Abo
  • IT-Karriere:

Wüstenfalken: Hackergruppe spioniert im Nahen Osten

Sie nennen sich Wüstenfalken und spionieren hochrangige Opfer im arabischen Raum aus. Die Spionagesoftware ist selbstentwickelt, infiziert wird ausschließlich durch Social Engineering. Dabei machen sie sich eine arabische Eigenheit zunutze.

Artikel veröffentlicht am ,
Eine vermeintlich palästinensische Hackergruppe wurde nach dem Wüstenfalken benannt.
Eine vermeintlich palästinensische Hackergruppe wurde nach dem Wüstenfalken benannt. (Bild: Peter Wächtershäuser, CC BY-SA 3.0)

Es geht auch ohne Zero-Days: Die Wüstenfalken verbreiten ihre Malware im Nahen Osten ausschließlich per Social Engineering. Ausgespäht werden ausgewählte Opfer in Ägypten, Israel, Palästina oder Jordanien. Die Cyber-Diebe sind meist hinter wichtigen Informationen her, mit denen sie offenbar handeln. Denn erpresst werden nur wenige. Die vermutlich seit 2013 aktive Gruppe entwickelt ihre Spionagesoftware selbst. Ein Konfigurationsfehler in einem Command-and-Control-Server (C&C-Server) führte die Experten beim IT-Sicherheitsunternehmen Kaspersky auf ihre Spur.

Stellenmarkt
  1. Störk-Tronic, Störk GmbH & Co. KG, Stuttgart (Vaihingen)
  2. HOSCH Fördertechnik Recklinghausen GmbH, Recklinghausen

Einer der C&C-Server war kurzzeitig mit öffentlichen Zugriffsrechten versehen. Dort fanden die Experten bei Kaspersky direkte Hinweise auf ihre Identitäten, darunter arabische Namen einiger Administratoren. Auch in den Registrierungsinformationen der Domänen wurden Namen entdeckt. Eines der Verwaltungswerkzeuge war in arabischer Sprache verfasst. Auch die versendeten Phishingmails deuten darauf hin, dass sie von einem Muttersprachler verfasst wurden. Kaspersky geht davon aus, dass die Gruppe mindestens 30 Personen umfasst. Die Experten haben inzwischen Facebook-Profile und Twitter-Konten entdeckt, die von den mutmaßlichen Mitgliedern betrieben werden. Einer davon hatte ein Foto der Konfigurationsoberfläche für die verwendete Malware stolz auf Twitter gepostet.

Die Opfer waren Aktivisten und Personenschützer

Auf eine eindeutig nationale Zuordnung verzichtet Kaspersky in seiner Veröffentlichung. Allerdings gibt es hartkodierte URLs in der Malware, die auf die die Herkunft der Urheber hinweisen: Es handelt sich um Login-Fenster des E-Mail-Servers des palästinensischen Ministeriums für Telekommunikation und Informationsdienste, der islamischen Universität in Gaza und des palästinensischen Mobilfunkproviders Jawwal.

Die Opfer seien hochrangige Persönlichkeiten in der gesamten arabischen Welt, schreibt Kaspersky. Betroffen seien Mitglieder von Medienorganisationen, Universitäten oder Aktivisten. Auch Regierungsmitglieder, Militärangehörige, Personen aus der Energiewirtschaft, der Industrie und des Finanzwesens seien Opfer der Angriffe gewesen. Überraschenderweise waren auch etliche Personenschutzfirmen auf der Liste der Hackergruppe. Die meisten Angriffe fanden in Palästina, Ägypten und Israel statt. Jede Gruppe wurde einem eigenen C&C-Server zugeordnet.

Angriffe per Phishing und Facebook

Die Desert Falcons lockten mit Phishingmails, die meist Hinweise auf aktuelle Ereignisse enthielten oder für Medien vermeintlich interessante Informationen. Dabei nutzen sie auch die arabische Schreibweise von rechts nach links, um verdächtige Dateiendungen zu verbergen. Neben Phishing-Angriffen setzen die Angreifer auch auf soziale Medien. Sie erstellten beispielsweise Facebook-Seiten, etwa um dort das Vertrauen von Aktivisten zu erlangen. Diesen schickten sie später Links zu ihrer Malware.

Kaspersky geht davon aus, dass die Wüstenfalken mehr als 3.000 Opfer angegriffen und über 800.000 Dateien erbeutet haben.



Anzeige
Top-Angebote
  1. 339,00€
  2. 269,00€
  3. (u. a. Far Cry New Dawn für 19,99€, Ghost Recon Wildlands für 15,99€, Rayman Legends für 4...
  4. (u. a. PUBG für 13,99€, Final Fantasy XIV - Shadowbringers für 27,49€, Mordhau für 19,99€)

Dumpfbacke 19. Feb 2015

Im Prinzip ist es nichts anderes wie die doppelte Dateiendung, die wir schon lange...


Folgen Sie uns
       


Maxus EV80 Probe gefahren

Golem.de hat mit dem Maxus EV80 einen chinesischen Transporter mit europäischer DNA getestet.

Maxus EV80 Probe gefahren Video aufrufen
Erneuerbare Energien: Die Energiewende braucht Wasserstoff
Erneuerbare Energien
Die Energiewende braucht Wasserstoff

Kein anderes Element ist so universell und dabei simpel aufgebaut wie Wasserstoff und das energiereiche Gas lässt sich aus fast jedem Energieträger gewinnen. Genauso vielseitig gestaltet sich seine Nutzung.
Ein Bericht von Jan Oliver Löfken

  1. Strom-Boje Mittelrhein Schwimmende Kraftwerke liefern Strom aus dem Rhein
  2. Speicherung von Überschussstrom Wasserstoff soll bei Engpässen helfen
  3. Energiewende DLR-Forscher bauen Kohlekraftwerke zu Stromspeichern um

Projektorkauf: Lumen, ANSI und mehr
Projektorkauf
Lumen, ANSI und mehr

Gerade bei Projektoren werden auf Plattformen verschiedener Onlinehändler kuriose Angaben zur Helligkeit beziehungsweise Leuchtstärke gemacht - sofern diese überhaupt angegeben werden. Wir bringen etwas Licht ins Dunkel und beschäftigen uns mit Einheiten rund um das Thema Helligkeit.
Von Mike Wobker


    In eigener Sache: Neue Workshops zu agilem Arbeiten und Selbstmanagement
    In eigener Sache
    Neue Workshops zu agilem Arbeiten und Selbstmanagement

    Wir haben in unserer Leserumfrage nach Wünschen für Weiterbildungsangebote gefragt. Hier ist das Ergebnis: Zwei neue Workshops widmen sich der Selbstorganisation und gängigen Fehlern beim agilen Arbeiten - natürlich extra für IT-Profis.

    1. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung
    2. In eigener Sache Zweiter Termin für Kubernetes-Seminar
    3. Leserumfrage Wie können wir dich unterstützen?

      •  /