Anzeige

Anzeige

Spyware

Das Cybereason Nocturnus-Team hat die Aktivitäten verschiedener nordkoreanischer Bedrohungsakteure nachverfolgt. Darunter befindet sich ein Cyberspionagegruppe namens „Kimsuky” (alias Velvet Chollima, Black Banshee und Thallium), die seit mindestens 2012 aktiv ist, und vermutlich im Auftrag des nordkoreanischen Regimes operiert.

Die Gruppe kann eine lange und gleichermaßen berüchtigte Vergangenheit hinsichtlich offensiver Cyberoperationen weltweit vorweisen. Früher hat sich die Gruppe in erster Linie auf koreanische Think Tanks konzentriert, aber in den letzten Jahren hat sie ihre Ziele auf andere Länder wie die Vereinigten Staaten, Russland und Länder in Europa ausgedehnt. Ins Visier der Angreifer sind nachweislich Unternehmen und Organisationen wie diese geraten:

  • Pharma-/Forschungsunternehmen, die an Impfstoffen gegen COVID-19 und neuen Therapien arbeiten
  • UN-Sicherheitsrat
  • Ministry of Unification
  • Bürgerrechtsorganisationen
  • Korean Institute for Defense Analyses (KIDA)
  • Bildung und Wissenschaft
  • Think Tanks
  • Staatliche Forschungsinstitute
  • Journalisten, die über die Beziehungen zwischen Süd- und Nordkorea berichten
  • Militär

Am 27. Oktober veröffentlichte das US-CERT einen Report, der die jüngsten Aktivitäten der Kimsuky-Gruppe zusammenfasst sowie die TTPs und die Infrastruktur der Gruppe beschreibt. Im Nachgang zu diesem Report hat das Nocturnus-Team in Zusammenhang mit den von Cybereason im Laufe der Zeit gesammelten Informationen eine bisher nicht dokumentierte, modulare Spyware mit Namen "KGH_SPY" entdeckt. Sie bietet den Bedrohungsakteuren diverse Möglichkeiten für die verdeckte Durchführung ihrer Spionageoperationen.  

Darüber hinaus hat Cybereason eine weitere Malware namens "CSPY_Loader" identifiziert, ein ausgeklügeltes Tool mit umfangreichen Anti-Analyse-Techniken und solchen zur Umgehung von Abwehrmechanismen. So stellen die Angreifer sicher, dass "die Luft rein ist", bevor sie den Download der eigentlichen Schadsoftware starten. 

Schließlich ist es dem Nocturnus-Team noch gelungen, eine neue, von der Gruppe verwendete Server-Infrastruktur aufdecken, die deutliche Überschneidungen mit der zuvor dokumentierten Kimsuky-Infrastruktur aufweist. 

Die wichtigsten Ergebnisse auf einen Blick:

  • Entdeckung einer neuen, modularen Spyware-Suite: „KGH_SPY“ ist eine modulare Tool-Suite, die den Bedrohungsakteuren umfangreiche Funktionen bietet. Dazu zählen solche zur Aufklärung, zum Keylogging sowie Funktionen, die dem Informationsdiebstahl und dem Einbau von Backdoors dienen. 
  • Identifizierung einer verdeckt operierenden Malware: "CSPY_Loader" ist ein Tool, um Sicherheitsanalysen zu umgehen und zusätzliche Payloads ans Ziel zu bringen. 
  • Neue Infrastruktur, die sich mit anderen überschneidet: Dazu zählt die der Malware BabyShark, die in der Vergangenheit benutzt wurde, um US Think Tanks anzugreifen.
  • Wird von Antiviren-Anbietern nicht erkannt: Zum Zeitpunkt als dieser Bericht abgefasst wurde, werden einige der genannten Tools von keinem Anbieter von Antiviren-Lösungen erkannt. 
     

KGH Spyware-Suite

Bei der Analyse entdeckte das Nocturnus-Team eine neue Malware-Suite mit dem Namen "KGH_SPY". Sie enthält verschiedene Komponenten zum Sammeln von Informationen, um beliebige Befehle auszuführen und Benutzeraktivitäten mithilfe eines Keyloggers auszuspionieren. Dieser enthält zusätzlich eine Backdoor-Funktion. Einige der Komponenten in der KGH Spyware-Suite werden derzeit nicht von den Anbietern von Antiviren-Programmen erkannt: 

 

 

Die Backdoor-Komponente enthält einen eingebetteten Befehlssatz, den sie von den Servern der Angreifer empfängt: 

Befehl

Beschreibung

upf

Dateien auf den C2 hochladen

tre

Mit dem Befehl "tree" eine Liste aller Dateien im System erstellen, in einer Datei mit dem Namen "c.txt" speichern und Datei auf den C2 hochladen

wbi

Browser-Stealer-Modul „m.dll“ herunterladen und gestohlene Daten exfiltrieren.

cmd

Einen cmd-Befehl ausführen

pws

Einen Powershell-Befehl ausführen 

 

Die Infostealer-Komponente entwendet diverse Informationen (wie Cookies, Anmeldeinformationen), die in folgenden Anwendungen gespeichert sind: 

  • Browser: Chrome, IE / Edge, Firefox, Opera
  • WinSCP-Client
  • Windows Credential Manager
  • Mozilla Thunderbird Mail Client

CSPY_Loader - Neuer verdeckter Loader

Die Nachverfolgung der neuen Infrastruktur führte zusätzlich zur Entdeckung einer weiteren bösartigen ausführbaren Datei, die mit einigen der C2-Server kommuniziert. Abgesehen von den Phishing-Dokumenten, die anscheinend Themen im Zusammenhang mit Nordkorea enthalten, gibt es weitere forensische Beweise, die in der Malware eingebettet sind. Dazu zählen Spuren der koreanischen Sprache wie sie zum Zeitpunkt der Malware-Erstellung verwendet wurde:

 

Die Malware enthält eine sehr lange Liste von Checks, wie man Analysen – etwa virtuelle Maschinen - und verschiedene Sicherheitstools umgehen kann: 

Die vollständige Untersuchung sollte hier zum Download verfügbar sein.

Eine Untersuchung von: Assaf Dahan, Lior Rochberger, Daniel Frank und Tom Fakterman, https://www.cybereason.com/


Artikel zu diesem Thema

DDos-Attacke
Nov 05, 2020

Gesundheitswesen nicht ausreichend gegen Cyberattacken geschützt

Deutschlands Gesundheitsinfrastruktur sieht sich einer steigenden Cyber-Bedrohung…

Weitere Artikel

Hacker

Arbeitsteilung bei Ransomware: Die Zusammenarbeit cyberkrimineller Gruppen

Die Bedrohungslage in Sachen Ransomware hat sich in den letzten Wochen und Monaten weltweit verschärft. Fast täglich werden neue Angriffe bekannt, bei denen Unternehmen Opfer eines Verschlüsselungs-Trojaners werden.
Hacker

Cybercrime: Es geht um Geld und Corona dient als Brandbeschleuniger

Schon seit Jahren ist zu beobachten, dass die Bedrohung durch Cyberkriminelle kontinuierlich zunimmt. Allein im Vorjahr wurden nach Angaben des Bundeskriminalamts (BKA) fast 110.000 Cyberattacken in Deutschland registriert. Das sind mehr als doppelt so viele…
Malware

Microsoft-signierte Malware ermöglicht gezielte Manipulation des Datenverkehrs

Die Security-Experten*innen von G DATA haben ein Netzwerk-Rootkit entdeckt, das Netzwerkanfragen auf einen Server mit einer chinesischen IP-Adresse umleitet. Damit ist es möglich, den Datenverkehr gezielt zu manipulieren.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.