IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Sicherheitsforscher von IBM haben eine neue Malware entdeckt, deren einzige Aufgabe es ist, Daten zu löschen. Entwickelt wurde sie demnach von iranischen Hackern, die im Auftrag der dortigen Regierung agieren sollen. Ihre Angriffe richten sich derzeit gegen den Energiesektor im Mittleren Osten.

Bei seiner Analyse konzentrierte sich IBMs Sicherheitsteam X-Force auf die ZeroCleare genannte Malware. Sie soll der Malware Shamoon ähneln, die wiederum als einer der gefährlichsten und destruktivsten Schädlinge der letzten zehn Jahre gilt. Zu den betroffenen Unternehmen oder gar der Menge der gelöschten Daten machten die Forscher indes keine Angaben.

Auf die Herkunft der Malware und der Angriffe weisen laut IBM das Vorgehen und die Schadsoftware selbst hin. IBM geht zudem davon aus, dass ZeroCleare das Ergebnis von zwei APT33 und APT34 genannten Gruppen ist, die beide vom iranischen Staat unterstützt werden. Beide Gruppen sind zudem keine unbeschriebenen Blätter. So wird Shamoon den Mitgliedern von APT33 zugeordnet. 2012 zerstörte Shamoon die Daten von mehr als 35.000 Workstations von Saudi Aramco, dem staatlichen Ölkonzern von Saudi-Arabien. APT34 wiederum gilt als die mit Abstand aktivste iranische Hackergruppe. Sie wurde jedoch im Frühjahr selbst das Oper eines Hackerangriffs, bei dem Quellcode ihrer Schadprogramme auf Telegram veröffentlicht wurden.

IBM stuft ZeroCleare in die Kategorie der Wiper ein. Die Malware löscht möglichst viele Daten auf einem infizierten Host. Die Löschung erfolgt meist, um Spuren eines Angriffs zu verwischen, oder um dem Opfer gezielt einen möglichst großen Schaden zuzufügen.

Bei den jetzt aufgedeckten Angriffen kamen 32-Bit- und 64-Bit-Version von ZeroCleare zum Einsatz. Allerdings soll nur die 64-Bit-Version funktioniert haben. In die Netzwerke ihrer Opfer drangen die Hacker per Brute-Force-Angriff ein. Ein geknacktes Serverkonto nutzten sie dann, um eine Anfälligkeit in SharePoint für die Installation einer WebShell wie China Chopper oder Tuna zu missbrauchen. Im nächsten Schritt breiteten sie sich im Netzwerk aus, um im letzten Schritt auf möglichst vielen Rechnern ZeroCleare einzurichten. Sicherheitsfunktionen von Windows umgingen die Hacker laut IBM mithilfe eines anfälligen Treibers sowie schädlicher PowerShell- und Batch-Skripte.

Für die eigentliche Datenlöschung nutzte ZeroCleare das legitime Datentool EldoS RawDisk, um den Master Boot Record (MBR) zu löschen und die Partitionstabelle zu beschädigen. Das EldoS-Tool sei auch schon bei den jüngsten Shamoon-Varianten zum Einsatz gekommen.

Die Forscher gehen zudem davon aus, dass keines der Opfer zufällig infiziert wurde. Alle Attacken hätten sich gezielt gegen die jeweiligen Organisationen gerichtet.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Digitale Risiken im Blick: Dark Web Monitoring für Unternehmen

Illegale Marktplätze, Foren und Chats – im Kampf gegen Cyberkriminelle ist das Deep und Dark Web als Informationsquelle alles andere…

1 Tag ago

HPE GreenLake: Optimale Basis für Ihre Cloud

HPE GreenLake ist ein IT-as-a-Service-Angebot, das das Cloud-Erlebnis in Ihre On-Premises-Infrastruktur bringt und Ihre Edges, Clouds und Rechenzentren vereinheitlicht. Lernen…

1 Tag ago

HPE unterstützt höhere Nachfrage nach virtuellen Arbeitsplätzen

Kunden stehen neue Finanzierungsoptionen zur Verfügung. Dazu gehören Kurzzeitmieten und ein befristeter Zahlungsaufschub. Vorkonfigurierte VDI-Lösungen sollen die Einführung virtueller Arbeitsplätze…

2 Tagen ago

IDC: COVID-19 lässt weltweite IT-Ausgaben voraussichtlich um 2,7 Prozent schrumpfen

Besonders hart soll die Corona-Krise die Nachfrage nach PCs, Tablets und Smartphones treffen. Auch in den Bereichen Software und IT-Services…

2 Tagen ago

Bis zu 5,3 GHz: Intel stellt neue Mobilprozessoren vor

Sie richten sich an Spieler und Entwickler. Intel verspricht einen Leistungszuwachs von bis zu 44 Prozent im Vergleich zu einem…

2 Tagen ago

Microsoft verschiebt Support-Ende für TLS 1.0 und 1.1

Die veralteten Verschlüsselungsprotokolle erhalten aufgrund der Corona-Krise eine Gnadenfrist. Edge Chromium unterstützt sie noch mindestens bis Juli, Internet Explorer und…

2 Tagen ago