Angriffe auf Finanzinstitute ähneln Vorgehen der Sony-Hacker

Symantec hat eine Serie von zielgerichteten Angriffen auf Banken in Polen, Mexiko und Uruguay analysiert. Seit Oktober wurden demnach Einbruchsversuche in Systeme von 27 Geldinstituten in den drei Ländern abgewehrt. Das Vorgehen der Cyberkriminellen erinnert die Forscher an die Hackergruppe Lazarus, die Ende 2014 für den Angriff auf Sony Pictures verantwortlich war.

Aufmerksam wurde Symantec auf die Angriffe durch eine zuvor unbekannte Malware im System einer polnischen Bank. Sie hatte ihre Erkenntnisse über die Schadsoftware mit anderen Geldinstituten geteilt, die daraufhin feststellten, dass sie ebenfalls betroffen sind.

Gegen die Geldinstitute gingen die Hacker mit einem individuell angepassten Exploit Kit vor. Es wurde so konfiguriert, dass es sich in speziell präparierte Websites integrieren lässt und nur Besucher von rund 150 unterschiedlichen IP-Adressen angriff. Die IP-Adressen wiederum gehören 104 Organisationen aus 31 Staaten. Der größte Teil davon sind Banken. Zu den Zielen der Hackern gehören aber auch Telekommunikations- und Internetfirmen.

25 Ziele identifizierten die Forscher alleine in Polen. In den USA waren es knapp 20, gefolgt von Mexico, Brasilien, Chile, Dänemark und Großbritannien. Zu den betroffenen Unternehmen machte Symantec jedoch keine Angaben.

Die Verbindung zur Lazarus-Gruppe ergibt sich vor allem durch ein Hacking-Tool, das wiederum von der Malware „Downloader.Ratankba“ heruntergeladen wird, die über das Exploit Kit auf ein angegriffenes System gelangt. Das Hacking-Tool benutzt Code, den die Forscher von Symantec auch bei der Analyse des Hacking-Tools der Sony-Hacker entdeckt haben.

Darüber hinaus habe die Lazarus-Gruppe schon früher Geldinstitute ins Visier genommen. Vor rund einem Jahr war bekannt geworden, dass die Hacker wohl schon seit 2009 aktiv sind. Erste Spuren hinterließen sie bei Denial-of-Service-Angriffen auf Websites in den USA und Südkorea. Die Forscher fanden Überschneidungen beim verwendeten Code, der Taktik und auch der Infrastruktur. Das trifft laut Symantec auch auf Tools zu, die bei einem Cyberbankraub in Bangladesch im vergangenen Jahr zum Einsatz kamen.

Die Untersuchungen zu den Aktivitäten von Lazarus sind noch nicht abgeschlossen. „Im Lauf der Zeit könnten mehr Beweise über die Identität und Motive der Angreifer auftauchen“, heißt es im offiziellen Symantec-Blog. „Nach einer Serie von Angriffen auf Banken im Jahr 2016 ist dies der jüngste Vorfall, der an die zunehmenden Bedrohungen erinnert, denen Finanzinstitute ausgesetzt sind.“

[mit Material von Danny Palmer, ZDNet.com]