Anzeige

Spionage

Eine bislang eher unauffällige Cyberspionage-Gruppe hat eindrucksvoll bewiesen, wie schnell eine bekanntgewordene Schwachstelle ausgenutzt wird. „FamousSparrow“ begann genau einen Tag nach der Veröffentlichung der Microsoft Exchange Sicherheitslücken (März 2021) mit seinen Spionage-Attacken.

Dieser sogenannte Advanced Persistent Threat (APT) greift weltweit vor allem Hotels an. Aber auch Ziele in anderen Bereichen wie Regierungen, internationale Organisationen, Ingenieurbüros und Anwaltskanzleien stehen mittlerweile auf der Agenda. Die ESET-Forscher haben das Vorgehen der Hackergruppe untersucht und auf dem Security-Blog welivesecurity.de veröffentlicht.

Weltweite Cyberspionage im Gange

FamousSparrow ist eine weitere APT-Gruppe, die Anfang März 2021 Zugriff auf die Sicherheitslücke ProxyLogon zur Remotecodeausführung hatte. Die Hacker nutzten in der Vergangenheit bereits bekannte Schwachstellen in Serveranwendungen wie SharePoint und Oracle Opera aus.

Im aktuellen Fall befinden sich die Opfer in Europa (Frankreich, Litauen, Vereinigtes Königreich), im Nahen Osten (Israel, Saudi-Arabien), in Nord- und Südamerika (Brasilien, Kanada und Guatemala), Asien (Taiwan) und Afrika (Burkina Faso). Die Auswahl der Ziele lässt vermuten, dass FamousSparrow vorrangig Cyberspionage betreibt.

APT-Gruppe nutzt Microsoft Exchange Sicherheitslücken aus

Laut den ESET-Forschern begann die Hacker-Gruppe am 03.03.2021, also exakt einen Tag nach der Veröffentlichung des Patches, die Schwachstellen auszunutzen. Zum Einsatz kamen dabei die benutzerdefinierte Backdoor SparrowDoor sowie zwei Varianten von Mimikatz. Letztere wird auch von der berüchtigten Winnti Group eingesetzt.

„Dieser Spionageangriff zeigt einmal mehr, wie wichtig das zeitnahe Schließen von Sicherheitslücken ist. Sollte dies – aus welchen Gründen auch immer – nicht möglich sein, sollte man betroffene Geräte nicht mit dem Internet verbinden“, empfiehlt ESET Forscher Mathieu Tartare, der FamousSparrow mit seinem Kollegen Tahseen Bin Taj analysierte.

Möglicherweise arbeitet die FamousSparrow dabei nicht allein. Einige Spuren weisen auf eine Verbindung zu SparklingGoblin und DRBControl hin. In einem Fall setzten die Angreifer eine Variante von Motnug ein, die ein von SparklingGoblin verwendeter Loader ist. In einem anderen Fall fanden die EXET-Experten auf einem von FamousSparrow kompromittierten Rechner ein laufendes Metasploit mit cdn.kkxx888666[.]com als C&C-Server. Diese Domäne ist mit einer Gruppe namens DRDControl verbunden.

Weitere Informationen:

Detaillierte technische Analysen stehen Ihnen auf dem ESET Blog WeliveSecurity zur Verfügung.

www.eset.de
 


Artikel zu diesem Thema

Hacked
Apr 10, 2021

Microsoft Exchange-Server-Hack: Beispiellose Angriffswelle auf ungepatchte Server

Microsoft schloss zum 3. März 2021 mit einem außerplanmäßigen Sicherheitsupdate vier…
Cybersecurity
Dez 27, 2020

Cybersecurity-Experten gegen APT-Gruppen

Die sich weiter professionalisierende Hacker-Industrie bietet nicht nur Malware und Tools…
Cyberspionage
Nov 21, 2020

So funktioniert Cyberspionage: Analyse eines APT-Angriffs

Die Sicherheitsforscher von Bitdefender haben eine komplexe und gezielte Angriffskette…

Weitere Artikel

Nachhaltigkeit

Nachhaltigkeit durch Digitalisierung – aber ohne Budget

Der Klimawandel hat das Thema Nachhaltigkeit auch in vielen Unternehmen ganz oben auf die Agenda gesetzt – und eine breite Mehrheit hofft auf digitale Technologien, um die gesteckten Ziele zu erreichen. So geben 7 von 10 Unternehmen (71 Prozent) mit 100 oder…
Smartwatch

Smartwatch: Die wichtigsten Vor- und Nachteile des beliebten Gadgets

In Zeiten von smarten Mobiltelefonen, handlichen Tablets und einer sprachgesteuerten künstlichen Intelligenz im eigenen Wohnzimmer verwundert es eigentlich nur wenig, dass sich auch die sogenannten Smartwatches nicht nur hierzulande stetig wachsender…
itsa 2021

Großes Wiedersehen der IT-Security-Experten auf der it-sa 2021

Der Restart ist gelungen: 274 Aussteller aus 18 Ländern und rund 5.200 Fachbesucher aus 28 Ländern machten die it-sa 2021 vom 12. bis 14. Oktober zum Treffpunkt für IT-Sicherheitsexperten und -entscheider.

Stormshield: Neu native Chiffrierungslösung für Google Workplace

Stormshield stellt die mit Google entwickelte Lösung Stormshield Data Security (SDS) für Google Workspace vor. Sie ermöglicht Unternehmen, die Google Workspace einsetzen, alle Arten von Informationen (Inhalte, Kommunikation etc.) völlig unabhängig und unter…
PrintNightmare

Cyberangriffe über PrintNightmare bleiben gefährlich

Am Patch Tuesday dieser Woche gab es einmal mehr neue Security Patches von Microsoft, die helfen teilweise akute Sicherheitslücken zu schließen. Ein Kommentar von Satnam Narang, Staff Research Engineer bei Tenable, zum aktuellen Patch Tuesday.
MysterySnail

MysterySnail: Zero-Day-Exploit für Windows OS entdeckt

Kaspersky-Experten haben einen neuen Zero-Day-Exploit entdeckt. ,MysterySnail' wurde im Rahmen der Analyse einer Reihe von Angriffen zur Erhöhung von Berechtigungen auf Microsoft-Windows-Servern identifiziert; zuvor hatten die automatisierten…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.