Hacker nehmen Besucher von G20-Event in Hamburg ins Visier

Sie nutzen angeblich eine gestohlene offizielle Einladung des Bundeswirtschaftsministeriums. Sie wird per E-Mail verschickt, die auch einen JavaScript-Dropper enthält. Angriffe auf Teilnehmer des G20-Events im Oktober sind bisher jedoch nicht bekannt.

Eine angeblich aus Russland stammende Hackergruppe nimmt derzeit Politiker und Journalisten ins Visier. Sie verteilt eine Variante des Backdoor-Trojaners KopiLuwak an Teilnehmer eines Treffens der G20 Task Force für die Digital Economy, das im Oktober in Hamburg stattfinden soll. Die Malware wiederum versteckt sich in einer per E-Mail verschickten Einladung im PDF-Format des Bundesministeriums für Wirtschaft und Energie.

Motivfoto Hacker (Bild: Shutterstock)Sicherheitsforscher von Proofpoint, die die Kampagne untersucht haben, schließen nicht aus, dass die Einladung echt ist und bei einem früheren Angriff gestohlen wurde. Bei einem Vergleich der Metadaten der Einladung mit einer offiziell auf der Website des Bundeswirtschaftsministeriums angebotenen PDF-Datei fanden sie signifikante Übereinstimmungen.

Allerdings kommt die Einladung der Hacker mit einem JavaScript-Dropper, der wiederum ein ebenfalls JavaScript basiertes Entschlüsselungsprogramm installiert, das schließlich die KopiLuwak-Backdoor entschlüsselt und ausführt. Der Scr.js genannte JavaScript-Dropper richtet zudem eine Aufgabe ein, die die Backdoor alle zehn Minuten ausführt. Die Server, mit denen die Backdoor kommuniziert, sind laut Proofpoint legitim – sie wurden jedoch von den Hackern kompromittiert, um als Befehlsserver für ihre Malware genutzt werden zu können.

Bisher wurde die neue KopiLuwak-Backdoor allerdings nur in einer öffentlichen Malware-Sammlung entdeckt. Angriffe, bei denen sie eingesetzt wurde, sind nicht bekannt. Sollte es den Hackern gelungen sein, ihre Schadsoftware erfolgreich einzusetzen und bisher unentdeckt zu bleiben, haben sie möglicherweise Zugang zu vertraulichen Informationen von Regierungsvertretern, Diplomaten oder Wirtschaftsexperten, die an dem Treffen im Oktober in Hamburg teilnehmen.

Laut Proofpoint wurde das zum Bundesamt für Sicherheit in der Informationstechnik gehörende Computer Emergency Response Team der Bundesverwaltung (CERT Bund) informiert. Da KopiLuwak auch zusätzlichen Schadcode herunterladen und ausführen könne, sei der Schaden bei den meisten Windows-Betriebssystemen vermutlich sehr hoch.

Die Verbindung zu russischen Hackern stellen die Forscher über die verwendete Malware her. Demnach kam KopiLuwak bereits mehrfach bei Kampagnen einer Turla genannten Gruppe zum Einsatz, der wiederum Verbindungen zur russischen Regierung nachgesagt werden.

ANZEIGE

Wie Sie mit digitalen Workflows Ihre Geschäftsprozesse agiler machen.

Gerade für mittelständische Unternehmen ist es entscheidend, dass Dokumentenprozesse ohne hohen Consulting- und Customizing-Aufwand umgestellt und digitalisiert werden. In diesem E-Book stellen wir Ihnen die Möglichkeiten digitaler Dokumentenprozesse vor und zeigen, wie eine standardisierte und skalierbare Lösung speziell für den Mittelstand aussehen kann.

[mit Material von Danny Palmer, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: BSI, Hacker, Politik, Proofpoint, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Hacker nehmen Besucher von G20-Event in Hamburg ins Visier

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *