- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Sofacy ist eine sehr aktive Cyberspionagegruppe


Sofacy erweitert sein Operationsgebiet in Richtung Fernost
Opfer von Sofacy wurden oftmals bereits von anderen Cyberspionagegruppen angegriffen


- Anzeigen -





Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier – mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen. Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

Sofacy ist eine sehr aktive Cyberspionagegruppe, deren Aktivitäten Kaspersky Lab bereits seit vielen Jahren beobachtet. Erst im Februar 2018 veröffentlichte Kaspersky Lab eine Zusammenstellung der Sofacy-Aktivitäten im Jahr 2017. Sie zeigt die allmähliche Verlagerung weg von NATO-bezogenen Zielen in Richtung Naher Osten, Zentralasien und Fernost. Sofacy operiert mit Spear-Phishing- und gelegentlich auch mit Wasserloch-Methoden. Zu den gestohlenen Informationen gehören Zugangsdaten, sensible Kommunikationsdaten und Dokumente. Die Gruppe wird verdächtigt, auch zerstörerische Payloads zu verbreiten.

Neue Erkenntnisse zeigen nun, dass Sofacy nicht der einzige Akteur ist, der in den genannten Regionen aktiv ist. Dabei kam es auch zu Überschneidungen mit anderen Bedrohungsakteuren. So konkurrierte die zu Sofacy gehörende Zebrocy-Malware bereits mit dem russischsprachigen Mosquito Turla Cluster, oder seine SPLM Backdoor mit Angriffen der klassischen Turla-Gruppe und dem chinesischsprachigen Akteur Danti. Zu den von mehreren Akteuren attackierten Zielen gehörten staatliche Stellen sowie Organisationen aus Technik, Wissenschaft und Verteidigung in oder aus Zentralasien.

Die außergewöhnlichste Überlappung ist aber wahrscheinlich jene zwischen Sofacy und dem englischsprachigen Bedrohungsakteur, der hinter Lamberts steckt. Die Kaspersky-Experten stießen auf diese Verbindung, als sie Sofacy auf einem Server entdeckten, der bereits von der Grey-Lamberts-Malware befallen worden war. Der Server gehört zu einem chinesischen Mischkonzern, der im Bereich ziviler und militärischer Luftfahrttechnologie tätig ist.

Die Forschungsarbeiten zu diesem Fall laufen noch. Aktuell kann noch nicht ausgeschlossen werden, dass Sofacy einen neuen, bislang unentdeckten Exploit nutzt, dass Sofacy für den Malware-Download Kommunikationskanäle von Grey Lamberts gekapert hat, oder dass es sich bei den Sofacy-Hinweisen um falsche Flaggen (False Flag) handelt.

"Manchmal wird Sofacy als wild und ungestüm dargestellt. Wir sehen aber, dass die Gruppe auch pragmatisch, bedächtig und flexibel sein kann", erklärt Kurt Baumgartner, Principal Security Researcher bei Kaspersky Lab. "Über die Sofacy-Aktivitäten in Asien wird wenig berichtet, doch ist es sicher nicht der einzige Bedrohungsakteur, der an dieser Region Interesse gefunden hat – sogar an ein und denselben Zielen. Die Bedrohungslandschaft wird immer komplexer, und so werden wir noch weitere Beispiele für die Wahl identischer Ziele sehen. Das würde erklären, warum viele Bedrohungsakteure zunächst die Präsenz anderer Eindringlinge prüfen, bevor sie mit ihren Angriffen vollständig loslegen."

Die Kaspersky-Experten haben auch herausgefunden, dass Sofacy jetzt getrennte Abteilungen für jedes seiner wichtigsten Tools unterhält. Gebündelt werden dabei das Coding, die Entwicklung und das Targeting von SPLM (auch bekannt unter CHOPSTICK und Xagent), von GAMEFISH und von Zebrocy. Dabei ist SPLM das bevorzugte und am häufigsten verwendete Second Stage Tool, während Zebrocy für Massenangriffe eingesetzt wird. Die Experten gehen davon aus, dass Sofacy zu Beginn des Jahres 2018 SPLM bei Großunternehmen der Luftverteidigung in China eingesetzt hat, während Zebrocy größere Verbreitung in Armenien, der Türkei, in Kasachstan, Tadschikistan, Afghanistan, der Mongolei, in China und in Japan fand.

Maßnahmen zur Abwehr

Alle Kaspersky-Lösungen erkennen die bekannten Sofacy-Attacken und machen sie unschädlich. Bei einigen anspruchsvolleren Desinfektionsmaßnahmen ist ein Reboot erforderlich.

In den betroffenen Regionen rät Kaspersky Lab allen militärischen Einrichtungen sowie allen Organisationen, die mit Verteidigung und Außenbeziehungen zu tun haben, die Umsetzung der folgenden Maßnahmen, um nicht selbst Opfer gezielter Angriffe zu werden:

• >> Unternehmen sollten geeignete Sicherheitslösungen in Kombination mit Technologien zur Abwehr zielgerichteter Angriffe und Threat Intelligence einsetzen, wie sie etwa die Lösung Kaspersky Threat Management and Defense bietet. Über die Analyse von Anomalien im Netzwerk werden hochentwickelte gezielte Angriffe sichtbar. Cybersicherheits-Teams erhalten einen vollständigen Einblick in das Netzwerk und die automatische Vorfallreaktion.

• >> Alle Mitarbeiter der Sicherheits-Teams sollten Zugang zu aktuellen Threat-Intelligence-Informationen haben. Dann können sie sich mit hilfreichen Tools wappnen, die zur Inspektion und Abwehr gezielter Angriffe eingesetzt werden können, wie zum Beispiel Kompromittierungsindikatoren (IOC), YARA und kundenspezifisches Advanced Threat Reporting.

• >> Werden frühzeitig Indikatoren für einen zielgerichteten Angriff gefunden, sollte die Inanspruchnahme von Managed Protection Services erwogen werden. Damit lassen sich proaktiv hochentwickelte Bedrohungen erkennen, deren Überlebensdauer reduzieren und zeitnah Maßnahmen zur Vorfallreaktion einleiten.
(Kaspersky Lab: ra)

eingetragen: 11.03.18
Newsletterlauf: 07.05.18

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Sofacy ist eine sehr aktive Cyberspionagegruppe

    Die Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy. Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier - mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen. Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

  • Cryptomining-Kampagne mit Jenkins Server

    Check Point Software Technologies entdeckte riesige Mining-Aktivitäten mit dem XMRig-Miner. Die Verantwortlichen kommen wahrscheinlich aus China und erstellen Einheiten der Kryptowährung Monero. Zudem gibt es Anzeichen davon, dass die Hintermänner in einer großangelegten Aktion versuchen, die Rechenleistung von Jenkins CI-Servern für ihre Zwecke zu missbrauchen. Es wird angenommen, dass bisher Monero im Wert von drei Millionen US-Dollar kreiert wurden. Durch eine bekannte Schwachstelle (CVE-2017-1000353) in der Jenkins Java Deserialization-Implementierung kann sich diese Summe aber noch deutlich erhöhen. Dabei reichen zwei aufeinanderfolgende Anfragen an das CLI-Interface aus, um die Server zu kapern und den Schadcode einzuschleusen.

  • Neue Methoden, um Computer zu infizieren

    Symantec hat eine Untersuchung über die zunehmenden Aktivitäten einer Hackergruppe im Iran veröffentlicht. Die als Chafer bezeichnete Gruppe führt im Nahen Osten und darüber hinaus ambitionierte Angriffe durch. Sie setzt dabei zahlreiche neue Hacking-Tools ein. Chafer ist seit mindestens Juli 2014 aktiv und wurde erstmals von Symantec im Dezember 2015 entdeckt. Damals ging es den Angreifern hauptsächlich darum, Daten zu sammeln und ihre Angriffsziele zu überwachen.

  • Angriffstechnik: "Memcached Reflection"

    Das Security Intelligence Response Team (SIRT) von Akamai berichtet in einem Blogpost über eine neue Distributed-Denial-of-Service- (DDoS-)Angriffswelle, die auf der neuartigen Angriffstechnik "Memcached Reflection" beruht. Sie greift Memcached Server an und missbraucht diese für Attacken auf ausgewählte Ziele. Memcached Server puffern dynamische Web-Applikationen im Hauptspeicher des Servers, um den Zugriff zu beschleunigen und so das Datenbank-Backend zu entlasten. Angriffe in einer Größe wie sie durch "Memcached Reflection" verursacht werden, können nicht ohne weiteres von Rechenzentrumslösungen abgewehrt werden, sondern erfordern die Unterstützung von Upstream ISPs und/oder Cloud-basierten DDoS-Security-Services.

  • Angriffe im Terabit-Bereich

    Netscout Arbor, ein Sicherheitsspezialist für DDoS-Abwehr-Lösungen, bestätigt einen DDoS-Angriff mit 1,7 Terabit pro Sekunde (Tbps) auf ein in den USA ansässiges Unternehmen. Letzte Woche hatte das Unternehmen Akamai den ersten Terabit-Angriff mit 1,3 Terabit pro Sekunde gemessen. Beide DDoS-Angriffe haben die gleichen Techniken verwendet. Hierzu wurden falsch konfigurierte memcached Server in Internet-Data-Center (IDC)-Netzwerken als Reflektoren/Verstärker missbraucht.