Zahlreiche multinationale Unternehmen betroffen

Den Experten von Kaspersky Labs sind mindestens 35 Opfer dieses Vorgehens bekannt, meist multinationale Konzerne etwa aus Brasilien, Frankreich oder den Vereinigten Arabischen Emiraten. Ihnen zufolge wurden einzelne Unternehmen nur gehackt, um Informationen zu erlangen, die sich anschließend für weitere Angriffe verwenden lassen. Meist wird auch deren technische Infrastruktur verwendet, um Angriffe möglichst gut verschleiern zu können, wie beispielsweise im Fall der illegitimen Nutzung der Satelliten-Kommunikation.

Stellenmarkt
  1. BI-Manager (w/m/d)
    VGH Versicherungen, Hannover
  2. Mitarbeiter (m/w/d) - Planung und Betrieb des Kommunikationsnetzes
    Universität Hamburg, Hamburg
Detailsuche

Nachdem ein Spear-Phishing-Angriff gelungen ist, geht ein Angriff in die nächste Phase über. Die Täter nutzen bei der erwähnten Analyse der Netzwerkumgebung bereits frühzeitig ein Erkennungssystem für Antiviren-Programme, in ihrer Liste befinden sich laut den Sicherheitsexperten zwölf weitverbreitete Antiviren-Programme. Zudem prüfen sie die Gruppenrichtlinienobjekte und schauen sich nach Software-Sperren und Freigaben um, um anschließend gezielt Software nachzuladen oder Lücken in vorliegenden Softwarefreigaben zu nutzen.

Die Angreifer scheinen aus einem ganzen Arsenal von kriminellen Tools schöpfen zu können - von Windows 98 bis hin zu Windows 10 haben sie Tools, die eine Rechteausweitung (privilege escalation) ermöglichen. Die Angreifer nutzen Build-Scripts, welche on-the-fly Textdateien verwenden und aus ihnen Programme machen. Dieses Vorgehen wurde vermutlich gewählt, um immer wieder nur eine ausführbare Datei "unauffindbar" für Antiviren-Programme zu machen.

Die Experten gehen aufgrund des Umfangs der Tools und der Wahl von über fünf verschiedenen Programmiersprachen davon aus, dass es sich nicht um eine einzelne Person, sondern zumindest um eine größere Personengruppe handeln muss - allerdings sei es kein Staat, denn die Angreifer suchen nicht nach geheimen Informationen, sondern scheinen die direkte Verwertung von Informationen für Geld (etwa Kontodaten) zu bevorzugen. Sind diese Informationen einmal erlangt, tauchen die Angreifer und Tools meist vollständig ab. Sämtliche Dateien werden gelöscht und nur einzelne Open-Source-Tools bleiben auf den betroffenen Systemen übrig, aus dessen Konfiguration sich rekonstruieren lässt, dass die Systeme einmal gehackt waren.

Windows 98 wird noch aktiv exploitet

Golem Akademie
  1. Scrum Product Owner: Vorbereitung auf den PSPO I (Scrum.org): virtueller Zwei-Tage-Workshop
    3.–4. März 2022, virtuell
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    03.–04. Februar 2022, Virtuell
Weitere IT-Trainings

Trotz des vorsichtigen Vorgehens der Angreifer konnten die Experten den Tätern zumindest etwas auf die Schliche kommen. Die Täter scheinen langjährige Erfahrung im Bereich von Windows-Netzwerken zu haben, denn sie nutzen Payloads, die auf Windows-98-Systeme anwendbar sind. Laut den Experten wurde dieses Vorgehen gewählt, da den Angreifern vorab bekannt war, dass in lateinamerikanischen Ländern und Organisationen solche Systeme immer noch verwendet werden. Auch weitere Spuren in Quellcodes oder den Spear-Phishing-E-Mails deuten auf Angreifer aus dem portugiesischen Sprachraum, etwa Brasilien, hin.

Die Gruppe sei immer noch aktiv und könne in jedem Moment zuschlagen, so die Experten. Zudem scheinen die Täter immer wieder Sicherheitskonferenzen wie die Blackhat zu beobachten. Denn einige Techniken, die auf solchen Konferenzen vorgestellt wurden, ließen sich nach einigen Monaten in den Tools der Gruppe finden. Fraglich, wann und wo die Gruppe das nächste Mal zuschlägt. In jedem Fall wird sie - wie in der Vergangenheit auch - versuchen, unerkannt zu bleiben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Poseidon-Gruppe: Über ein Jahrzehnt internationale Cyberattacken
  1.  
  2. 1
  3. 2


Aktuell auf der Startseite von Golem.de
Fernwartung
Der Kundenansturm, der Teamviewer nicht gut getan hat

Wie schätzt man die weitere Geschäftsentwicklung ein, wenn die Kunden in der Pandemie plötzlich Panikkäufe machen? Das gelang bei Teamviewer nicht.
Ein Bericht von Achim Sawall

Fernwartung: Der Kundenansturm, der Teamviewer nicht gut getan hat
Artikel
  1. Netzneutralität: Google und Meta verteidigen sich gegen Telekom-Vorwürfe
    Netzneutralität
    Google und Meta verteidigen sich gegen Telekom-Vorwürfe

    Die beiden großen Internetkonzerne Google und Meta verweisen im Gespräch mit Golem.de auf ihren Beitrag zur weltweiten Infrastruktur wie Seekabel und Connectivity.

  2. Pluton in Windows 11: Lenovo will Microsofts Sicherheitschip nicht aktivieren
    Pluton in Windows 11
    Lenovo will Microsofts Sicherheitschip nicht aktivieren

    Die neuen Windows-11-Laptops kommen mit dem Chip Pluton. Lenovo will diesen aber noch nicht selbst aktivieren.

  3. Probefahrt mit BMW-Roller CE 04: Beam me up, BMW
    Probefahrt mit BMW-Roller CE 04
    Beam me up, BMW

    Mit futuristischem Design und elektrischem Antrieb hat BMW ein völlig neues Fahrzeug für den urbanen Bereich entwickelt.
    Ein Bericht von Peter Ilg

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3070 989€ • The A500 Mini Retro-Konsole mit 25 Amiga-Spielen vorbestellbar 189,90€ • RX 6800 16GB 1.129€ • Intel Core i9 3.7 459,50€ Ghz • WD Black 1TB inkl. Kühlkörper PS5-kompatibel 189,99€ • Switch: 3 für 2 Aktion • RX 6700 12GB 869€ • MindStar (u.a. 1TB SSD 69€) [Werbung]
    •  /