- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Überwachungs- & Verfolgungsoperationen


APT39: Iranische Cyber-Spionagegruppe mit Spezialisierung auf personenbezogene Daten
FireEye geht vorläufig davon aus, dass APT39-Operationen den nationalen Interessen des Irans dienen

- Anzeigen -





Von Benjamin Read, Senior Manager für Cyber Spionage Analyse, FireEye

Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

APT39 wurde geschaffen, um frühere Cyber-Aktivitäten und methodische Vorgehensweisen dieses Akteurs zu bündeln. Die Aktivitäten orientieren sich weitgehend an der Vorgehensweise einer als "Chafer" bereits bekannten Gruppe. Durch unterschiedliche Vorgehensweisen, wie Organisationen Cyber-Aktivitäten verfolgen, gibt es jedoch Abweichungen in der öffentlichen Berichterstattung über Chafer. APT39 nutzt in erster Linie die Hintertüren SEAWEED und CACHEMONEY sowie eine spezielle Variante der POWBAT-Hintertür. Während der Zielbereich von APT39 global ist, konzentrieren sich die Aktivitäten auf den Mittleren Osten.

APT39 hat den Telekommunikationssektor im Fokus, mit einer zusätzlichen Ausrichtung auf die Reisebranche und IT-Unternehmen, die diese Firmen unterstützen. Weiterhin zielt man auf die High-Tech-Industrie ab. Die von APT39 anvisierten Länder und Branchen sind in Abbildung 1 dargestellt.

Operative Zielsetzung
Der Fokus von APT39 auf die Telekommunikations- und Reisebranche legt drei Intentionen nahe: Die Absicht, Überwachungs- und Verfolgungsoperationen gegen einzelne Personen durchzuführen, die Sammlung von proprietären und Kundendaten für kommerzielle oder nationale strategische Zwecke sowie die Schaffung zusätzlicher Zugangspunkte und Vektoren für zukünftige Kampagnen.

Das Anvisieren von Regierungsstellen suggeriert eine weitere Absicht, geopolitische Daten zur Entscheidungsfindung auf nationalstaatlicher Ebene zu sammeln. Das Targeting von Daten unterstützt die Ansicht, dass die Hauptaufgabe von APT39 darin besteht, wichtige Ziele zu verfolgen oder zu überwachen, persönliche Informationen, einschließlich Reiserouten, zu sammeln und Kundendaten von Telekommunikationsunternehmen zu erlangen.

Iran-Nexus Indikatoren
FireEye geht vorläufig davon aus, dass APT39-Operationen den nationalen Interessen des Irans dienen. Diese Annahme basiert auf Mustern im regionalen Targeting auf den Mittleren Osten, Infrastruktur, Timing und Gemeinsamkeiten mit APT34, eine Gruppe die lose im Zusammenhang mit Aktivitäten steht, die öffentlich als "OilRig" bekannt sind. Zwar haben APT39 und APT34 Gemeinsamkeiten wie die Methoden zur Malware-Distribution, Nutzung der Backdoor POWBAT, Namensgebung in der Infrastruktur und Überlappung in ihren Zielen, doch aufgrund der Nutzung einer anderen POWBAT-Variante geht FireEye bei APT39 von einer anderen Gruppe als APT34 aus. Es ist möglich, dass diese Gruppen zusammenarbeiten oder eventuell auf gemeinsame Ressourcen zurückgreifen.

Angriffszyklen
APT39 nutzt eine Vielfalt eigens erstellter und öffentlich zugänglicher Malware und Tools in allen Phasen des Angriffszyklus.

>> Initialer Angriff: Für den ersten Angriff beobachtete FireEye Intelligence die Nutzung von APT39 Spear Phishing-E-Mails mit bösartigen Anhängen und/oder Hyperlinks, die typischerweise zu einer POWBAT-Infektion führen. APT39 registriert und nutzt häufig Domains, die sich als legitime Webservices und Organisationen ausgeben, die für das beabsichtigte Ziel relevant sind. Darüber hinaus hat diese Gruppe routinemäßig anfällige Webserver von Zielunternehmen identifiziert und ausgenutzt, um Web-Shells wie ANTAK und ASPXSPY zu installieren, und gestohlene Anmeldeinformationen verwendet, um externe Outlook Web Access (OWA)-Ressourcen zu kompromittieren.

>> Festsetzen, Zugriffsrechte erlangen und innere Aufklärung: Nach erfolgreicher Infiltration nutzt APT39 maßgeschneiderte Hintertüren wie SEAWEED, CACHEMONEY und eine einzigartige Variante von POWBAT, um in einer Zielumgebung Fuß zu fassen. Bei der Erlangung von Zugriffsrechten wurden frei verfügbare Tools wie Mimikatz und Ncrack beobachtet, zusätzlich zu legitimen Tools wie Windows Credential Editor und ProcDump. Die interne Aufklärung erfolgte dann mit Hilfe von benutzerdefinierten Skripten und sowohl frei verfügbaren als auch angepassten Tools wie dem Portscanner BLUETORCH.

>> Ausbreitung, Präsenz aufrechterhalten und Mission abschließen: APT39 gelingt die Ausbreitung durch zahlreiche Tools wie Remote Desktop Protocol (RDP), Secure Shell (SSH), PsExec, RemCom und xCmdSvc. Anpassbare Tools wie REDTRIP, PINKTRIP und BLUETRIP wurden zusätzlich genutzt um SOCKS5-Proxys zwischen infizierten Hosts zu erstellen. Zusätzlich zur Ausbreitung nutzt APT39 das Protokoll RDP um in der angegriffenen Umgebung eine Präsenz aufrecht zu erhalten. Zum Abschluss der Mission archiviert APT39 die gestohlenen Daten in der Regel mit Kompressionstools wie WinRAR oder 7-Zip.

Es gibt Anzeichen, dass APT39 eine Präferenz aufweist, durch operative Sicherheit die Bedrohungserkennungen in Netzwerken zu umgehen. In einem Fall wurde eine Version von Mimikatz modifiziert, um dem Virenschutz auszuweichen, und in einem anderen Fall hat APT39 nach Erlangen des ersten Zugriffs das Abgreifen der Zugangsdaten außerhalb der kompromittierten Umgebung durchgeführt, um so einer Erkennung auszuweichen.

Ausblick
FireEye ist der Ansicht, dass das maßgebliche Targeting der Telekommunikations- und Reisebranchen die Intention verfolgt, persönliche- und Kundendaten von "interessanten und wichtigen Zielen" für Überwachungszwecke zu sammeln und zukünftige Operationen zu ermöglichen. Telekommunikationsfirmen sind attraktive Ziele, da sie große Mengen an persönlichen- und Kundendaten speichern, Zugriff zu kritischen Infrastrukturen zur Kommunikation gewähren, und zu einer großen Auswahl potenzieller Ziele in verschiedenen Märkten führen können.

Das Targeting von APT39 ist nicht nur eine Bedrohung für die uns bekannten Branchen, sondern erstreckt sich auf die Kundschaft jener Organisationen, zu der eine Vielfalt an Sektoren und Einzelpersonen auf globaler Ebene gehören. Die Aktivitäten von APT39 zeigen die potenzielle, weltweit operierende Reichweite des Irans auf, und wie Cyber-Operationen als kostengünstiges und effektives Werkzeug dienen, um Schlüsseldaten über Bedrohungen iranischer, nationaler Sicherheit zu sammeln und einen Vorteil gegen regionale und globale Rivalen zu erlangen.
(FireEye: ra)

eingetragen: 30.01.19
Newsletterlauf: 27.02.19

FireEye: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

  • Zukunft von unentdeckter Malware

    Malwarebytes veröffentlichte die Studie "Unter dem Radar - die Zukunft von unentdeckter Malware" und beleuchtet darin einige der neuesten Bedrohungen in diesem Bereich für Unternehmen: Emotet, TrickBot, Sobretec, SamSam und PowerShell. Widerstandsfähigkeit und Erkennungsvermeidung als neuer Fokus: Die stetige Weiterentwicklung von Cyberkriminalität ist eine Konstante in unserer heutigen digitalen Welt. Fast täglich gibt es Nachrichten von neuen Angriffsmethoden, einer neuen Angriffsstrategie oder einer Taktik, mit der Cyberkriminelle Benutzer infizieren, ihre Lebensgrundlage gefährden und oder ganz allgemein Chaos anrichten. Um ihren Profit zu steigern, wollen Cyberkriminellen Endpunkte zielgerichtet und vollständig besetzen. Sie haben das Ziel, Endpunkte unbemerkt zu infizieren, sowohl in dem Moment der ersten Gefährdung, als auch bei allen weiteren Versuchen, den Endpunkt zu besetzen.

  • Wesentlich effizientere DDoS-Bots

    Das Botnetz Mirai beschränkt sich nicht mehr länger auf ungesicherte IoT-Geräte. Das sind Erkenntnisse von Asert, ein Team aus Sicherheitsspezialisten des Unternehmens Netscout Arbor, ein Anbieter von Business Assurance-, Cybersicherheits- und Business-Intelligence-Lösungen.Kriminelle Betreiber der großen Botnetze haben die Malware von Mirai so angepasst, dass sie nun auch ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn gefährden. Hadoop ist ein Framework von Apache, das Big Data-Anwendungen verarbeitet und speichert, die in geclusterten Systemen ausgeführt werden. Yarn ist für die Zuweisung von Systemressourcen und Planungsaufgaben verantwortlich.

  • Hacker gehen auf Butterfahrt

    GuardiCore hat eine Hacking-Kampagne aufgedeckt, bei der ein Remote-Access-Trojaner (RAT) mit DDoS-Funktion samt Krypto-Miner installiert werden. Die "Butter" genannte Schadsoftware agiert im Hintergrund und wird zur Verwischung ihrer Spuren als Linux-Kernel-Rootkit getarnt. GuardiCore entwickelt IT-Sicherheitstechnologien und erstellt mit einem weltweiten Forscherteam sicherheitsbezogene IT-Analysen, Rechercheberichte und Gegenmaßnahmen für aktuelle Bedrohungen.