- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Neue Angriffsstrategie über Firefox


Cyberkriminelle nutzen Instagram als Einfallstor
Hacker-Gruppe Turla nutzt Erweiterungen im Firefox-Browser, um Opfer auszuspionieren

- Anzeigen -





Seit 2007 attackiert die Cyberspionage-Gruppe Turla Regierungen sowie Regierungsvertreter und Diplomaten. Nun hat sie ihrem Arsenal ein neues Werkzeug hinzugefügt: Eset hat eine neue Angriffsstrategie analysiert, bei der die Gruppe eine Firefox-Erweiterung nutzt, um das beliebte soziale Netzwerk Instagram für ihre Zwecke zu missbrauchen.

Die Taktik der Turla-Gruppe besteht üblicherweise in der Kompromittierung von Webseiten, die von den anvisierten Opfern häufiger aufgerufen werden – sogenannte "Watering-Hole-Attacken". Einmal ins Netz gegangen, werden die Nutzer auf einen Command-and-Control-Server (C&C) umgeleitet, über den die Geräte der Opfer Befehle empfangen und überwacht werden können.

Verbreitung über Instagram-Kommentare
Bei der Beobachtung aktueller Turla-Kampagnen fiel den Forschern von Eset auf, die erst kürzlich als schädlich eingestuft wurde. Im Gegensatz zu älteren Versionen nutzt diese Erweiterung eine bit.ly-Kurz-URL, um Kontakt zum C&C-Server herzustellen. Dieser URL-Pfad findet sich allerdings nicht in der Firefox-Erweiterung, sondern wird über die Kommentarfunktion einzelner Instagram Posts verbreitet – so beispielsweise unter einem Bild auf dem Account von Britney Spears.

Um an die bit.ly-URL zu gelangen, durchsucht die Erweiterung alle Instagram-Kommentare. Für jeden Kommentar, den sie berechnet, hat sie einen benutzerdefinierten Hashwert. Wenn der Hashwert mit der Zahl 183 übereinstimmt, wird der URL-Pfad aus dem Kommentar gezogen.

Herausforderung für Security-Branche
"Die Tatsache, dass Turla Social Media nutzt, um C&C-Adressen wiederherzustellen, macht Anbietern von Cybersecurity-Lösungen das Leben schwer. Mit dieser Taktik lässt sich böswilliger von normalem Traffic in Social-Media-Kanälen kaum noch", so Jean-Ian Boutin, Senior Malware Researcher bei Eset. "Da die Informationen für die Command-and-Control-URL in einfachen Kommentaren versteckt sind, hat der Angreifer die Möglichkeit, diese einfach zu ändern oder komplett zu löschen."

Um nicht selbst Opfer einer solchen Watering-Hole-Attacke zu werden, empfehlen die Eset Forscher Browser und deren Erweiterungen stets aktuell zu halten. Zudem sollten Nutzer Erweiterungen und Add-ons nur aus seriösen Quellen laden und installieren. Glücklicherweise sind moderne Cybersecurity-Lösungen in der Lage, verdächtige Webseiten, welche potentiell schädliche Inhalte verbreiten, zu erkennen und den Nutzer rechtzeitig zu warnen.

Die vollständige Analyse der neuen Watering-Hole-Kampagne von Turla findet sich im Eset Blog WeLiveSecurity unter https://www.welivesecurity.com/deutsch/2017/06/07/turla-watering-hole-firefox-erweiterung-missbraucht-instagram/ .
(Eset: ra)

eingetragen: 17.06.17
Home & Newsletterlauf: 28.06.17


Eset: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Point-of-Sale-Malware "LockPOS"

    Die "LockPOS" genannte Point-of-Sale-Malware wurde erstmals 2017 beobachtet. Es handelt sich um einen Infostealer, der Daten von Zahlungskarten wie Kreditkarten aus dem Speicher der betroffenen Point-of-Sale-Systeme abzieht. Sicherheitsanalyst Henok Asfaw, Senior Threat Researcher beim Spezialisten für KI-basierende Malware-Abwehr bei Cylance, hat sich die jüngste Variante von LockPOS in seinem aktuellen Blog genauer angesehen. LockPOS hat - wie dokumentiert - die Injection-Technik so verändert, dass sie die Malware nun direkt im Kernel, also dem Betriebssystemkern, platziert. Das macht es bedeutend schwieriger die Schadsoftware aufzudecken und dient in erster Linie dazu traditionell arbeitende Antivirenlösungen zu umgehen.

  • Krypto-Mining mithilfe von Exploit-Kits

    Krypto-Währungen wie Bitcoin, Monero und Co. sind inzwischen nicht nur Digital-Virtuosen ein Begriff, sondern auch der breiteren Masse bekannt - es ist daher keine Überraschung, dass auch Cyber-Kriminelle von der wachsenden Popularität der Krypto-Währungen profitieren möchten. Sicherheitsforscher von Malwarebytes haben nun einen Anstieg von Exploit-Kits in Verbindung mit Crypto-Mining registriert: Infizierte PCs schürfen dabei im Hintergrund und ohne Wissen des Opfers Krypto-Währungen für den Initiator der Malware. Verbreitet wird die Schadsoftware dabei immer häufiger über Exploit-Kits - so auch bei den sich häufenden Drive-By-Download-Attacken der aktuellen Ngay-Kampagne.

  • Backdoor Mosquito übermittelt geheime Infos

    Die Spionage-Gruppe "Turla" übt derzeit gezielte Angriffe auf hochrangige Diplomaten und politische Organisationen in Osteuropa aus. Der in der Vergangenheit erfolgreiche Modus Operandi mit infizierten Flash Player Installern besitzt einen gefährlichen neuen Zusatz: Die Installationsdateien gaukeln Vertrauenswürdigkeit vor, indem sie scheinbar von der offiziellen Webseite des Softwareabieters Adobe heruntergeladen werden. So führen sie auch sicherheitsbewusste Landesvertreter hinters Licht.

  • Werbeanzeigen lösen Wi-Fi-Verbindungen aus

    Die Sicherheitsforscher von Check Point Software Technologies haben die neue Adware "LightsOut" in Google Play entdeckt. Die Malware wurde in 22 unterschiedlichen Flashlight- und Dienstprogramm-Anwendungen im offiziellen App-Store von Google gefunden. Dabei geht man von einer erreichten Verbreitung von 1,5 Millionen bis 7,5 Millionen Downloads aus. Ziel von LightsOut war die Generierung illegaler Werbeeinnahmen auf Kosten seiner ahnungslosen Opfer.

  • Zielrichtung E-Mail und Social Media

    Der Banking-Trojaner Terdot, der ursprünglich auf Online-Banking und Zahlungsvorgänge abzielte, feiert gerade Comeback als Instrument zum Diebstahl von Daten und Anmeldeinformationen. Ein aktuell veröffentlichtes Whitepaper von Bitdefender zeichnet detailliert nach, wie der Trojaner entstanden ist, wie er sich ausbreitet und tarnt, was er an Fähigkeiten heute besitzt und wie er sich noch entwickeln könnte. Leser erhalten mit der detaillierten technischen Analyse ein Musterbeispiel, wie Cyberkriminelle heute ihre Attacken individualisieren und perfektionieren. Seine Fähigkeiten gehen über den Primärzweck eines Banking-Trojaners weit hinaus: Terdot kann unter anderem durch einen leistungsstarken Man-in-the-Middle-Proxy sensible Daten aus dem gesamten Internetverkehr eines Users filtern und weiterleiten. Zudem ist es ihm möglich, Browser-Informationen wie Login-Daten und Kreditkarteninformationen zu stehlen und HTML-Code in besuchte Webseiten zu injizieren.