VERANSTALTUNGEN

USU World 2018
06.06.18 - 07.06.18
In World Conference Center Bonn

CEBIT 2018
11.06.18 - 15.06.18
In Hannover

ERP Tage Aachen
19.06.18 - 21.06.18
In Aachen

next IT Con
25.06.18 - 25.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

Hacker

Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier – mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen.

Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

Sofacy ist eine sehr aktive Cyberspionagegruppe, deren Aktivitäten Kaspersky Lab bereits seit vielen Jahren beobachtet. Erst im Februar 2018 veröffentlichte Kaspersky Lab eine Zusammenstellung der Sofacy-Aktivitäten im Jahr 2017. Sie zeigt die allmähliche Verlagerung weg von NATO-bezogenen Zielen in Richtung Naher Osten, Zentralasien und Fernost. Sofacy operiert mit Spear-Phishing- und gelegentlich auch mit Wasserloch-Methoden. Zu den gestohlenen Informationen gehören Zugangsdaten, sensible Kommunikationsdaten und Dokumente. Die Gruppe wird verdächtigt, auch zerstörerische Payloads zu verbreiten.

Neue Erkenntnisse zeigen nun, dass Sofacy nicht der einzige Akteur ist, der in den genannten Regionen aktiv ist. Dabei kam es auch zu Überschneidungen mit anderen Bedrohungsakteuren. So konkurrierte die zu Sofacy gehörende Zebrocy-Malware bereits mit dem russischsprachigen Mosquito Turla Cluster, oder seine SPLM Backdoor mit Angriffen der klassischen Turla-Gruppe und dem chinesischsprachigen Akteur Danti. Zu den von mehreren Akteuren attackierten Zielen gehörten staatliche Stellen sowie Organisationen aus Technik, Wissenschaft und Verteidigung in oder aus Zentralasien.

Die außergewöhnlichste Überlappung ist aber wahrscheinlich jene zwischen Sofacy und dem englischsprachigen Bedrohungsakteur, der hinter Lamberts steckt. Die Kaspersky-Experten stießen auf diese Verbindung, als sie Sofacy auf einem Server entdeckten, der bereits von der Grey-Lamberts-Malware befallen worden war. Der Server gehört zu einem chinesischen Mischkonzern, der im Bereich ziviler und militärischer Luftfahrttechnologie tätig ist.

Die Forschungsarbeiten zu diesem Fall laufen noch. Aktuell kann noch nicht ausgeschlossen werden, dass Sofacy einen neuen, bislang unentdeckten Exploit nutzt, dass Sofacy für den Malware-Download Kommunikationskanäle von Grey Lamberts gekapert hat, oder dass es sich bei den Sofacy-Hinweisen um falsche Flaggen (False Flag) handelt.

„Manchmal wird Sofacy als wild und ungestüm dargestellt. Wir sehen aber, dass die Gruppe auch pragmatisch, bedächtig und flexibel sein kann“, erklärt Kurt Baumgartner, Principal Security Researcher bei Kaspersky Lab. „Über die Sofacy-Aktivitäten in Asien wird wenig berichtet, doch ist es sicher nicht der einzige Bedrohungsakteur, der an dieser Region Interesse gefunden hat – sogar an ein und denselben Zielen. Die Bedrohungslandschaft wird immer komplexer, und so werden wir noch weitere Beispiele für die Wahl identischer Ziele sehen. Das würde erklären, warum viele Bedrohungsakteure zunächst die Präsenz anderer Eindringlinge prüfen, bevor sie mit ihren Angriffen vollständig loslegen.“

Die Kaspersky-Experten haben auch herausgefunden, dass Sofacy jetzt getrennte Abteilungen für jedes seiner wichtigsten Tools unterhält. Gebündelt werden dabei das Coding, die Entwicklung und das Targeting von SPLM (auch bekannt unter CHOPSTICK und Xagent), von GAMEFISH und von Zebrocy. Dabei ist SPLM das bevorzugte und am häufigsten verwendete Second Stage Tool, während Zebrocy für Massenangriffe eingesetzt wird. Die Experten gehen davon aus, dass Sofacy zu Beginn des Jahres 2018 SPLM bei Großunternehmen der Luftverteidigung in China eingesetzt hat, während Zebrocy größere Verbreitung in Armenien, der Türkei, in Kasachstan, Tadschikistan, Afghanistan, der Mongolei, in China und in Japan fand.

Kaspersky Lab: Maßnahmen zur Abwehr

Alle Kaspersky-Lösungen erkennen die bekannten Sofacy-Attacken und machen sie unschädlich. Bei einigen anspruchsvolleren Desinfektionsmaßnahmen ist ein Reboot erforderlich.

In den betroffenen Regionen rät Kaspersky Lab allen militärischen Einrichtungen sowie allen Organisationen, die mit Verteidigung und Außenbeziehungen zu tun haben, die Umsetzung der folgenden Maßnahmen, um nicht selbst Opfer gezielter Angriffe zu werden:

  • Unternehmen sollten geeignete Sicherheitslösungen in Kombination mit Technologien zur Abwehr zielgerichteter Angriffe und Threat Intelligence einsetzen, wie sie etwa die Lösung Kaspersky Threat Management and Defense bietet. Über die Analyse von Anomalien im Netzwerk werden hochentwickelte gezielte Angriffe sichtbar. Cybersicherheits-Teams erhalten einen vollständigen Einblick in das Netzwerk und die automatische Vorfallreaktion.
     
  • Alle Mitarbeiter der Sicherheits-Teams sollten Zugang zu aktuellen Threat-Intelligence-Informationen haben. Dann können sie sich mit hilfreichen Tools wappnen, die zur Inspektion und Abwehr gezielter Angriffe eingesetzt werden können, wie zum Beispiel Kompromittierungsindikatoren (IOC), YARA und kundenspezifisches Advanced Threat Reporting.
     
  • Werden frühzeitig Indikatoren für einen zielgerichteten Angriff gefunden, sollte die Inanspruchnahme von Managed Protection Services erwogen werden. Damit lassen sich proaktiv hochentwickelte Bedrohungen erkennen, deren Überlebensdauer reduzieren und zeitnah Maßnahmen zur Vorfallreaktion einleiten.

Weitere Details zu den Sofacy-Aktivitäten im Jahr 2018 und technische Informationen über die damit verbundenen Tools sind im Blog von Kaspersky zu finden.
 

GRID LIST
Tb W190 H80 Crop Int Cc956cb8b76a48ab25093365b37dfc0c

Spectre-NG: Weitere Sicherheitslücken in Prozessoren

Im Januar 2018 wurden unter den Bezeichnungen "Spectre" und "Meltdown" schwer zu…
Tb W190 H80 Crop Int Fff03ad1554fb492cd1df6c7ccf69ca1

Telegram Chatgruppen als neuen Marktplatz für Cybercrime

Die Sicherheitsforscher von Check Point Software Technologies, erkennen eine neue…
Tb W190 H80 Crop Int 6146d7037a40c2f874a1f5d3399939c7

User Bashing: Mitarbeiter sind mit IT-Sicherheit überfordert

Die IT-Sicherheit lädt zu viel Verantwortung auf den Mitarbeitern ab. Günter Junk, CEO…
Tb W190 H80 Crop Int Ffc884102cf599e1985eaa1355f9b2fa

Probleme PGP und S/MIME sind keine Überraschung

Verschlüsselte E-Mails sind „nicht mehr sicher“ - Forschern ist es gelungen, diesen…
Tb W190 H80 Crop Int 5db74c35038f85cc90618c59a5cf8fbe

E-Mail-Verschlüsselung bleibt sicher

Am 14.05.2018 veröffentlichte ein Team aus Sicherheitsforschern der Fachhochschule…
Tb W190 H80 Crop Int 7f34eb55b3556a8251b3162716d61345

Efail-Schwachstellen

Sicherheitsforscher der Fachhochschule Münster, der Ruhr-Universität Bochum sowie der…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security