IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Die IBM-Forscher ordnen die Malware ZeroCleare den Gruppen APT33 und APT34 zu. Erstere steckt auch hinter dem Wiper Shamoon. ZeroCleare nutzt für die eigentliche Datenlöschung ein legitimes Festplatten-Tool, das den MBR löscht und die Partitionstabelle zerstört.

Sicherheitsforscher von IBM haben eine neue Malware entdeckt, deren einzige Aufgabe es ist, Daten zu löschen. Entwickelt wurde sie demnach von iranischen Hackern, die im Auftrag der dortigen Regierung agieren sollen. Ihre Angriffe richten sich derzeit gegen den Energiesektor im Mittleren Osten.

Motivfoto Hacker (Bild: Shutterstock)Bei seiner Analyse konzentrierte sich IBMs Sicherheitsteam X-Force auf die ZeroCleare genannte Malware. Sie soll der Malware Shamoon ähneln, die wiederum als einer der gefährlichsten und destruktivsten Schädlinge der letzten zehn Jahre gilt. Zu den betroffenen Unternehmen oder gar der Menge der gelöschten Daten machten die Forscher indes keine Angaben.

Auf die Herkunft der Malware und der Angriffe weisen laut IBM das Vorgehen und die Schadsoftware selbst hin. IBM geht zudem davon aus, dass ZeroCleare das Ergebnis von zwei APT33 und APT34 genannten Gruppen ist, die beide vom iranischen Staat unterstützt werden. Beide Gruppen sind zudem keine unbeschriebenen Blätter. So wird Shamoon den Mitgliedern von APT33 zugeordnet. 2012 zerstörte Shamoon die Daten von mehr als 35.000 Workstations von Saudi Aramco, dem staatlichen Ölkonzern von Saudi-Arabien. APT34 wiederum gilt als die mit Abstand aktivste iranische Hackergruppe. Sie wurde jedoch im Frühjahr selbst das Oper eines Hackerangriffs, bei dem Quellcode ihrer Schadprogramme auf Telegram veröffentlicht wurden.

IBM stuft ZeroCleare in die Kategorie der Wiper ein. Die Malware löscht möglichst viele Daten auf einem infizierten Host. Die Löschung erfolgt meist, um Spuren eines Angriffs zu verwischen, oder um dem Opfer gezielt einen möglichst großen Schaden zuzufügen.

Bei den jetzt aufgedeckten Angriffen kamen 32-Bit- und 64-Bit-Version von ZeroCleare zum Einsatz. Allerdings soll nur die 64-Bit-Version funktioniert haben. In die Netzwerke ihrer Opfer drangen die Hacker per Brute-Force-Angriff ein. Ein geknacktes Serverkonto nutzten sie dann, um eine Anfälligkeit in SharePoint für die Installation einer WebShell wie China Chopper oder Tuna zu missbrauchen. Im nächsten Schritt breiteten sie sich im Netzwerk aus, um im letzten Schritt auf möglichst vielen Rechnern ZeroCleare einzurichten. Sicherheitsfunktionen von Windows umgingen die Hacker laut IBM mithilfe eines anfälligen Treibers sowie schädlicher PowerShell- und Batch-Skripte.

Für die eigentliche Datenlöschung nutzte ZeroCleare das legitime Datentool EldoS RawDisk, um den Master Boot Record (MBR) zu löschen und die Partitionstabelle zu beschädigen. Das EldoS-Tool sei auch schon bei den jüngsten Shamoon-Varianten zum Einsatz gekommen.

Die Forscher gehen zudem davon aus, dass keines der Opfer zufällig infiziert wurde. Alle Attacken hätten sich gezielt gegen die jeweiligen Organisationen gerichtet.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Themenseiten: Cybercrime, Hacker, IBM, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *