Abo
  • Services:
Anzeige
Ein bislang unbekannter Cyberspionagering wurde nach der Zeder benannt, dem Nationalbaum des Libanon.
Ein bislang unbekannter Cyberspionagering wurde nach der Zeder benannt, dem Nationalbaum des Libanon. (Bild: Las Bozych Cedrów, CC BY-SA 3.0)

Vom Webserver in interne Netz

Anzeige

Von dem infizierten Webserver aus versuchen die Einbrecher weitere Rechner im Netzwerk zu kompromittieren. Bei Explosive handele es sich jedoch nicht um einen Wurm, der sich automatisch im Netzwerk verteile, betonte Shalyt. Die Angreifer suchten ihre Opfer vielmehr gezielt aus. Inzwischen gebe es auch eine Version der Malware, die speziell für die Weitergabe per USB-Stick erstellt worden sei. Insgesamt haben die Experten bei Check Point fünf verschiedene Versionen der Spionagesoftware gefunden, die ab 2012 immer weiter entwickelt wurde. Sie sei in dieser Zeit bereits mehrfach von verschiedener Antivirensoftware entdeckt worden, sagte Shaylat. Allerdings sei erst jetzt ein Zusammenhang zwischen den Versionen deutlich geworden.

Mit verschiedenen Tricks versucht die Spionagesoftware, ihre Aktivitäten zu tarnen. Während bei der ersten Version der Netzwerkverkehr zum C&C-Server noch unverschlüsselt war, wird in Version 2 und 3 der Spyware eine eigene, komplexe Kodierfunktion verwendet. Die IP-Adresse des zentralen C&C-Servers ist fest in der Spyware kodiert. Einzelne Zeichen in Strings werden in hexadezimale ASCII-Werte verwandelt, die jeweils durch ein @-Zeichen getrennt sind. Wird der erste C&C-Server nicht gefunden, versucht Explosive eine neue IP-Adresse bei einem ebenfalls hartkodierten Update-Server zu erhalten. Scheitert auch das, verwendet die Spionagesoftware einen integrierten Domain Generation Algorithmus (DGA), um statt über einer IP-Adresse eine Verbindung über einen Domainnamen herzustellen. DGAs werden häufig in Malware für die Verbindungsherstellung in ein Botnetz verwendet. Müssen große Datenmengen übertragen werden, bauen die Angreifer auch ab und an einen SSH-Tunnel zwischen dem Rechner eines Opfers und einem Server auf.

Angreifer mit politischem Hintergrund

Auf einem infizierten Rechner kann Explosive per Keylogger und aus dem Zwischenspeicher Daten sammeln. Außerdem liest die Spionagesoftware Chroniken von Browsern oder Registry-Werte aus. Die Angreifer haben Explosive in eine ausführbare Datei und eine dazugehörige DLL-Bibiliothek unterteilt. Die Bibliothek wird nur im Bedarfsfall geladen, auch um das Aufspüren der Software durch Antivirensoftware oder Angriffserkennungssysteme zu erschweren. Außerdem können die Angreifer damit leichter weitere Funktionen einbauen. Wurde die Malware einmal entdeckt, bauen die Angreifer sie weitgehend um, damit sie wieder unentdeckt bleibt. Ferner wird stets die Arbeitsspeicherauslastung überwacht, und die von Explosive genutzten Threads können jederzeit aus der Ferne beendet werden.

Bei der Spionagesoftware der Operation Volatile Cedar handele es sich zwar nicht um eine so ausgereifte Software wie die der Equation Group, sagte Shaylat. Es steckten aber auch definitiv keine Skript-Kiddies hinter der Software. Was den Entwicklern der Spionagesoftware an Programmierkenntnissen mangele, um ihre Software zu verstecken, machten sie durch eine disziplinierte Steuerung ihrer Malware wieder wett.

Erst kürzlich wurde eine Hackergruppe namens Wüstenfalken enttarnt, die ebenfalls hauptsächlich im Nahen Osten agiert. Sie verbreiten ihre Spionagesoftware jedoch vornehmlich über Social Engineering.

 Operation Volatile Cedar: Spionagesoftware aus dem Libanon

eye home zur Startseite



Anzeige

Stellenmarkt
  1. Statistisches Bundesamt, Wiesbaden
  2. Fresenius Netcare GmbH, Bad Homburg
  3. HAMBURG SÜD Schifffahrtsgruppe, Hamburg
  4. ISCAR Germany GmbH, Ettlingen


Anzeige
Hardware-Angebote
  1. 18,99€ statt 39,99€
  2. täglich neue Deals

Folgen Sie uns
       


  1. Windows 10

    Microsoft will auf Zwangsupdates verzichten

  2. Brio 4K Streaming Edition

    Logitech-Kamera für Lets-Player und andere Streamer

  3. Vor Bundestagswahl

    Facebook löscht Zehntausende Spammer-Konten

  4. Bilderkennung von Google

    Erste Hinweise auf Lens in der Google-App

  5. Open Source

    Node.js-Führung zerstreitet sich über Code-of-Conduct

  6. Enigma ICO

    Kryptowährungshacker erbeuten halbe Million US-Dollar

  7. SNES Classic Mini

    Mario, Link und Samus machen den Moonwalk

  8. Bixby

    Samsungs Sprachassistent kommt auf Englisch nach Deutschland

  9. Apache-Lizenz 2.0

    OpenSSL-Lizenzwechsel führt zu Code-Entfernungen

  10. Knights Mill

    Intels Xeon Phi hat 72 Kerne und etwas Netburst



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Starcraft Remastered im Test: Klick, klick, klick, klick, klick als wär es 1998
Starcraft Remastered im Test
Klick, klick, klick, klick, klick als wär es 1998
  1. Blizzard Der Name Battle.net bleibt
  2. Starcraft Remastered "Mit den Protoss kann man seinen Gegner richtig nerven!"
  3. E-Sport Blizzard nutzt Gamescom für europäische WoW-Finalspiele

Fujitsu Lifebook U937 im Test: 976 Gramm reichen für das fast perfekte Notebook
Fujitsu Lifebook U937 im Test
976 Gramm reichen für das fast perfekte Notebook
  1. DLU Fujitsu entwickelt Deep-Learning-Chips

Game of Thrones: Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
Game of Thrones
Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
  1. HBO Nächste Episode von Game of Thrones geleakt
  2. Hack Game-of-Thrones-Skript von HBO geleakt
  3. Game of Thrones "Der Winter ist da und hat leider unsere Server eingefroren"

  1. Re: Icon mit Zahl

    LinuxMcBook | 22:38

  2. Re: Früher war alles besser

    nomnomnom | 22:36

  3. Re: Schwierigkeit aufgeweicht

    Piyo | 22:35

  4. Re: Nichts neues?

    SchmuseTigger | 22:34

  5. Re: Keine Windows-Partition möglich

    JouMxyzptlk | 22:33


  1. 18:04

  2. 17:49

  3. 16:30

  4. 16:01

  5. 15:54

  6. 14:54

  7. 14:42

  8. 14:32


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel