VERANSTALTUNGEN

DAHO.AM
24.07.18 - 24.07.18
In München

IT-Sourcing 2018
03.09.18 - 04.09.18
In Hamburg

2. Jahrestagung Cyber Security Berlin
11.09.18 - 12.09.18
In Berlin

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Hacker

Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier – mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen.

Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

Sofacy ist eine sehr aktive Cyberspionagegruppe, deren Aktivitäten Kaspersky Lab bereits seit vielen Jahren beobachtet. Erst im Februar 2018 veröffentlichte Kaspersky Lab eine Zusammenstellung der Sofacy-Aktivitäten im Jahr 2017. Sie zeigt die allmähliche Verlagerung weg von NATO-bezogenen Zielen in Richtung Naher Osten, Zentralasien und Fernost. Sofacy operiert mit Spear-Phishing- und gelegentlich auch mit Wasserloch-Methoden. Zu den gestohlenen Informationen gehören Zugangsdaten, sensible Kommunikationsdaten und Dokumente. Die Gruppe wird verdächtigt, auch zerstörerische Payloads zu verbreiten.

Neue Erkenntnisse zeigen nun, dass Sofacy nicht der einzige Akteur ist, der in den genannten Regionen aktiv ist. Dabei kam es auch zu Überschneidungen mit anderen Bedrohungsakteuren. So konkurrierte die zu Sofacy gehörende Zebrocy-Malware bereits mit dem russischsprachigen Mosquito Turla Cluster, oder seine SPLM Backdoor mit Angriffen der klassischen Turla-Gruppe und dem chinesischsprachigen Akteur Danti. Zu den von mehreren Akteuren attackierten Zielen gehörten staatliche Stellen sowie Organisationen aus Technik, Wissenschaft und Verteidigung in oder aus Zentralasien.

Die außergewöhnlichste Überlappung ist aber wahrscheinlich jene zwischen Sofacy und dem englischsprachigen Bedrohungsakteur, der hinter Lamberts steckt. Die Kaspersky-Experten stießen auf diese Verbindung, als sie Sofacy auf einem Server entdeckten, der bereits von der Grey-Lamberts-Malware befallen worden war. Der Server gehört zu einem chinesischen Mischkonzern, der im Bereich ziviler und militärischer Luftfahrttechnologie tätig ist.

Die Forschungsarbeiten zu diesem Fall laufen noch. Aktuell kann noch nicht ausgeschlossen werden, dass Sofacy einen neuen, bislang unentdeckten Exploit nutzt, dass Sofacy für den Malware-Download Kommunikationskanäle von Grey Lamberts gekapert hat, oder dass es sich bei den Sofacy-Hinweisen um falsche Flaggen (False Flag) handelt.

„Manchmal wird Sofacy als wild und ungestüm dargestellt. Wir sehen aber, dass die Gruppe auch pragmatisch, bedächtig und flexibel sein kann“, erklärt Kurt Baumgartner, Principal Security Researcher bei Kaspersky Lab. „Über die Sofacy-Aktivitäten in Asien wird wenig berichtet, doch ist es sicher nicht der einzige Bedrohungsakteur, der an dieser Region Interesse gefunden hat – sogar an ein und denselben Zielen. Die Bedrohungslandschaft wird immer komplexer, und so werden wir noch weitere Beispiele für die Wahl identischer Ziele sehen. Das würde erklären, warum viele Bedrohungsakteure zunächst die Präsenz anderer Eindringlinge prüfen, bevor sie mit ihren Angriffen vollständig loslegen.“

Die Kaspersky-Experten haben auch herausgefunden, dass Sofacy jetzt getrennte Abteilungen für jedes seiner wichtigsten Tools unterhält. Gebündelt werden dabei das Coding, die Entwicklung und das Targeting von SPLM (auch bekannt unter CHOPSTICK und Xagent), von GAMEFISH und von Zebrocy. Dabei ist SPLM das bevorzugte und am häufigsten verwendete Second Stage Tool, während Zebrocy für Massenangriffe eingesetzt wird. Die Experten gehen davon aus, dass Sofacy zu Beginn des Jahres 2018 SPLM bei Großunternehmen der Luftverteidigung in China eingesetzt hat, während Zebrocy größere Verbreitung in Armenien, der Türkei, in Kasachstan, Tadschikistan, Afghanistan, der Mongolei, in China und in Japan fand.

Kaspersky Lab: Maßnahmen zur Abwehr

Alle Kaspersky-Lösungen erkennen die bekannten Sofacy-Attacken und machen sie unschädlich. Bei einigen anspruchsvolleren Desinfektionsmaßnahmen ist ein Reboot erforderlich.

In den betroffenen Regionen rät Kaspersky Lab allen militärischen Einrichtungen sowie allen Organisationen, die mit Verteidigung und Außenbeziehungen zu tun haben, die Umsetzung der folgenden Maßnahmen, um nicht selbst Opfer gezielter Angriffe zu werden:

  • Unternehmen sollten geeignete Sicherheitslösungen in Kombination mit Technologien zur Abwehr zielgerichteter Angriffe und Threat Intelligence einsetzen, wie sie etwa die Lösung Kaspersky Threat Management and Defense bietet. Über die Analyse von Anomalien im Netzwerk werden hochentwickelte gezielte Angriffe sichtbar. Cybersicherheits-Teams erhalten einen vollständigen Einblick in das Netzwerk und die automatische Vorfallreaktion.
     
  • Alle Mitarbeiter der Sicherheits-Teams sollten Zugang zu aktuellen Threat-Intelligence-Informationen haben. Dann können sie sich mit hilfreichen Tools wappnen, die zur Inspektion und Abwehr gezielter Angriffe eingesetzt werden können, wie zum Beispiel Kompromittierungsindikatoren (IOC), YARA und kundenspezifisches Advanced Threat Reporting.
     
  • Werden frühzeitig Indikatoren für einen zielgerichteten Angriff gefunden, sollte die Inanspruchnahme von Managed Protection Services erwogen werden. Damit lassen sich proaktiv hochentwickelte Bedrohungen erkennen, deren Überlebensdauer reduzieren und zeitnah Maßnahmen zur Vorfallreaktion einleiten.

Weitere Details zu den Sofacy-Aktivitäten im Jahr 2018 und technische Informationen über die damit verbundenen Tools sind im Blog von Kaspersky zu finden.
 

GRID LIST
Hacker im Visir

Drittanbieter-Software im Fokus von Hackern – was können MSP tun?

Der traditionelle Ansatz der IT lautet: Wenn dein Betriebssystem gepatcht ist, dann ist…
KI Security

Falsche Abwehrstrategie zwingt die IT-Sicherheitsbranche in Aufrüstspirale

Anbieter von Sicherheitssoftware vermarkten den Einsatz von KI in ihren Produkten als…
Tb W190 H80 Crop Int E6b1eed76833e40b6dff0a1070b0694f

Cyber-Kriminelle nutzen Fake-App für Malware

Im vergangenen Monat haben Cyber-Kriminelle mithilfe einer gefälschten App des…
Tb W190 H80 Crop Int Db461ec563234e57f2cba9109df3ec5f

Kryptowährungen im Überblick

Seit 2010 ist der Vormarsch der sogenannten Kryptowährungen nicht mehr aufzuhalten. Dabei…
Ransomware Lösegeld

Ransomware: Warnung vor Lösegeldzahlung

Cyberkriminelle „kidnappen“ Daten und Computer von Organisationen und Einzelpersonen. Der…
Tb W190 H80 Crop Int C47c64413dabc5f83c8af1202d07c3d8

Vernetzung bedeutet höhere Gefährdung für KRITIS-Betreiber

Digitalisierung und die zunehmende Vernetzung aller Versorgungsbereiche stellen den…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security