- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Aktivitäten der Hackergruppe Callisto


Hackergruppe Callisto sammelte mit Hilfe von für Strafverfolgungsbehörden entwickelter Spyware nachrichtendienstliche Informationen über Außen- und Sicherheitspolitik in Osteuropa
Dass sich Hacker hochwertige Spyware auf Regierungsniveau aneignen konnten, sollte niemanden überraschen

- Anzeigen -





Einem Bericht der F-Secure Labs zufolge hat eine bis dato noch unbekannte Hackergruppe in den letzten Jahren aktiv nachrichtendienstliche Informationen über die Außen- und Sicherheitspolitik in Osteuropa und dem südlichen Kaukasus gesammelt. Der Bericht beschreibt die Callisto Gruppe als hoch motivierte und ressourcenstarke Hacker und ernst zu nehmende Bedrohung, die seit mindestens 2015 Cyberattacken auf Militärpersonal, Regierungsangestellte, Journalisten und Think Tanks durchgeführt hat.

Callisto war laut dem Bericht für eine Reihe von Cyberangriffe in 2015 und 2016 verantwortlich. Und obwohl deren Opfer nicht spezifisch genannt werden, identifiziert der Bericht eine klare Gemeinsamkeit unter den Zielen der Gruppe. Die angegriffenen Personen und Organisationen standen alle in Verbindung zur Außen- und Sicherheitspolitik in Osteuropa und dem südlichen Kaukasus, was Informationsdiebstahl als Motiv der Angriffe nahelegt.

Obwohl F-Secure Labs in Callistos Infrastruktur klare Verbindungen zu Organisationen in Russland, der Ukraine und China feststellte, konnte kein definitives Urteil darüber gefällt werden, wer genau hinter der Gruppe steht. Weiterhin hebt der Bericht hervor, dass es zwar Beweise für eine Verbindung zu einem Nationalstaat gibt, die genaue Art dieser Beziehung aber unklar bleibt.

"Ihre Vorgehensweise erinnert an staatlich-sanktionierte Angreifer, aber gleichzeitig fanden wir auch Beweise, die Callisto mit kriminellen Infrastrukturen in Verbindung brachten", sagt Sean Sullivan Sicherheitsberater bei F-Secure. "Demnach könnten sie eine unabhängige Gruppe sein, die im Auftrag einer Regierung handelt, oder eigenständig mit dem Ziel agiert, die gestohlenen Informationen an Regierungen oder Nachrichtendienste zu verkaufen. Doch das sind nur zwei von vielen möglichen Erklärungen und nach der momentanen Beweislage können wir noch kein endgültiges Urteil fällen."

Neben den Zielen und Motiven der Callisto-Gruppe, erklärt der Bericht auch die Angriffsstrategie, mit der die Hacker ihre Ziele unterwandern. Demzufolge bedient sich Callisto sowohl gezielten Phishing-Angriffen, um Anmeldedaten für E-Mail-Konten zu stehlen, als auch hoch personalisierten und sehr überzeugenden Spear-Phishing-E-Mails, die ihre Ziele mit Malware infizieren sollen. Verschickt wurden diese Spear-Phishing-E-Mails dabei oft von durch vorherige Phishing-Angriffe der Gruppe kompromittierte E-Mail-Konten.

Die auf diesem Weg übertragene Malware ermöglichte es den Angreifern, Informationen zu stehlen und weitere Malware zu installieren. Laut dem Bericht handelt es sich bei dieser Malware um eine Variante des Scout Tools der italienischen Überwachungsfirma HackingTeam. Das Scout-Tool war Teil des von HackingTeam an staatliche Organisationen verkauften Spyware-Toolsets, das in 2015 von Hackern gestohlen und online veröffentlicht wurde.

"Dass sich Hacker hochwertige Spyware auf Regierungsniveau aneignen konnten, sollte niemanden überraschen," sagt Erka Koivunen, Chief Information Security Officer F-Secure, für den Callistos Verwendung der für Strafverfolgungsbehörden entwickelten Spyware deutlich daran erinnert, welche Gefahren von Überwachungstechnologien ausgehen können.

"Überwachungs-Tools wie Scout sind von Grund auf dafür entwickelt worden, es Regierungen zu erlauben, die Privatsphäre ihrer Bevölkerung zu verletzen. In einer funktionierenden Demokratie werden diese Verletzungen von Gesetzen reguliert, und die Leute vertrauen dem Staat, solche Mittel verantwortungsvoll und nur unter strengster Kontrolle zu verwenden. Doch Datenschutzverletzungen und die folgende Verbreitung von professioneller Überwachungstechnologie im Netz eröffnet dieselben invasiven Möglichkeiten auch einer Vielzahl von Bedrohungsakteuren. Regierungen dürfen nicht vergessen, dass wir kein Monopol auf diese Technologien haben, und Söldner, feindliche Staaten und andere Bedrohungsakteure werden nicht zögern, die volle Macht dieser Überwachungstechnologien auch gegen uns einzusetzen."

Der Bericht erinnert, dass die Gruppe immer noch aktiv ist, und es sei ungewiss, wie sie auf ihre Enthüllung reagieren wird. Er beinhaltet außerdem eine Reihe von Indikatoren zur Erkennung existierender Datenschutzverletzungen und Ansätze zur Risikominderung für potenzielle Ziele, die derartige Angriffe durch die Callisto-Gruppe oder ähnliche Bedrohungen befürchten. F-Secure Produkte bedienen sich momentan verhaltensbasierter, allgemeiner und weiterer Erkennungsmethoden, um Nutzer vor den Aktivitäten der Callisto-Gruppe zu schützen. (F-Secure: ra)

eingetragen: 18.04.17
Home & Newsletterlauf: 24.04.17


F-Secure: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Sofacy ist eine sehr aktive Cyberspionagegruppe

    Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier - mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen. Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

  • Cryptomining-Kampagne mit Jenkins Server

    Check Point Software Technologies entdeckte riesige Mining-Aktivitäten mit dem XMRig-Miner. Die Verantwortlichen kommen wahrscheinlich aus China und erstellen Einheiten der Kryptowährung Monero. Zudem gibt es Anzeichen davon, dass die Hintermänner in einer großangelegten Aktion versuchen, die Rechenleistung von Jenkins CI-Servern für ihre Zwecke zu missbrauchen. Es wird angenommen, dass bisher Monero im Wert von drei Millionen US-Dollar kreiert wurden. Durch eine bekannte Schwachstelle (CVE-2017-1000353) in der Jenkins Java Deserialization-Implementierung kann sich diese Summe aber noch deutlich erhöhen. Dabei reichen zwei aufeinanderfolgende Anfragen an das CLI-Interface aus, um die Server zu kapern und den Schadcode einzuschleusen.

  • Neue Methoden, um Computer zu infizieren

    Symantec hat eine Untersuchung über die zunehmenden Aktivitäten einer Hackergruppe im Iran veröffentlicht. Die als Chafer bezeichnete Gruppe führt im Nahen Osten und darüber hinaus ambitionierte Angriffe durch. Sie setzt dabei zahlreiche neue Hacking-Tools ein. Chafer ist seit mindestens Juli 2014 aktiv und wurde erstmals von Symantec im Dezember 2015 entdeckt. Damals ging es den Angreifern hauptsächlich darum, Daten zu sammeln und ihre Angriffsziele zu überwachen.

  • Angriffstechnik: "Memcached Reflection"

    Das Security Intelligence Response Team (SIRT) von Akamai berichtet in einem Blogpost über eine neue Distributed-Denial-of-Service- (DDoS-)Angriffswelle, die auf der neuartigen Angriffstechnik "Memcached Reflection" beruht. Sie greift Memcached Server an und missbraucht diese für Attacken auf ausgewählte Ziele. Memcached Server puffern dynamische Web-Applikationen im Hauptspeicher des Servers, um den Zugriff zu beschleunigen und so das Datenbank-Backend zu entlasten. Angriffe in einer Größe wie sie durch "Memcached Reflection" verursacht werden, können nicht ohne weiteres von Rechenzentrumslösungen abgewehrt werden, sondern erfordern die Unterstützung von Upstream ISPs und/oder Cloud-basierten DDoS-Security-Services.

  • Angriffe im Terabit-Bereich

    Netscout Arbor, ein Sicherheitsspezialist für DDoS-Abwehr-Lösungen, bestätigt einen DDoS-Angriff mit 1,7 Terabit pro Sekunde (Tbps) auf ein in den USA ansässiges Unternehmen. Letzte Woche hatte das Unternehmen Akamai den ersten Terabit-Angriff mit 1,3 Terabit pro Sekunde gemessen. Beide DDoS-Angriffe haben die gleichen Techniken verwendet. Hierzu wurden falsch konfigurierte memcached Server in Internet-Data-Center (IDC)-Netzwerken als Reflektoren/Verstärker missbraucht.