IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Sicherheitsforscher von IBM haben eine neue Malware entdeckt, deren einzige Aufgabe es ist, Daten zu löschen. Entwickelt wurde sie demnach von iranischen Hackern, die im Auftrag der dortigen Regierung agieren sollen. Ihre Angriffe richten sich derzeit gegen den Energiesektor im Mittleren Osten.

Bei seiner Analyse konzentrierte sich IBMs Sicherheitsteam X-Force auf die ZeroCleare genannte Malware. Sie soll der Malware Shamoon ähneln, die wiederum als einer der gefährlichsten und destruktivsten Schädlinge der letzten zehn Jahre gilt. Zu den betroffenen Unternehmen oder gar der Menge der gelöschten Daten machten die Forscher indes keine Angaben.

Auf die Herkunft der Malware und der Angriffe weisen laut IBM das Vorgehen und die Schadsoftware selbst hin. IBM geht zudem davon aus, dass ZeroCleare das Ergebnis von zwei APT33 und APT34 genannten Gruppen ist, die beide vom iranischen Staat unterstützt werden. Beide Gruppen sind zudem keine unbeschriebenen Blätter. So wird Shamoon den Mitgliedern von APT33 zugeordnet. 2012 zerstörte Shamoon die Daten von mehr als 35.000 Workstations von Saudi Aramco, dem staatlichen Ölkonzern von Saudi-Arabien. APT34 wiederum gilt als die mit Abstand aktivste iranische Hackergruppe. Sie wurde jedoch im Frühjahr selbst das Oper eines Hackerangriffs, bei dem Quellcode ihrer Schadprogramme auf Telegram veröffentlicht wurden.

IBM stuft ZeroCleare in die Kategorie der Wiper ein. Die Malware löscht möglichst viele Daten auf einem infizierten Host. Die Löschung erfolgt meist, um Spuren eines Angriffs zu verwischen, oder um dem Opfer gezielt einen möglichst großen Schaden zuzufügen.

Bei den jetzt aufgedeckten Angriffen kamen 32-Bit- und 64-Bit-Version von ZeroCleare zum Einsatz. Allerdings soll nur die 64-Bit-Version funktioniert haben. In die Netzwerke ihrer Opfer drangen die Hacker per Brute-Force-Angriff ein. Ein geknacktes Serverkonto nutzten sie dann, um eine Anfälligkeit in SharePoint für die Installation einer WebShell wie China Chopper oder Tuna zu missbrauchen. Im nächsten Schritt breiteten sie sich im Netzwerk aus, um im letzten Schritt auf möglichst vielen Rechnern ZeroCleare einzurichten. Sicherheitsfunktionen von Windows umgingen die Hacker laut IBM mithilfe eines anfälligen Treibers sowie schädlicher PowerShell- und Batch-Skripte.

Für die eigentliche Datenlöschung nutzte ZeroCleare das legitime Datentool EldoS RawDisk, um den Master Boot Record (MBR) zu löschen und die Partitionstabelle zu beschädigen. Das EldoS-Tool sei auch schon bei den jüngsten Shamoon-Varianten zum Einsatz gekommen.

Die Forscher gehen zudem davon aus, dass keines der Opfer zufällig infiziert wurde. Alle Attacken hätten sich gezielt gegen die jeweiligen Organisationen gerichtet.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Patentstreit: Apple zu 85 Millionen Dollar Schadenersatz verurteilt

Ein Gericht reduziert den Betrag von 145 auf 85 Millionen Dollar. Zwischenzeitlich sprach eine Richterin WiLan sogar lediglich 10 Millionen…

11 Minuten ago

Bericht: Avast verkauft Daten seiner Nutzer an Google, Microsoft und Pepsi

Die Daten gibt Avast an die Tochter Jumpshot weiter. Das Unternehmen wiederum bietet Analytics-Dienste für Dritte an. Inzwischen holt Avast…

1 Stunde ago

Mozilla verbannt in zwei Wochen mehr als 200 schädliche Firefox-Add-ons

Sie schleusen Schadcode ein oder stehlen vertrauliche Daten. Auch Codeverschleierung stuft Mozilla als Risiko und damit als unerwünscht ein. Mozilla…

17 Stunden ago

Hacker verteilen Ransomware über Sicherheitslücke in Citrix-Servern

Mindestens zwei Ransomware-Kampagnen richten sich inzwischen gegen ungepatchte Citrix-Produkte. Andere Hacker kapern Citrix-Geräte und bieten die Zugänge in Foren an.…

18 Stunden ago

Workaround für Zero-Day-Lücke in IE legt Windows-Druckfunktion lahm

Betroffen sind offenbar Drucker von HP und USB-Drucker anderer Hersteller. Auch der Windows Media Player und das Wartungstool sfc haben…

20 Stunden ago

Shlayer: Mac-Malware betrifft vor allem Nutzer in den USA und Deutschland

Die Schadsoftware bedroht Nutzer schon seit 2018. Seitdem hat mehr als ein Zehntel aller Mac-Nutzer Kontakt mit Shlayer. Die Malware…

22 Stunden ago