- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Immer wieder neue Varianten der Malware


Jagd auf Lazarus-Gruppe verhindert großen Cyberbanküberfall
Neue Erkenntnisse über das Vorgehen der berüchtigten Lazarus-Gruppe

- Anzeigen -





Kaspersky Lab stellt die Ergebnisse einer mehr als einjährigen Untersuchung der Aktivitäten der Lazarus-Gruppe vor. Die berüchtigte Hackergruppe wird für den Diebstahl von 81 Millionen US-Dollar von der Zentralbank in Bangladesch im Jahr 2016 verantwortlich gemacht. Über eine forensische Analyse von Artefakten, die die Gruppe in den Systemen südostasiatischer und europäischer Banken hinterlassen hatte, konnte Kaspersky Lab tiefe Einblicke darüber gewinnen, welche schädlichen Werkzeuge die Gruppe verwendet und wie ihre weltweiten Angriffe auf Finanzinstitutionen, Spielcasinos, Software-Entwickler für Anlagegesellschaften sowie Unternehmen im Kryptowährungsbereich ablaufen. Mit Hilfe dieser Erkenntnisse wurden mindestens zwei weitere Operationen und damit der Diebstahl hoher Geldsummen bei Finanzinstituten vereitelt. Laut den Erkenntnissen von Kaspersky Lab ist die Gruppe nach wie vor aktiv.

Im Februar 2016 versuchte eine damals noch nicht identifizierte Gruppe von Hackern 851 Millionen US-Dollar zu stehlen. Es gelang ihr, eine Überweisung in Höhe von 81 Millionen US-Dollar von einem Konto der Zentralbank von Bangladesch zu tätigen – und damit einen Coup zu landen, der als einer der größten und erfolgreichsten Cyberüberfälle gilt. Die Experten mehrerer IT-Sicherheitsfirmen – darunter auch Kaspersky Lab – fanden heraus, dass hinter dem Angriff mit hoher Wahrscheinlichkeit die Gruppe Lazarus steckt; eine berüchtigte Cyberspionage- und Cybersabotage-Gruppe, die bereits seit 2009 weltweit für ganze Serien von wiederholten und verheerenden Angriffen auf Produktionsunternehmen, Medien und Finanzinstitute in mindestens 18 Ländern bekannt ist.

Obwohl man nach dem Angriff in Bangladesch mehrere Monate nichts mehr von der Gruppe gehört hatte, war Lazarus weiter aktiv und bereitete sich auf neue Operationen für den Gelddiebstahl bei anderen Banken vor. So hatte die Gruppe bereits einen Fuß bei einem südostasiatischen Finanzinstitut in der Tür. Nachdem die Lösungen von Kaspersky Lab und die anschließende Untersuchung den Cybereinbruch vereiteln konnten, zog sich die Gruppe erneut monatelang zurück, um dann ihre operative Tätigkeit in Richtung Europa zu verlagern. Auch hier wurden Angriffe durch die Sicherheitslösungen von Kaspersky Lab entdeckt, und mit Hilfe einer schnellen Vorfallreaktion (Incident Response), forensischer Analyse sowie Reverse Engineering der Experten von Kaspersky Lab verhindert.

Die Lazarus-Formel

Die Ergebnisse der forensischen Analyse durch Kaspersky Lab deuten auf folgende Vorgehensweise der Gruppe hin:

• >> Erstkompromittierung: Zunächst wird in ein einzelnes System innerhalb der Bank eingedrungen. Und zwar entweder über einen Code mit Schwachstellen (zum Beispiel auf einem Webserver) oder mit Hilfe eines Wasserlochangriffs über ein Exploit, das auf einer legitimen Webseite implantiert wird, auf die die Opfer (in diesem Fall die Bankangestellten) mit ihren Computern zugreifen. Dabei wird Malware heruntergeladen, die weitere Komponenten nachladen kann.

• >> Hintertür: Danach wandert die Gruppe zu den weiteren Hosts der Bank und installiert dort langlebige Backdoors, also Malware, die ein beliebiges Kommen und Gehen der Angreifer zulässt.

• >> Erkundung: Anschließend untersucht die Gruppe über Tage und Wochen das Netzwerk und identifiziert die für sie wertvollen Ressourcen. Das kann ein Backup-Server sein, auf dem Authentifizierungsinformationen abgelegt werden, ein Mail-Server beziehungsweise der komplette Domain Controller mit den Schlüsseln zu "jeder Tür" im Unternehmen, oder ein Server, auf denen Prozessaufzeichnungen der Finanztransaktionen gespeichert werden.

• >> Diebstahl: Schließlich installiert die Gruppe eine spezielle Malware, die die internen Sicherheitsfunktionen der Finanzsoftware umgeht und ihre betrügerischen Transaktionen im Namen der Bank ausführt.

Geografische Verteilung der Angriffe
Die von den Experten von Kaspersky Lab untersuchten Angriffe dauerten mehrere Wochen. Doch vermutlich operierten die Angreifer monatelang unbemerkt. So entdeckten die Experten beispielsweise während der Analyse des Vorfalls in Südostasien, dass die Hacker das Netzwerk der Bank bereits sieben Monate vor jenem Tag attackiert hatten, an dem das Sicherheitsteam der Bank die Vorfallreaktion angefordert hatte. Tatsächlich lag dieser Zeitpunkt noch vor dem Vorfall in Bangladesch.

Gemäß den Aufzeichnungen von Kaspersky Lab tauchten seit Dezember 2015 bei den Aktivitäten von Lazarus Malware-Samples bei Finanzinstituten, Spielcasinos, bei Software-Entwicklern für Anlagegesellschaften sowie Unternehmen im Kryptowährungsbereich in folgenden Ländern auf: Korea, Bangladesch, Indien, Vietnam, Indonesien, Costa Rica, Malaysia, Polen, Irak, Äthiopien, Kenia, Nigeria, Uruguay, Gabun, Thailand und verschiedenen anderen Staaten. Die jüngsten Samples entdeckte Kaspersky Lab im März 2017, die Angreifer sind also weiter aktiv.

Auch wenn die Angreifer so vorsichtig waren, ihre Spuren zu verwischen, begingen sie bei einem Server, in den sie im Rahmen einer anderen Kampagne eingedrungen waren, einen Fehler und hinterließen dort ein wichtiges Artefakt. Zur Vorbereitung ihrer Operationen wurde der Server als Command-and-Control-Center für die Malware konfiguriert. Am Tag der Konfiguration wurden die ersten Verbindungen zu einigen wenigen VPN- beziehungsweise Proxy-Servern aufgebaut, was auf einen Test für den Command-and-Control-Server hindeutet. Allerdings gab es an diesem Tag auch eine kurze Verbindung zu einer IP-Adresse in einem sehr selten genutzten Adressbereich in Nordkorea. Das könnte laut den Experten bedeuten, dass

• >> die Angreifer sich von dieser IP-Adresse aus Nordkorea verbunden haben,
• >> ein anderer Akteur unter falscher Flagge die Operation sorgfältig geplant hat
• >> oder jemand in Nordkorea versehentlich die Command-and-Control-URL besucht hat.

Die Lazarus-Gruppe ist sehr darauf bedacht, immer wieder neue Varianten ihrer Malware zu erzeugen. Monatelang versuchten sie ein Set schädlicher Tools aufzubauen, das von Sicherheitslösungen nicht erkannt werden sollte. Jedoch gelang es den Experten von Kaspersky Lab jedes Mal, auch die neuen Samples aufzuspüren; und zwar über einige typische Merkmale, die bei der Erzeugung des Codes verwendet wurden.

"Wir sind sicher, dass Lazarus bald zurückkommen wird", sagt Vitaly Kamluk, Head of Global Research and Analysis Team (GReAT) APAC bei Kaspersky Lab. "Angriffe wie die der Lazarus-Gruppe machen deutlich, wie sich geringfügige Fehler in der Konfiguration zu massiven Sicherheitsvorfällen ausweiten können und bei betroffenen Unternehmen möglicherweise Schäden in Höhe von Hunderten von Millionen Dollar anrichten können. Wir hoffen, dass weltweit die Verantwortlichen von Banken, Spielcasinos und Anlagegesellschaften beim Namen Lazarus misstrauisch werden." (Kaspersky Lab: ra)

eingetragen: 14.05.17
Home & Newsletterlauf: 02.06.17


Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Die zwei Gesichter des IoT

    Im IT-Bereich gibt es ein hohes Bedrohungspotential durch Hacker und Cyberkriminelle. Die Sicherheitsspezialisten von F5 Networks haben die aktuellen Gefahren für Unternehmen und mögliche Gegenmaßnahmen zusammengefasst. Im Cloud-Zeitalter reicht die Absicherung des Netzwerk-Perimeters nicht mehr aus. Eine wirksame Cloud-Architektur sorgt nicht nur für die notwendige Flexibilität, sondern auch über Web Application Firewalls (WAF) für stärkere Transparenz in Bezug auf den Netzwerk-Traffic. Dabei müssen Risiken über dynamische, zentrale, anpassungsfähige Zugangssteuerung sowie umfassende Multi-Cloud-Ansätze für alle Anwendungen unabhängig von ihrem Standort minimiert werden. Zudem schützen nur moderne DDoS-Lösungen vor gezielten Angriffen.

  • Das Ende der VPN-Netze wird eingeläutet

    Die europäischen Unternehmen modernisieren im Zuge der Digitalisierung ihrer Geschäftsprozesse ihre Arbeitsplätze. Diese fünf Themen stehen dabei in der zweiten Jahreshälfte 2017 im Vordergrund: Security, Servicifizierung, Device-Vielfalt, die Abschaffung der VPN-Netze und die Einführung eines kontinuierlichen Software Asset Managements. Die Modernisierung der Arbeitsplätze in den europäischen Unternehmen ist in vollem Gange. Die Prioritäten bei der Umsetzung werden in vielen Unternehmen aber im zweiten Halbjahr 2017 etwas anders gesetzt als bislang.

  • Dramatischer Anstieg der Cyberkriminalität

    Seit 2013 haben sich die Technik und die Sicherheitslage in der Europäischen Union rasend schnell verändert. Digitale Technologien sind inzwischen fester Bestandteil unseres täglichen Lebens und das Rückgrat unserer Wirtschaft. Die durch das Internet der Dinge ausgelöste Revolution ist heute Alltagsrealität, und bis 2020 werden wohl Zigmilliarden Geräte online sein. Gleichzeitig gibt es immer mehr Cyberbedrohungen unterschiedlichster Art. Angesichts der jüngsten Ransomware-Attacken, des dramatischen Anstiegs der Cyberkriminalität, der immer stärkeren Nutzung von Cyberinstrumenten durch Staaten, die damit ihre geopolitischen Ziele erreichen wollen, und der immer vielfältigeren Cybersicherheitsvorfälle muss die EU in der Lage sein, besser auf Cyberattacken zu reagieren und eine wirksame - auch strafrechtliche - Abschreckungsstrategie verfolgen, um Bürgerinnen und Bürger, Unternehmen sowie öffentliche Einrichtungen in der EU besser zu schützen. Deshalb schlagen die Kommission und die Hohe Vertreterin - wie von Kommissionspräsident Juncker in seiner Rede zur Lage der Union am 13. September bereits angekündigt - heute vor, die Abwehrfähigkeit und Reaktion der EU bei Cyberattacken zu verbessern, indem die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) gestärkt, ein EU-weiter Rahmen für die Cybersicherheitszertifizierung eingeführt, ein Konzeptentwurf für die Reaktion auf große Cybersicherheitsvorfälle und -krisen vorgestellt und ein Europäisches Forschungs- und Kompetenzzentrum für Cybersicherheit gegründet werden soll.

  • Debatte zu Screen Scraping und PSD2

    Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die FIDO Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der FIDO Alliance auf diese Frage folgend zusammengefasst.

  • Sicherheitsrisiken nicht auf Kunden abwälzen

    Software, die schlecht programmiert, schlecht gewartet oder schlecht konfiguriert ist, führt zu den meisten Cyber-Angriffen - das zeigen Cyberbedrohungen wie WannaCry, Locky oder das Mirai-Botnet. "Es lassen sich viele Kosten senken, wenn Hersteller von Software die Sicherheit von Anfang an stärker berücksichtigen, statt ständig neue Patches zur Verfügung zu stellen", sagt Cyber-Security-Experte Felix von Leitner. "Stattdessen haben wir eine resignative Grundhaltung eingenommen: Ein Weltbild, in dem Software halt Sicherheitslöcher hat, und Hacker diese halt ausnutzen."