Wenn der Energetic Bear mit Zählpixeln überwacht wird
Ein Beispiel der Forscher betrifft die Gruppe Energetic Bear, die der russischen Regierung zugeschrieben wird. Energetic Bear ist vor allem im Infrastrukturbereich aktiv und hat diverse Ziele in der Öl- und Gasindustrie angegriffen. Um die Operationen zu steuern, wird nach Angaben der Forscher ein Netzwerk aus gehackten Webseiten als Command-und-Control-Infrastruktur genutzt (C2-Infrastruktur).
Über ein Managementportal soll es der Gruppe außerdem möglich gewesen sein, die gewonnenen Informationen auszulesen oder Angriffe zu steuern. Für eine begrenzte Zeit soll aber ein weiterer Akteur diese Infrastruktur infiltriert haben. Über ein Zählpixel wurden Informationen über die Aktivität der Webseiten ausgelesen.
Die gesammelten Informationen seien dann an einen Server nach China weitergeleitet worden. Mit dem Fingerprinting dieser Spionageaktion lässt sich nach Angaben von Kaspersky nicht viel Geld verdienen - es sei daher unwahrscheinlich, dass gewöhnliche Kriminelle solchen Aufwand betrieben. Die Firma geht daher davon aus, dass ein anderer Geheimdienst versucht habe, die Aktivitäten des APT zu überwachen und dabei eine möglicherweise in die Irre führende Spur nach China gelegt habe.
Backdoor in Nettraveler-Operation
In einem anderen Fall entdeckte Kaspersky auf Servern der Nettraveler-Gruppe eine Backdoor, die dort vermutlich von einem anderen mächtigen Akteur platziert wurde. Nettraveler hatte rund neun Jahre lang gezielt Regierungen und Forschungsinstitute ausspioniert.
Bei der Backdoor handelt es sich nach Angaben der Sicherheitsfirma um eine modifizierte svchost.exe. Der Code sei in Assembler geschrieben und dann in eine ausführbare Visual-C-Datei implantiert worden, vermutlich um eine Erkennung durch Antivirenprogramme zu erschweren.
Über die entsprechende Infrastruktur hätten die Angreifer die Operationen der Gruppe nicht nur beobachten, sondern auch manipulieren können. Außerdem seien sie in der Lage, zahlreiche Informationen zu kopieren und damit eigene Angriffe durchzuführen.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Geheimdienste: Wenn Hacker Hacker hacken, scheitert die Attribution | Darkhotel gehackt |
Dass den Russen immer viel zugeschrieben wird, ist ja mittlerweile zum Standardverfahren...
überlege ich mir, ob ich nicht einen Beil-Handel eröffnen sollte! Der Bedarf scheint ja...