- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Überwachungs- & Verfolgungsoperationen


APT39: Iranische Cyber-Spionagegruppe mit Spezialisierung auf personenbezogene Daten
FireEye geht vorläufig davon aus, dass APT39-Operationen den nationalen Interessen des Irans dienen



Von Benjamin Read, Senior Manager für Cyber Spionage Analyse, FireEye

Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

APT39 wurde geschaffen, um frühere Cyber-Aktivitäten und methodische Vorgehensweisen dieses Akteurs zu bündeln. Die Aktivitäten orientieren sich weitgehend an der Vorgehensweise einer als "Chafer" bereits bekannten Gruppe. Durch unterschiedliche Vorgehensweisen, wie Organisationen Cyber-Aktivitäten verfolgen, gibt es jedoch Abweichungen in der öffentlichen Berichterstattung über Chafer. APT39 nutzt in erster Linie die Hintertüren SEAWEED und CACHEMONEY sowie eine spezielle Variante der POWBAT-Hintertür. Während der Zielbereich von APT39 global ist, konzentrieren sich die Aktivitäten auf den Mittleren Osten.

APT39 hat den Telekommunikationssektor im Fokus, mit einer zusätzlichen Ausrichtung auf die Reisebranche und IT-Unternehmen, die diese Firmen unterstützen. Weiterhin zielt man auf die High-Tech-Industrie ab. Die von APT39 anvisierten Länder und Branchen sind in Abbildung 1 dargestellt.

Operative Zielsetzung
Der Fokus von APT39 auf die Telekommunikations- und Reisebranche legt drei Intentionen nahe: Die Absicht, Überwachungs- und Verfolgungsoperationen gegen einzelne Personen durchzuführen, die Sammlung von proprietären und Kundendaten für kommerzielle oder nationale strategische Zwecke sowie die Schaffung zusätzlicher Zugangspunkte und Vektoren für zukünftige Kampagnen.

Das Anvisieren von Regierungsstellen suggeriert eine weitere Absicht, geopolitische Daten zur Entscheidungsfindung auf nationalstaatlicher Ebene zu sammeln. Das Targeting von Daten unterstützt die Ansicht, dass die Hauptaufgabe von APT39 darin besteht, wichtige Ziele zu verfolgen oder zu überwachen, persönliche Informationen, einschließlich Reiserouten, zu sammeln und Kundendaten von Telekommunikationsunternehmen zu erlangen.

Iran-Nexus Indikatoren
FireEye geht vorläufig davon aus, dass APT39-Operationen den nationalen Interessen des Irans dienen. Diese Annahme basiert auf Mustern im regionalen Targeting auf den Mittleren Osten, Infrastruktur, Timing und Gemeinsamkeiten mit APT34, eine Gruppe die lose im Zusammenhang mit Aktivitäten steht, die öffentlich als "OilRig" bekannt sind. Zwar haben APT39 und APT34 Gemeinsamkeiten wie die Methoden zur Malware-Distribution, Nutzung der Backdoor POWBAT, Namensgebung in der Infrastruktur und Überlappung in ihren Zielen, doch aufgrund der Nutzung einer anderen POWBAT-Variante geht FireEye bei APT39 von einer anderen Gruppe als APT34 aus. Es ist möglich, dass diese Gruppen zusammenarbeiten oder eventuell auf gemeinsame Ressourcen zurückgreifen.

Angriffszyklen
APT39 nutzt eine Vielfalt eigens erstellter und öffentlich zugänglicher Malware und Tools in allen Phasen des Angriffszyklus.

>> Initialer Angriff: Für den ersten Angriff beobachtete FireEye Intelligence die Nutzung von APT39 Spear Phishing-E-Mails mit bösartigen Anhängen und/oder Hyperlinks, die typischerweise zu einer POWBAT-Infektion führen. APT39 registriert und nutzt häufig Domains, die sich als legitime Webservices und Organisationen ausgeben, die für das beabsichtigte Ziel relevant sind. Darüber hinaus hat diese Gruppe routinemäßig anfällige Webserver von Zielunternehmen identifiziert und ausgenutzt, um Web-Shells wie ANTAK und ASPXSPY zu installieren, und gestohlene Anmeldeinformationen verwendet, um externe Outlook Web Access (OWA)-Ressourcen zu kompromittieren.

>> Festsetzen, Zugriffsrechte erlangen und innere Aufklärung: Nach erfolgreicher Infiltration nutzt APT39 maßgeschneiderte Hintertüren wie SEAWEED, CACHEMONEY und eine einzigartige Variante von POWBAT, um in einer Zielumgebung Fuß zu fassen. Bei der Erlangung von Zugriffsrechten wurden frei verfügbare Tools wie Mimikatz und Ncrack beobachtet, zusätzlich zu legitimen Tools wie Windows Credential Editor und ProcDump. Die interne Aufklärung erfolgte dann mit Hilfe von benutzerdefinierten Skripten und sowohl frei verfügbaren als auch angepassten Tools wie dem Portscanner BLUETORCH.

>> Ausbreitung, Präsenz aufrechterhalten und Mission abschließen: APT39 gelingt die Ausbreitung durch zahlreiche Tools wie Remote Desktop Protocol (RDP), Secure Shell (SSH), PsExec, RemCom und xCmdSvc. Anpassbare Tools wie REDTRIP, PINKTRIP und BLUETRIP wurden zusätzlich genutzt um SOCKS5-Proxys zwischen infizierten Hosts zu erstellen. Zusätzlich zur Ausbreitung nutzt APT39 das Protokoll RDP um in der angegriffenen Umgebung eine Präsenz aufrecht zu erhalten. Zum Abschluss der Mission archiviert APT39 die gestohlenen Daten in der Regel mit Kompressionstools wie WinRAR oder 7-Zip.

Es gibt Anzeichen, dass APT39 eine Präferenz aufweist, durch operative Sicherheit die Bedrohungserkennungen in Netzwerken zu umgehen. In einem Fall wurde eine Version von Mimikatz modifiziert, um dem Virenschutz auszuweichen, und in einem anderen Fall hat APT39 nach Erlangen des ersten Zugriffs das Abgreifen der Zugangsdaten außerhalb der kompromittierten Umgebung durchgeführt, um so einer Erkennung auszuweichen.

Ausblick
FireEye ist der Ansicht, dass das maßgebliche Targeting der Telekommunikations- und Reisebranchen die Intention verfolgt, persönliche- und Kundendaten von "interessanten und wichtigen Zielen" für Überwachungszwecke zu sammeln und zukünftige Operationen zu ermöglichen. Telekommunikationsfirmen sind attraktive Ziele, da sie große Mengen an persönlichen- und Kundendaten speichern, Zugriff zu kritischen Infrastrukturen zur Kommunikation gewähren, und zu einer großen Auswahl potenzieller Ziele in verschiedenen Märkten führen können.

Das Targeting von APT39 ist nicht nur eine Bedrohung für die uns bekannten Branchen, sondern erstreckt sich auf die Kundschaft jener Organisationen, zu der eine Vielfalt an Sektoren und Einzelpersonen auf globaler Ebene gehören. Die Aktivitäten von APT39 zeigen die potenzielle, weltweit operierende Reichweite des Irans auf, und wie Cyber-Operationen als kostengünstiges und effektives Werkzeug dienen, um Schlüsseldaten über Bedrohungen iranischer, nationaler Sicherheit zu sammeln und einen Vorteil gegen regionale und globale Rivalen zu erlangen.
(FireEye: ra)

eingetragen: 30.01.19
Newsletterlauf: 27.02.19

FireEye: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Hybride aus Daten-Diebstahl und Ransomware

    SophosLabs und Sophos Managed Threat Response haben einen Bericht über eine neue Ransomware veröffentlicht, die eine bisher noch nicht bekannte Angriffsmethode verwendet: Die sogenannte Snatch-Ransomware geht mit variierenden Techniken vor und veranlasst unter anderem einen Neustart übernommener Computer im abgesicherten Modus, um verhaltensorientierte Schutzmaßnahmen, die speziell nach Ransomware-Aktivitäten wie das Verschlüsseln von Dateien Ausschau halten, zu umgehen. Sophos geht davon aus, dass Cyberkriminelle damit eine neue Angriffstechnik etabliert haben, um fortschrittliche Schutzmechanismen auszuhebeln. Neben der neuen Angriffstaktik belegt ein weiterer interessanter Fund, dass sich ein anderer Trend fortzusetzen scheint: Kriminelle filtern immer häufiger Daten heraus, bevor die eigentliche Ransomware-Attacke startet. Die entwendeten Daten könnten zu einem späteren Zeitpunkt für Erpressungen, auch in Zusammenhang mit der DSGVO, verwendet werden. Ähnliches Verhalten konnten die SophosLabs zum Beispiel bei Ransomware-Gruppen wie Bitpaymer feststellen.

  • Windows-Zero-Day-Exploit zur Rechteausweitung

    Kaspersky-Technologien haben eine Zero-Day-Schwachstelle im Windows-Betriebssystem gefunden. Der darauf basierende Exploit ermöglichte es Angreifern, höhere Privilegien auf dem attackierten Gerät zu erlangen und Schutzmechanismen im Google Chrome Browser zu umgehen - wie es in der WizardOpium-Kampagne geschah. Ein Patch wurde bereits veröffentlicht. Die neue Windows-Schwachstelle wurde von Kaspersky-Forschern aufgrund eines anderen Zero-Day-Exploits gefunden. Bereits im vergangenen November hatten die Exploit-Prevention-Technologien, die in den meisten Produkten des Unternehmens integriert sind, einen Zero-Day-Exploit in Google Chrome gefunden. Dieser Exploit ermöglichte es den Angreifern, beliebigen Code auf dem Computer des Opfers ausführen. Im Rahmen weiterer Untersuchungen dieser Kampagne, die die Experten WizardOpium tauften, wurde nun der Exploit im Windows-Betriebssystem gefunden.

  • Phishing ist ein langfristiges Problem

    Akamai Technologies hat den "State of the Internet"-Sicherheitsbericht 2019 "Phishing - Baiting the hook" veröffentlicht. Die Forschungsergebnisse zeigen, dass Cyberkriminelle unternehmensbasierte Entwicklungs- und Bereitstellungsstrategien wie Phishing-as-a-Service nutzen, um die größten Technologiekonzerne der Welt anzugreifen. Knapp 43 Prozent der beobachteten Domains zielten auf Microsoft, PayPal, DHL und Dropbox ab. Der Bericht legt offen, dass Phishing nicht mehr nur eine E-Mail-basierte Bedrohung ist, sondern auch Social Media und mobile Geräte umfasst. Es handelt sich um ein weitreichendes Problem, das alle Branchen betrifft. Da sich die Angriffsmethoden weiterentwickeln, entstehen neue Techniken, etwa für Attacken auf geschäftliche E?Mails (Business E?Mail Compromise, BEC). Laut dem FBI führten BEC-Angriffe zwischen Oktober 2013 und Mai 2018 zu weltweiten Verlusten von mehr als 12 Milliarden US-Dollar.

  • Ziel des Angriffs kann sogar geblacklisted werden

    Im Laufe des Jahres 2019 haben das Threat Research Center (TRC) und das Emergency Response Team (ERT) von Radware eine zunehmende Anzahl von TCP-Reflection-Angriffen überwacht und verteidigt. Bei solchen Angriffen werden nicht nur die eigentlichen Ziele in Mitleidenschaft gezogen, sondern auch nichts ahnende Netzwerkbetreiber, deren Ressourcen benutzt werden, um die Attacke zu verstärken. Im Extremfall wird das Ziel des Angriffs als vermeintlicher Urheber der Attacke sogar von den einschlägigen Service-Anbietern auf deren Blacklists gesetzt. TCP-Reflection-Angriffe wie die SYN-ACK Reflection waren bis vor kurzem bei Angreifern weniger beliebt. Der Mangel an Popularität war hauptsächlich auf die falsche Annahme zurückzuführen, dass TCP-Reflection-Angriffe im Vergleich zu UDP-basierten Reflexionen nicht genügend Verstärkung erzeugen können. Im Allgemeinen haben TCP-Angriffe eine geringe Bandbreite und die Wahrscheinlichkeit ist geringer, dass eine Internetverbindung gesättigt wird. Stattdessen werden TCP-Angriffe genutzt, um durch hohe Paketraten (Packets Per Second - PPS) viele Ressourcen von Netzwerkgeräten zu binden und so Ausfälle zu provozieren.

  • Sicherheitsprognosen für 2020

    Die Sicherheitsforscher von Malwarebytes geben ihre Sicherheitsprognosen für das Jahr 2020 bekannt. Dabei prognostizieren die Experten zunehmende Gefahren für Unternehmen durch Ransomware-Angriffe, erwarten vermehrt Exploit-Kit-Aktivitäten und VPN-Skandale. Im Folgenden werden sechs Sicherheitsprognosen vorgestellt und in die Entwicklungen der jüngsten Zeit eingeordnet. Ransomware-Angriffe auf Unternehmen und Regierungen werden dank neu gefundener Schwachstellen zunehmen. Bereits in den vergangenen beiden Jahren konnte im Business-Umfeld ein Anstieg von Schwachstellen festgestellt werden und gerade in diesem Jahr wurde immer mehr Malware entwickelt, die sich auf Unternehmen konzentriert anstatt auf Verbraucher.