Anzeige

Angler am See

Unit 42, das Forschungsteam von Palo Alto Networks, hat Cyberangriffe beobachtet, die sie unter dem Schlagwort „MuddyWater“ zusammenfasst. Es handelt sich um spionagebezogene Attacken, die auf Täuschung setzen.

Zum Hintergrund der Namensgebung: Bisher herrschte große Verwirrung in der Sicherheitscommunity bei der Zuordnung dieser Bedrohung, ähnlich dem Fischen in trüben Gewässern. Obwohl die Aktivität zuvor von anderen Quellen mit der FIN7-Gruppe in Verbindung gebracht wurde, deuten die Forschungsergebnisse von Palo Alto Networks darauf hin, dass die Aktivität tatsächlich spionagebezogen ist und wahrscheinlich nicht mit FIN7 zusammenhängt.

Die MuddyWater-Angriffe richten sich gegen Ziele in verschiedenen Ländern. MuddyWater-Angriffe sind durch die Verwendung einer sich langsam entwickelnden PowerShell-basierten Backdoor der ersten Stufe gekennzeichnet, die Unit 42 als „PowerStats“ bezeichnet. Trotz umfassender Aufdeckung und vielen Berichten über MuddyWater-Angriffe setzten die Angreifer ihre Aktivitäten mit nur schrittweisen Änderungen an den Tools und Techniken fort.

Die Forschung

Das Forschungsteam von Palo Alto Networks stieß zuletzt auf eine Reihe schädlicher Dateien, die fast identisch mit denen waren, die zuvor von den Experten von MalwareBytes und Morphisec diskutiert wurden und auf Regierungsorganisationen abzielten. Diese Angriffe wurden auch von mehreren anderen Forschern verfolgt und die Erkenntnisse auf Twitter und in anderen Medien veröffentlicht. Die MuddyWater-Aktivitäten waren im gesamten Jahr 2017 konsistent und richteten sich laut Analyse von Unit 42 auf Ziele in mindestens neun Ländern.

Die schädlichen Dokumente wurden entsprechend der Zielregionen angepasst, wobei häufig die Logos von lokalen Behörden verwendet wurden, und forderten die Benutzer auf, Sicherheitskontrollen zu umgehen und Makros zu aktivieren. Ein immer wiederkehrendes Thema früherer Berichte war der Open-Source-Charakter vieler der von MuddyWater verwendeten Tools: Meterpreter, Mimikatz, Lazagne, Invoke-Obfuscation etc. In ihren jüngsten Angriffsdokumenten verwendeten die Angreifer teilweise GitHub als Hosting-Site für ihre eigene Backdoor PowerStats. In einigen Fällen beobachteten die Forscher, dass manipulierte Konten bei Unternehmen die Malware versendeten. Diese Nutzung von fremden Unternehmen zum Angriff auf weitere Ziele ist ein riskanter Schachzug der Angreifer, da sie damit potenziell ihre Aktivitäten innerhalb der kompromittierten Unternehmen offenlegen.

Als sich die Forscher von Unit 42 das Cluster von Aktivitäten ansahen, die aus spionagefokussierten Angriffen zu bestehen schienen, waren sie erstaunt, da die bislang veröffentlichten Berichte diese Angriffe auf FIN7 zurückführten. FIN7 ist jedoch eine finanziell motivierte Gruppe von Kriminellen mit Zielen in den Bereichen Gastronomie, Dienstleistungen und Finanzsektor. Die Verbindung zu FIN7 basierte aber im Wesentlichen auf einem Download eines nichtöffentlichen „DNSMessenger“-Tools von einem MuddyWater-C2-Server.


Weitere Artikel

Hacker

Wie sich Hacker in der Pandemie Sozialleistungen erschleichen

Im Zuge von COVID-19 stellt der Staat zahlreiche finanzielle Hilfen für Unternehmen, Selbstständige und Familien bereit. Doch diese locken auch Betrüger und Cyberkriminelle an. In Deutschland fehlt häufig die nötige Infrastruktur zur Betrugsbekämpfung – auch…
CyberCrime

Die Pandemie des Internets: Rekordhoch des Bot-Traffics in 2020

Imperva, Inc., ein Unternehmen im Bereich Cybersecurity, mit dem Ziel, Daten und alle Zugriffswege auf diese zu schützen, verzeichnete im Jahr 2020 den höchsten Bad Bot-Traffic (25,6 %) seit der Einführung des Imperva Bad Bot Reports im Jahr 2014. Die…
Hackerangriff

Erkenntnisse aus Hunderten unterschiedlicher Hackerangriffe

FireEye, das Intelligence-basierte Sicherheitsunternehmen, hat den FireEye Mandiant M-Trends-Bericht 2021 veröffentlicht.
Facebook Datenleak

Facebook Datenleak: Das steckt hinter dem Angriff

Die persönlichen Daten von insgesamt 533 Millionen Facebook-Usern stehen derzeit auf diversen cyberkriminellen Foren im Dark Web zum kostenlosen Download. Wie konnte es zu dem Datenleak kommen? Wer steckt hinter dem Angriff? Und wie hoch ist das Risiko für…
Exploit

Bisher unbekannter Zero-Day-Exploit in Desktop Window Manager

Im Zuge der Analyse des bekannten Exploits CVE-2021-1732 der APT-Gruppe BITTER entdeckten die Experten von Kaspersky einen weiteren Zero-Day-Exploit im Desktop Window Manager. Bisher kann dieser nicht mit einem bekannten Bedrohungsakteur in Verbindung…
Malware

Malware-Angriffe: 648 neue Bedrohungen pro Minute

Für die April-Ausgabe des Quarterly Threats Reports untersuchten die McAfee Labs die Malware-Aktivitäten von Cyber-Kriminellen sowie die Entwicklung von Cyber-Bedrohungen im dritten und vierten Quartal 2020. Durchschnittlich registrierten die Forscher von…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.