FireEye verfolgt Angriffe mit Triton-Malware nach Russland zurück

Die Spur endet in einem Forschungslabor. Es soll der russischen Regierung gehören. Im Schadcode findet FireEye unter anderem den Nutzernamen eines ehemaligen Mitarbeiters des Labors.

FireEye hat mit „großer Zuversicht“ die Hintermänner einer erstmals im Dezember 2017 entdeckten Malware namens Triton entdeckt. Analysen weiterer Angriffe mit der auf Industriekontrollsysteme spezialisierten Schadsoftware sollen den Sicherheitsanbieter zu einer Forschungseinrichtung in Moskau geführt haben, das der russischen Regierung gehört.

Malware (Bild: Maksim Kabakou/Shutterstock)Allerdings räumt FireEye ein, dass es sich nur um eine indirekte Verbindung zum Central Scientific Research Institute of Chemistry and Mechanics (CNIIHM) handelt. Die Täterschaft wollen die Sicherheitsforscher über eine sekundäre Malware nachgewiesen haben, die von einer Temp.Veles genannten Gruppe neben Triton eingesetzt wurde.

Unter anderem fand FireEye im Code der sekundären Malware eine Pfadangabe mit einem eindeutigen Alias oder Nutzernamen, der wiederum einem Moskauer Experten für IT-Sicherheit gehören soll, der früher zum CNIIHM gehörte. Zudem wurde bei Scan- und Monitoring-Aktivitäten von Temp.Veles eine IP-Adresse verwendet, die auf das Forschungsinstitut registriert ist. In zu Triton gehörenden Dateien fanden die Forscher zudem kyrillische Namen. Außerdem sollen die Zeitstempel der Malware-Dateien den üblichen Arbeitszeiten in der Moskauer Zeitzone entsprechen.

FireEye schließt jedoch nicht aus, dass diese Spuren bewusst von einem oder mehreren Mitarbeitern des CNIIHM gelegt wurden, um eine Verbindung zwischen Temp.Veles und dem Forschungsinstitut herzustellen, und zwar ohne Genehmigung ihres Arbeitgebers. „Allerdings ist dieses Szenario sehr unwahrscheinlich“, kommentiert FireEye.

Das US-Unternehmen unterstellt aufgrund öffentlich zugänglicher Informationen zudem, dass das CNIIHM über die für derartige Angriffe benötigten Werkzeuge verfügt. Zudem soll das Institut Verbindungen zum russischen Militär und zu Betreibern kritischer Infrastrukturen haben.

Die Triton-Malware nimmt Triconex Safety Instrument System von Schneider Electric ins Visier. Ihre eigentliche Aufgabe ist es, die betroffenen Anlagen herunterzufahren oder Sicherheitsmechanismen zu deaktivieren, damit die Anlage in einem unsicheren Zustand betrieben wird. Bei einem Angriff auf eine Raffinerie des Saudi-Arabischen Unternehmens Tasnee soll es nach einer Attacke mit Triton fast zu einer Explosion gekommen sein, wie die New York Times berichtete.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Themenseiten: Cybercrime, FireEye, Malware, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu FireEye verfolgt Angriffe mit Triton-Malware nach Russland zurück

Kommentar hinzufügen
  • Am 25. Oktober 2018 um 7:59 von ein Admin

    Was Halbwahrheiten anrichten können, es könnte sein, vielleicht, vielleicht auch nicht. Warum sollte eine Malware eine andere Malware verraten und dann noch mit dem Militär und kritischen Infrastrukturen zusammenarbeiten. Das würde im Umkehrschluss bedeuten, das da amerikanische Hacker am Werk waren. Es passt alles zu gut zusammen.
    Der Irak Krieg wurde auch mit einer Lüge begonnen. Dank Trump steht die Welt am Abgrund und alle rennen hinterher.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *