Anzeige

Spyware

Die Sicherheitsexperten von Kaspersky haben ein bislang unbekanntes Spionagetool entdeckt, das in indischen Finanzinstituten und Forschungszentren gefunden wurde.

Die Spyware ,Dtrack‘ stammt wohl von der Lazarus-Gruppe und wird zum Hoch- und Herunterladen von Dateien, zum Aufzeichnen von Tastenanschlägen und zum Ausführen weiterer Aktionen verwendet, die für ein böswilliges Remote Admin Tool (RAT) typisch sind.

Im Jahr 2018 entdeckten Kaspersky-Forscher die Malware ‚ATMDtrack‘, die Geldautomaten in Indien infiltrierte und Karteninformationen von Kunden stahl. Nach weiteren Untersuchungen mit der Kaspersky Attribution Engine und anderen Tools fanden die Forscher mehr als 180 neue Malware-Samples, deren Codesequenz Ähnlichkeiten mit ATMDtrack aufwies. Diese zielten jedoch nicht auf Geldautomaten ab. Stattdessen weisen die Funktionen der Dtrack-Malware sie als Spionagetool aus. Beide haben Gemeinsamkeiten mit der Kampagne DarkSeoul aus dem Jahr 2013, die Lazarus zugeschrieben wird. Bei Lazarus handelt es sich um eine berüchtigte Gruppe, die für mehrere Cyberspionage- und Cybersabotage-Operationen verantwortlich sein soll.

Dtrack nutzt Sicherheitsschwächen der Organisationen aus

Dtrack kann als Remote Admin Tool (RAT, Fernwartungstool) verwendet werden, mit dem Angreifer die vollständige Kontrolle über infizierte Geräte erlangen. Cyberkriminelle können damit verschiedene Vorgänge ausführen wie zum Beispiel das Hoch- und Herunterladen von Dateien und das Ausführen von Schlüsselprozessen.

Organisationen, die von Bedrohungsakteuren mit Dtrack RAT angegriffen werden, weisen häufig schwache Netzwerksicherheitsrichtlinien und Passwörter auf. Außerdem sind sie nicht in der Lage, den Datenverkehr im Unternehmen zu verfolgen. Bei erfolgreicher Implementierung kann die Spyware alle verfügbaren Dateien und ausgeführten Prozesse, die Tastaturanschläge, den Browserverlauf und die Host-IP-Adressen aufführen – einschließlich Informationen zu verfügbaren Netzwerken und aktiven Verbindungen.

Basierend auf den Daten der Kaspersky-Telemetrie ist die neu entdeckte Malware aktiv und wird noch für Cyberangriffe verwendet.

„Lazarus ist eine eher ungewöhnliche nationalstaatlich geförderte Gruppe“, erklärt Konstantin Zykov Sicherheitsforscher des Global Research und Analysis Team von Kaspersky. „Einerseits konzentriert sie sich wie viele ähnliche Gruppen auf die Durchführung von Cyberspionage- oder Sabotage-Operationen. Andererseits wurde auch festgestellt, dass sie Angriffe durchführt, die eindeutig darauf abzielen, Geld zu stehlen. Letzteres ist für einen so bekannten Bedrohungsakteur ziemlich einzigartig, da andere hochentwickelte Bedrohungsakteure im Allgemeinen keine finanziellen Beweggründe für ihre Operationen haben. Die zahlreichen Dtrack-Samples, die wir gefunden haben, zeigen, dass Lazarus eine der aktivsten APT-Gruppen ist, die ständig Bedrohungen entwickelt und weiterentwickelt, um große Industrien anzugreifen. Ihre erfolgreiche Ausführung von Dtrack RAT beweist, dass eine Bedrohung, auch wenn sie zu verschwinden scheint, in einer anderen Gestalt wieder auftauchen kann, um neue Ziele anzugreifen. Forschungszentrum oder Finanzorganisation, die ausschließlich im kommerziellen Bereich ohne staatliche Tochtergesellschaften tätig sind, sollten die Möglichkeit in Betracht ziehen, von einer hochentwickelten Bedrohung angegriffen zu werden und sich darauf vorbereiten.“

Kaspersky-Produkte erkennen und blockieren die Dtrack-Malware erfolgreich.

Kaspersky-Empfehlungen zum Schutz vor Malware wie Dtrack RAT

  • Eine Software zur Überwachung des Datenverkehrs wie Kaspersky Anti Targeted Attack Platform [3] einsetzen.
  • Eine umfassende Sicherheitslösung mit verhaltensbasierten Erkennungstechnologien wie Kaspersky Endpoint Security for Business [4] verwenden.
  • Regelmäßig Sicherheitsüberprüfungen der IT-Infrastruktur des Unternehmens durchführen.
  • Mitarbeiter in Sicherheitstrainings für den Umgang mit Bedrohungen sensibilisieren.

Weitere Informationen zu DTrach RAT finden Sie hier: https://securelist.com/my-name-is-dtrack/93338/

www.kaspersky.com/de
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Schlüsselloch

Windows XP Quellcode wurde angeblich geleaked

Einigen Medienberichten zufolge zirkuliert derzeit der Quellcode von Microsofts Windows XP frei zugänglich im Internet. Den Quellen zufolge erschien das knapp 43 Gigabyte große Datenpaket zunächst auf 4chan und wird derzeit über Torrents im Internet…
Ransomware

Maze-Ransomware jetzt noch gefährlicher

Seit fast eineinhalb Jahren treibt die Ransomware Maze ihr Unwesen. Bereits im Mai warnte das Sicherheitsunternehmens Sophos in einem Bericht vor den Machenschaften der Cyberkriminellen. Diese begnügen sich nicht damit, die Daten ihrer Opfer zu verschlüsseln,…
RDP

Hacker: Täglich millionenfache RDP-Angriffe auf Home-Offices

Die Sicherheitsexperten von ESET schlagen Alarm: Seit dem Corona-bedingten Umzug in das Home-Office hat sich die Anzahl der täglichen Hacker-Angriffe auf Remote-Desktop-Verbindungen (RDP) im DACH-Raum mehr als verzehnfacht. Allein im Juni 2020 verzeichnete…
Cybercrime

eCrime nimmt an Volumen und Reichweite weiter zu

CrowdStrike, ein Anbieter von Cloud-basiertem Endpunktschutz, gab heute die Veröffentlichung des CrowdStrike Falcon OverWatchTM 2020 Threat Hunting Report bekannt.

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!