2018-01-14 09:27:38

Gezielte Cyberangriffe von "MuddyWater"

Palo Alto Networks entdeckt spionagebezogene Attacken, die auf Täuschung setzen.

Mathias Hein

Die MuddyWater-Angriffe richten sich gegen Ziele in verschiedenen Ländern. MuddyWater-Angriffe sind durch die Verwendung einer sich langsam entwickelnden PowerShell-basierten Backdoor der ersten Stufe gekennzeichnet, die Unit 42 als „PowerStats“ bezeichnet. Trotz umfassender Aufdeckung und vielen Berichten über MuddyWater-Angriffe setzten die Angreifer ihre Aktivitäten mit nur schrittweisen Änderungen an den Tools und Techniken fort. 

Das Forschungsteam von Palo Alto Networks stieß zuletzt auf eine Reihe schädlicher Dateien, die fast identisch mit denen waren, die zuvor von den Experten von MalwareBytes und Morphisec diskutiert wurden und auf Regierungsorganisationen abzielten. Diese Angriffe wurden auch von mehreren anderen Forschern verfolgt und die Erkenntnisse auf Twitter und in anderen Medien veröffentlicht. Die MuddyWater-Aktivitäten waren im gesamten Jahr 2017 konsistent und richteten sich laut Analyse von Unit 42 auf Ziele in mindestens neun Ländern.

Die schädlichen Dokumente wurden entsprechend der Zielregionen angepasst, wobei häufig die Logos von lokalen Behörden verwendet wurden, und forderten die Benutzer auf, Sicherheitskontrollen zu umgehen und Makros zu aktivieren. Ein immer wiederkehrendes Thema früherer Berichte war der Open-Source-Charakter vieler der von MuddyWater verwendeten Tools: Meterpreter, Mimikatz, Lazagne, Invoke-Obfuscation etc. In ihren jüngsten Angriffsdokumenten verwendeten die Angreifer teilweise GitHub als Hosting-Site für ihre eigene Backdoor PowerStats. In einigen Fällen beobachteten die Forscher, dass manipulierte Konten bei Unternehmen die Malware versendeten. Diese Nutzung von fremden Unternehmen zum Angriff auf weitere Ziele ist ein riskanter Schachzug der Angreifer, da sie damit potenziell ihre Aktivitäten innerhalb der kompromittierten Unternehmen offenlegen. 

Als sich die Forscher von Unit 42 das Cluster von Aktivitäten ansahen, die aus spionagefokussierten Angriffen zu bestehen schienen, waren sie erstaunt, da die bislang veröffentlichten Berichte diese Angriffe auf FIN7 zurückführten. FIN7 ist jedoch eine finanziell motivierte Gruppe von Kriminellen mit Zielen in den Bereichen Gastronomie, Dienstleistungen und Finanzsektor. Die Verbindung zu FIN7 basierte aber im Wesentlichen auf einem Download eines nichtöffentlichen „DNSMessenger“-Tools von einem MuddyWater-C2-Server.

Druckversion