Anzeige

Anzeige

VERANSTALTUNGEN

IT-SOURCING 2019 – Einkauf meets IT
09.09.19 - 10.09.19
In Düsseldorf

IT-Sourcing 2019 - Einkauf meets IT
09.09.19 - 10.09.19
In Düsseldorf

ACMP Competence Days Berlin
11.09.19 - 11.09.19
In Stiftung Deutsches Technikmuseum Berlin, Berlin

MCC CyberRisks - for Critical Infrastructures
12.09.19 - 13.09.19
In Hotel Maritim, Bonn

Rethink! IT 2019
16.09.19 - 17.09.19
In Berlin

Anzeige

Anzeige

Hacker

Die Experten von Kaspersky Lab (GReAT) haben mehrere Infektionen eines bisher unbekannten Trojaners entdeckt, der höchstwahrscheinlich vom chinesischsprachigen Bedrohungsakteur ,LuckyMouse‘ stammt.

Die Malware ist mit einem außergewöhnlichen Treiber ausgestattet, der mit einem legitimen digitalen Zertifikat eines Herstellers für Security-Software signiert ist.

Die Gruppe LuckyMouse ist bekannt für zielgerichtete Cyberangriffe auf große Unternehmen weltweit. Die Aktivitäten der Gruppe stellen eine Gefahr für ganze Regionen dar, da ihre Angriffe eine politische Agenda zu haben scheinen. Erst im vergangenen Juni hatte die Gruppe ein Datenzentrum in Zentralasien im Visier. Kaspersky Lab vermutet aus der Analyse der Opferprofile und der bisherigen Angriffsvektoren der Gruppe, dass der entdeckte Trojaner möglicherweise für staatlich unterstützte Cyberspionage eingesetzt wurde.

Kaspersky-Report zeigt Vorgehen von LuckyMouse

Der von Kaspersky Lab entdeckte Trojaner infizierte einen anvisierten Computer mit einem Treiber, der von den Bedrohungsakteuren selbst erstellt wurde. Damit konnten die Angreifer übliche Aufgaben wie Befehlsausführung, Down- und Upload von Dateien ausführen sowie den Netzwerkverkehr abfangen.

Der Treiber wurde offenbar mit einem gestohlenen digitalen Zertifikat versehen, das ursprünglich von einem Softwarehersteller für Informationssicherheit stammt, um ihn als vertrauenswürdig einstufen zu lassen. Damit sollte verhindert werden, dass die Malware-Samples von Sicherheitslösungen entdeckt werden – eine legitime Signatur lässt die Malware als legale Software erscheinen.

Obwohl der Akteur LuckyMouse in der Lage ist, selbst eigene schädliche Software zu erstellen, wurde für die verwendete Software scheinbar eine Kombination aus öffentlich zugänglichem Code aus öffentlichen Quellen und eigener Malware verwendet. Der Einsatz von gebrauchsfertigen Codes von Drittanbietern, anstatt eigenen Code zu schreiben, spart den Entwicklern Zeit und erschwert zudem die Zuschreibung (Attribuierung).

„LuckyMouse-Kampagnen erscheinen fast immer im Vorlauf eines hochkarätigen politischen Ereignisses und der Zeitpunkt eines Angriffs geht normalerweise einer Veranstaltung mit hochrangigen Politikern voraus“, so Denis Legezo, Sicherheitsforscher bei Kaspersky Lab.

Sicherheitsempfehlungen von Kaspersky Lab

  • Trotz digitalem Zertifikat können Backdoor-Programme in der Software enthalten sein; dem Code auf dem System sollte nicht automatisch vertraut werden.
  • Eine robuste Sicherheitslösung mit Verhaltenserkennungstechnologie erkennt selbst unbekannte Bedrohungen.
  • Threat-Intelligence-Services wie Kaspersky Threat Intelligence gewähren frühen Zugang zu Informationen über die neuesten Entwicklungen in puncto Taktiken, Techniken und Vorgehensweisen von komplexen Bedrohungsakteuren.

Mehr Informationen zur Gruppe LuckyMouse und deren Vorgehensweise unter https://securelist.com/luckymouse-ndisproxy-driver/87914/
 

GRID LIST
Tafel mit Aufschrift Ransomware und Stetoskop

Erneuter Ransomware-Fall in deutschen Krankenhäusern

Nach einem erneuter Ransomware-Fall in deutschen Krankenhäusern bleibt die Gefahrenlage…
Abstrakt - hohe Geschwindigkeit

Cybersicherheit - Schnelligkeit zahlt sich aus

Ransomware hat sich weitestgehend aus den Schlagzeilen verabschiedet, richtet aber…
Hacker Gruppe

Hacker-Gruppe Turla versteckt Malware in Zensur-Umgehungssoftware

Der russischsprachige Bedrohungsakteur ,Turla‘ hat sein Portfolio an Bedrohungswerkzeugen…
Hacker Zug

Visual und Audible Hacking im Zug – eine unterschätzte Gefahr

Was nützt die beste Firewall oder die ausgefeilteste IT-Sicherheitsschulung, wenn…
Tb W190 H80 Crop Int 0f5cc7f2c0b98f58e1eb57da645ab116

Facebook greift Banken mit digitaler Weltwährung an

Ihrer Zeit voraus zu sein und auf der grünen Wiese radikal neue Geschäftsmodelle zu…
Bluekeep

Wird Bluekeep zu WannaCry 2.0?

Vor etwas mehr als einem Monat entdeckte Microsoft die Sicherheitslücke Bluekeep, die die…