Hacker

Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier – mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen.

Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

Sofacy ist eine sehr aktive Cyberspionagegruppe, deren Aktivitäten Kaspersky Lab bereits seit vielen Jahren beobachtet. Erst im Februar 2018 veröffentlichte Kaspersky Lab eine Zusammenstellung der Sofacy-Aktivitäten im Jahr 2017. Sie zeigt die allmähliche Verlagerung weg von NATO-bezogenen Zielen in Richtung Naher Osten, Zentralasien und Fernost. Sofacy operiert mit Spear-Phishing- und gelegentlich auch mit Wasserloch-Methoden. Zu den gestohlenen Informationen gehören Zugangsdaten, sensible Kommunikationsdaten und Dokumente. Die Gruppe wird verdächtigt, auch zerstörerische Payloads zu verbreiten.

Neue Erkenntnisse zeigen nun, dass Sofacy nicht der einzige Akteur ist, der in den genannten Regionen aktiv ist. Dabei kam es auch zu Überschneidungen mit anderen Bedrohungsakteuren. So konkurrierte die zu Sofacy gehörende Zebrocy-Malware bereits mit dem russischsprachigen Mosquito Turla Cluster, oder seine SPLM Backdoor mit Angriffen der klassischen Turla-Gruppe und dem chinesischsprachigen Akteur Danti. Zu den von mehreren Akteuren attackierten Zielen gehörten staatliche Stellen sowie Organisationen aus Technik, Wissenschaft und Verteidigung in oder aus Zentralasien.

Die außergewöhnlichste Überlappung ist aber wahrscheinlich jene zwischen Sofacy und dem englischsprachigen Bedrohungsakteur, der hinter Lamberts steckt. Die Kaspersky-Experten stießen auf diese Verbindung, als sie Sofacy auf einem Server entdeckten, der bereits von der Grey-Lamberts-Malware befallen worden war. Der Server gehört zu einem chinesischen Mischkonzern, der im Bereich ziviler und militärischer Luftfahrttechnologie tätig ist.

Die Forschungsarbeiten zu diesem Fall laufen noch. Aktuell kann noch nicht ausgeschlossen werden, dass Sofacy einen neuen, bislang unentdeckten Exploit nutzt, dass Sofacy für den Malware-Download Kommunikationskanäle von Grey Lamberts gekapert hat, oder dass es sich bei den Sofacy-Hinweisen um falsche Flaggen (False Flag) handelt.

„Manchmal wird Sofacy als wild und ungestüm dargestellt. Wir sehen aber, dass die Gruppe auch pragmatisch, bedächtig und flexibel sein kann“, erklärt Kurt Baumgartner, Principal Security Researcher bei Kaspersky Lab. „Über die Sofacy-Aktivitäten in Asien wird wenig berichtet, doch ist es sicher nicht der einzige Bedrohungsakteur, der an dieser Region Interesse gefunden hat – sogar an ein und denselben Zielen. Die Bedrohungslandschaft wird immer komplexer, und so werden wir noch weitere Beispiele für die Wahl identischer Ziele sehen. Das würde erklären, warum viele Bedrohungsakteure zunächst die Präsenz anderer Eindringlinge prüfen, bevor sie mit ihren Angriffen vollständig loslegen.“

Die Kaspersky-Experten haben auch herausgefunden, dass Sofacy jetzt getrennte Abteilungen für jedes seiner wichtigsten Tools unterhält. Gebündelt werden dabei das Coding, die Entwicklung und das Targeting von SPLM (auch bekannt unter CHOPSTICK und Xagent), von GAMEFISH und von Zebrocy. Dabei ist SPLM das bevorzugte und am häufigsten verwendete Second Stage Tool, während Zebrocy für Massenangriffe eingesetzt wird. Die Experten gehen davon aus, dass Sofacy zu Beginn des Jahres 2018 SPLM bei Großunternehmen der Luftverteidigung in China eingesetzt hat, während Zebrocy größere Verbreitung in Armenien, der Türkei, in Kasachstan, Tadschikistan, Afghanistan, der Mongolei, in China und in Japan fand.

Kaspersky Lab: Maßnahmen zur Abwehr

Alle Kaspersky-Lösungen erkennen die bekannten Sofacy-Attacken und machen sie unschädlich. Bei einigen anspruchsvolleren Desinfektionsmaßnahmen ist ein Reboot erforderlich.

In den betroffenen Regionen rät Kaspersky Lab allen militärischen Einrichtungen sowie allen Organisationen, die mit Verteidigung und Außenbeziehungen zu tun haben, die Umsetzung der folgenden Maßnahmen, um nicht selbst Opfer gezielter Angriffe zu werden:

  • Unternehmen sollten geeignete Sicherheitslösungen in Kombination mit Technologien zur Abwehr zielgerichteter Angriffe und Threat Intelligence einsetzen, wie sie etwa die Lösung Kaspersky Threat Management and Defense bietet. Über die Analyse von Anomalien im Netzwerk werden hochentwickelte gezielte Angriffe sichtbar. Cybersicherheits-Teams erhalten einen vollständigen Einblick in das Netzwerk und die automatische Vorfallreaktion.
     
  • Alle Mitarbeiter der Sicherheits-Teams sollten Zugang zu aktuellen Threat-Intelligence-Informationen haben. Dann können sie sich mit hilfreichen Tools wappnen, die zur Inspektion und Abwehr gezielter Angriffe eingesetzt werden können, wie zum Beispiel Kompromittierungsindikatoren (IOC), YARA und kundenspezifisches Advanced Threat Reporting.
     
  • Werden frühzeitig Indikatoren für einen zielgerichteten Angriff gefunden, sollte die Inanspruchnahme von Managed Protection Services erwogen werden. Damit lassen sich proaktiv hochentwickelte Bedrohungen erkennen, deren Überlebensdauer reduzieren und zeitnah Maßnahmen zur Vorfallreaktion einleiten.

Weitere Details zu den Sofacy-Aktivitäten im Jahr 2018 und technische Informationen über die damit verbundenen Tools sind im Blog von Kaspersky zu finden.
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Hacker Bluetooth

Sweyntooth: 10 neue Sicherheitslücken bei Bluetooth Chips

Beim Thema Sicherheitslücken werden die meisten Menschen zuerst an das Internet denken. Tatsächlich ist das die größte Gefahrenquelle, aber längst nicht die einzige, denn Malware oder Hacker können auch Fehler in anderen Geräteverbindungen ausnutzen.
Insider Threat

Insider-Bedrohungen sind meist das Ergebnis fahrlässigen Verhaltens

Proofpoint veröffentlichte seine weltweite Studie zum Thema Insider-Bedrohungen 2020. So zeigt der Bericht, dass Unternehmen im Durchschnitt jährlich 11,45 Millionen Dollar für die Beseitigung von Insider-Bedrohungen ausgaben und mehr als zwei Monate (77…
Bank

Hacking und Malware als Hauptursachen der Datenschutzverletzungen im Finanzwesen

Cloud-Security-Anbieter Bitglass hat seinen aktuellen Bericht zu Datenschutzverletzungen im Finanzwesen 2019 veröffentlicht. Jedes Jahr analysiert Bitglass die neuesten Trends, größten Verstöße und gravierendsten Bedrohungen bei…
Smart Home Security

Tipps für mehr Sicherheit im Smart Home

Rund neun Millionen Haushalte in Deutschland sind nach Schätzungen des Statista Digital Market Outlooks bereits „smart“, das heißt vernetzt, zentral steuer- und programmierbar. Bis zum Jahr 2023 soll die Zahl der Smart Homes auf 13,5 Millionen steigen.
Malware

Top Malware für Januar 2020: Corona-Virus als Spam

Check Point Research (NASDAQ: CHKP), hat seinen Global Threat Index für Januar 2020 veröffentlicht. Die Experten berichten, dass Emotet bereits im vierten Monat in Folge die führende Malware ist und sich derzeit mit der Hilfe einer Spam-Kampagne zum…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!