Ende 2015 wurde eine Singapurer Bank durch eine Spear-Phishing-E-Mail attackiert. Ein Angestellter erhielt eine Mail, der eine schädliche JAR-Datei beigefügt war. Experten vom Anti-Viren-Spezialisten Kaspersky untersuchten den Fall und förderten eine erstaunliche Malware-Plattform namens Adwin zu Tage.
Foto: asrawolf - Fotolia.com
Eine spezielle Untersuchung ergab, dass in der Zeit von 2013 bis heute 443.000 Privatnutzer, Unternehmen und Organisationen Ziele der Admin-Malware waren. Sowohl die Plattform als auch die Malware sind laut Kaspersky noch aktiv.
Das Backdoor-Programm ist käuflich erwerbbar und plattformübergreifend. Öffnet ein anvisierter Nutzer die angehängte JAR-Datei, installiert sich die Malware selbstständig und versucht mit einem Command-and-Control-Server (C&C) zu kommunizieren. Das Funktionsspektrum der Malware ist vielfältig. So listet Kaspersky folgende Funktionen auf:
das Mitlesen von Tastaturanschlägen
den Diebstahl von im Cache gespeicherten Passwörtern sowie das Abgreifen von Daten aus Webformularen
das Erstellen von Screenshots
das Schießen von Fotos sowie die Aufnahme von Videos über die Webcam
Audioaufnahmen über das Mikrofon
die Übertragung von Daten
das Sammeln von allgemeinen System- und Nutzerinformationen
das Stehlen von Schlüsseln für Wallets von Kryptowährung
die Verwaltung von SMS-Nachrichten (Android)
den Diebstahl von VPN-Zertifikaten
Adwind wird hauptsächlich für nicht-zielgerichtete Angriffe und innerhalb von Massen-Spam-Kampagnen genutzt. Es gibt jedoch auch zielgerichtete Attacken, bei denen das Programm eingesetzt wurde. Im August 2015 wurde im Zusammenhang mit einem Cyberspionagevorfall gegen einen argentinischen Staatsanwalt, der im Januar 2015 tot aufgefunden wurde, über Adwind berichtet. Der Bankvorfall in Singapur ist ein weiteres Beispiel einer zielgerichteten Attacke.
Malware-as-a-Service
Nach Erkenntnissen der Kaspersky-Experten wird das Schadprogramm offen über einen Bezahldienst verbreitet und betrügerische Kundschaft zahlt für den Einsatz eine Gebühr. Die Spezialisten gehen davon aus, dass bis Ende des Jahres 2015 etwa 1.800 Adwin-Nutzer gab. Es soll sich dabei eine der aktuell größten Malware-Plattformen handeln. "Die aktuellen Adwind-Plattform ermöglicht potenziellen Kriminellen, mit einem Minimum an Fachwissen in die cyberkriminelle Szene einzutauchen", erläutert Alexander Gostev, Chief Security Expert bei Kaspersky Lab. So sei der Angreifer der Singapurer Bank weit davon entfernt, ein professioneller Hacker zu sein. "Wir gehen davon aus, dass die meisten Kunden der Adwind-Plattform etwa über dasselbe Computerwissen verfügen. Das ist ein besorgniserregender Trend", meint Gostev.
Malware-Boutique enttarnt
Zudem ist Kaspersky ist einer international operierenden Cyber-Spionage-Gruppe auf die Spur gekommen. Bei betroffenen Unternehmen gab es Erpressungsversuche durch die Täter der sogenannten "Poseidon-Gruppe".
Bei Poseidon handelt sich um eine kommerziell agierende Verbindung, die über maßgeschneiderte und mit gefälschten Zertifikaten signierte Malware an vertrauliche Daten ihrer Opfer gelangt und diese damit erpresst, eine Geschäftsbeziehung mit den Angreifern einzugehen. Die Malware ist auf Windows-Installationen in den Sprachen Englisch und brasilianisches Portugiesisch zugeschnitten, laut Kaspersky ein Novum in der Geschichte der Cyberattacken.
Zu den Betroffenen gehören vor allem Unternehmen aus der Finanzbranche und staatliche Einrichtungen, aber auch die Branchen Telekommunikation, verarbeitende Industrie, Energie und andere Infrastrukturbereiche, Medien sowie PR-Agenturen.
Charakteristisch für das Vorgehen der Poseidon-Gruppe ist das aktive Ausspähen von Domain-basierten Unternehmensnetzwerken. Wie die Analyse von Kaspersky Lab zeigt, operiert die Poseidon-Gruppe ebenfalls mit Spear-Phishing-E-Mails, die Dateien in den Formaten RTF und DOC enthalten. Durch deren Anklicken wird gefährlicher Binärcode in die Systeme der Opfer geschleust. Nach der Infektion tritt die Schadsoftware mit Command-and-Control-Servern (C&C) in Kontakt und beginnt sich im Netzwerk des Opfers umzusehen.
Mit den gesammelten Daten im Hintergrund tritt dann eine Art Front Office der Poseidon-Gruppe mit den Opferunternehmen in Kontakt und zwingt sie, diese als Sicherheitsberater zu engagieren. Ansonsten, so die Drohung, würden die Daten für eine Reihe von unlauteren Geschäften zu Gunsten der Poseidon-Gruppe verwendet.