Hacker nehmen Veranstalter der Olympischen Winterspiele ins Visier

Forscher von McAfee haben eine Phishing- und Malware-Kampagne aufgedeckt, die sich gegen Organisationen richtet, die Infrastruktur und andere Dienste für die Olympischen und Paralympischen Winterspiele in Südkorea bereitstellen. Dabei kommt eine bisher unbekannte Form von Schadsoftware zum Einsatz, um die Kontrolle über die Systeme der Opfer zu übernehmen.

Die Operation PowerShell Olympics genannten Angriffe beginnen laut McAfee mit zielgerichteten E-Mails, die vorgeben, von der südkoreanischen Behörde zur Terrorismusabwehr zu stammen – inklusive gefälschtem Logo und Absenderadresse. Ein angefügtes Word-Dokument soll Details über mögliche Opfer enthalten. Der Dateiname der Word-Datei verweist wiederum auf das koreanische Landwirtschaftsministerium und die Olympischen Winterspiele.

Das Word-Dokument enthält ein Makro, das nach Bestätigung der üblichen Sicherheitswarnungen mithilfe eines PowerShell-Skripts die eigentliche Schadsoftware installiert. Das PowerShell-Skript verstecken die Hintermänner der Angriffe in einem Foto. Dabei kommt ein erst am 20. Dezember veröffentlichtes Open-Source-Steganografie-Tool zum Einsatz. Das erlaubt es, das Bild im Rahmen eines dateilosen Angriffs einzuschleusen.

„Das Implantat baut aus dem Speicher heraus eine versteckte verschlüsselte Verbindung zum Server der Angreifer auf, wodurch es dateilos ist“, sagte Ryan Sherstobitoff, Senior Analyst bei McAfee. „Das schließt nicht die Möglichkeit aus, zusätzliche Malware über diese Verbindung zu installieren, um spezifische Informationen zu sammeln.“

Bei ihren Ermittlungen stießen die Forscher auf eine Log-Datei eines Apache-Servers sowie eine südkoreanische IP-Adresse, worüber sie auf einen Anbieter anonymer Domains in Costa Rica stießen. Eine dieser Domains stellte die Verbindung zum südkoreanischen Landwirtschaftsministerium her, das zur Tarnung des Angriffs benutzt wird.

Unklar ist, wie weit verbreitet die Angriffe sind. Die Forscher gehen jedoch davon aus, dass mehrere südkoreanische Organisationen aus dem Umfeld der Olympischen Winterspiele betroffen sind. Die Hintermänner konnten sie indes noch nicht identifizieren. Sie sollen jedoch fließend Koreanisch sprechen und Interesse an Informationen über die Organisatoren der Olympischen Winterspiele in Südkorea haben.

„Technische Details sind oft nicht ausreichend für eine Zuordnung. Wir können jedoch unterstellen, dass die Angreifer die koreanische Sprache gelernt haben, um sicherzustellen, dass die Ziele die Dateianhänge öffnen, und das Ziel scheint die Sammlung von Daten über die Planung, Ausführung und Infrastruktur der Olympischen Spiele zu sein“, ergänzte Sherstobitoff.

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.