Hacker nehmen Besucher von G20-Event in Hamburg ins Visier

von Stefan Beiersmann am , 07:35 Uhr

Sie nutzen angeblich eine gestohlene offizielle Einladung des Bundeswirtschaftsministeriums. Sie wird per E-Mail verschickt, die auch einen JavaScript-Dropper enthält. Angriffe auf Teilnehmer des G20-Events im Oktober sind bisher jedoch nicht bekannt.

Eine angeblich aus Russland stammende Hackergruppe nimmt derzeit Politiker und Journalisten ins Visier. Sie verteilt eine Variante des Backdoor-Trojaners KopiLuwak an Teilnehmer eines Treffens der G20 Task Force für die Digital Economy, das im Oktober in Hamburg stattfinden soll. Die Malware wiederum versteckt sich in einer per E-Mail verschickten Einladung im PDF-Format des Bundesministeriums für Wirtschaft und Energie.

Motivfoto Hacker (Bild: Shutterstock) [1]Sicherheitsforscher von Proofpoint [2], die die Kampagne untersucht haben, schließen nicht aus, dass die Einladung echt ist und bei einem früheren Angriff gestohlen wurde. Bei einem Vergleich der Metadaten der Einladung mit einer offiziell auf der Website des Bundeswirtschaftsministeriums angebotenen PDF-Datei fanden sie signifikante Übereinstimmungen.

Allerdings kommt die Einladung der Hacker mit einem JavaScript-Dropper, der wiederum ein ebenfalls JavaScript basiertes Entschlüsselungsprogramm installiert, das schließlich die KopiLuwak-Backdoor entschlüsselt und ausführt. Der Scr.js genannte JavaScript-Dropper richtet zudem eine Aufgabe ein, die die Backdoor alle zehn Minuten ausführt. Die Server, mit denen die Backdoor kommuniziert, sind laut Proofpoint legitim – sie wurden jedoch von den Hackern kompromittiert, um als Befehlsserver für ihre Malware genutzt werden zu können.

Bisher wurde die neue KopiLuwak-Backdoor allerdings nur in einer öffentlichen Malware-Sammlung entdeckt. Angriffe, bei denen sie eingesetzt wurde, sind nicht bekannt. Sollte es den Hackern gelungen sein, ihre Schadsoftware erfolgreich einzusetzen und bisher unentdeckt zu bleiben, haben sie möglicherweise Zugang zu vertraulichen Informationen von Regierungsvertretern, Diplomaten oder Wirtschaftsexperten, die an dem Treffen im Oktober in Hamburg teilnehmen.

Laut Proofpoint wurde das zum Bundesamt für Sicherheit in der Informationstechnik gehörende Computer Emergency Response Team der Bundesverwaltung (CERT Bund) informiert. Da KopiLuwak auch zusätzlichen Schadcode herunterladen und ausführen könne, sei der Schaden bei den meisten Windows-Betriebssystemen vermutlich sehr hoch.

Die Verbindung zu russischen Hackern stellen die Forscher über die verwendete Malware her. Demnach kam KopiLuwak bereits mehrfach bei Kampagnen einer Turla genannten Gruppe zum Einsatz, der wiederum Verbindungen zur russischen Regierung nachgesagt werden.

ANZEIGE

Aktuelle Studie zur Dokumentensicherheit in deutschen Büros [3]

Eine aktuelle Statista-Umfrage (im Auftrag von KYOCERA Document Solutions) hat ergeben: Der deutsche Mittelstand hat Nachholbedarf beim Thema Dokumentensicherheit. Mehr als die Hälfte der befragten Mitarbeiter hat Zugriff auf Dokumente, die nicht für sie bestimmt sind. Weitere Infos und Tipps zur Optimierung erhalten Sie im gratis E-Book.

[mit Material von Danny Palmer, ZDNet.com [4]]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de. [5]

Artikel von ZDNet.de: http://www.zdnet.de

URL zum Artikel: http://www.zdnet.de/88308505/hacker-nehmen-besucher-von-g20-event-in-hamburg-ins-visier/

URLs in this post:

[1] Image: http://www.zdnet.de/wp-content/uploads/2015/04/hacker-03-shutterstock.jpg

[2] Proofpoint: https://www.proofpoint.com/us/threat-insight/post/turla-apt-actor-refreshes-kopiluwak-javascript-backdoor-use-g20-themed-attack

[3] Aktuelle Studie zur Dokumentensicherheit in deutschen Büros: http://asn.advolution.de/0001531c5F00125d9/?rnd=[cachebuster]

[4] ZDNet.com: http://www.zdnet.com/article/russian-hacking-campaign-targets-g20-attendees-with-booby-trapped-invites/

[5] Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.: http://www.silicon.de/survey/die-beruehmtesten-hacker