tools wie in der Vergangenheit. Dies führte die Forscher zu der Annahme, dass ihre Angriffsversuche wahrscheinlich immer noch erfolgreich sind, trotz der Fülle an Bedrohungsinformationen, die öffentlich verfügbar sind. Die Nutzung dieser Daten bleibt eine Herausforderung.

Weitere Informationen zu den o.g. Beobachtungen finden Sie hier.
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Hacker Computer

Sinkendes Vertrauen unter Cyberkriminellen

Trend Micro, ein Anbieter von IT-Sicherheitslösungen, hat neue Erkenntnisse zu cyberkriminellen Aktivitäten sowie dem Handel mit Produkten und Dienstleistungen im Cyber-Untergrund veröffentlicht. Demnach schwindet das Vertrauen unter Cyberkriminellen…
Web-Traffic

Web-Traffic erholt sich nach COVID-19-Einschränkungen

Die Corona-Pandemie wirkt sich weiterhin auf die Auslastung des Internets und die Cyber-Sicherheit aus. In den Branchen Finanzdienstleistungen, Sport und Tourismus steigt der Datenverkehr aber wieder. Das sind die wichtigsten Ergebnisse des Cyber Threat Index…
Umfassende Security-Lösung

Zentrale Kontrolle von On-Premises-, Cloud- und IoT-Umgebungen

Wie wäre es mit einem Produkt mit leistungsstarken Funktionen zur Zusammenführung von Bedrohungsdaten und der zentralen Kontrolle von On-Premises-, Cloud- und IoT-Umgebungen? Ein solches Produkt mit dem unförmigen Namen Reveal(x) 360 kündigt ExtraHop an.
E-Commerce

Account-Übernahme-Angriffe im E-Commerce steigen

Jedes zehnte Kundenkonto ist in Deutschland innerhalb des letzten Jahres von Betrügern übernommen worden – das gibt fast die Hälfte (44 Prozent) von 100 deutschen Online-Händlern an.

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!