Hackergruppe greift Regierungsbehörden an Angriff auf Regierungsnetz war wohl kein Einzelfall

Hacker sind nach Medienberichten in das Datennetz des Informationsverbund Berlin-Bonn (IVBB) eingedrungen. Sicherheitskreisen zufolge wird eine Hackergruppe namens APT 28 verdächtigt 2017 oder früher das IVBB-Regierungsnetz infiltriert zu haben. Nach neuen Erkenntnissen von Palo Alto Networks wäre es nicht der erste erfolgreiche Angriff auf eine Regierungsbehörde der Gruppe.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Keeper Security EMEA Ltd.

Palo Alto Networks

Einer Hackergruppe mit dem Namen APT 28, auch bekannt als Sofacy-Gruppe, Fancy Bear, STRONTIUM, Sednit, Zarenteam und Pawn Storm soll es nach Medienberichten gelungen sein, ein Regierungsnetz des Bundes zu infiltrieren.

Zum Hackerangriff auf das Datennetz des Bundes erklärt der digitalpolitische Sprecher der FDP-Fraktion Manuel Höferlin: „Der erfolgreiche Hackerangriff macht deutlich, dass das Datennetz des Bundes nicht ausreichend geschützt ist. Angesichts der sensiblen Informationen ist das ein untragbarer Zustand. Es ist fraglich, ob die Verantwortlichen aus den bisherigen Angriffen auf das Datennetz des Bundes und das des Deutschen Bundestages die richtigen Schlüsse gezogen haben. Dass die Abgeordneten über die aktuellen Vorkommnisse aus den Medien erfahren müssen, ist ein Unding. (...) Wir erwarten, dass die Vertreter des Bundesinnenministeriums, des Auswärtiges Amtes, des Verteidigungsministeriums und des Bundesamtes für Sicherheit in der Informationstechnik Rede und Antwort stehen. Oberste Priorität hat jetzt die Aufklärung und die Schaffung von Transparenz."

Die Forschungsabteilung Unit 42 von Palo Alto Networks beobachtet die kriminelle Hackergruppe bereits seit geraumer Zeit, aufgrund ihrer anhaltenden weltweiten schädlichen Aktivitäten über alle Branchen hinweg, bis in den öffentlichen Sektor hinein. Zuletzt entdeckte Unit 42 eine Kampagne, die sich gegen verschiedene Außenministerien weltweit richtete. Interessanterweise fanden innerhalb der Kampagne offensichtlich zwei parallele Aktivitäten statt, wobei jeweils ein völlig anderes Tool-Set für die Angriffe zum Einsatz kam.

Anfang Februar entdeckten die Forscher von Unit 42 einen Angriff auf zwei Regierungsinstitutionen, eine davon in Europa und die andere in Nordamerika. Als anfänglicher Angriffsvektor diente eine Phishing-E-Mail mit einer gefälschten Absenderadresse, angeblich von Jane’s by IHSMarkit, ein bekannter Anbieter von Informationen und Analysen im Verteidigungs- und Regierungsumfeld. Der als Lockvogel dienende Text in der Phishing-E-Mail besagte, dass als Anhang ein Eventkalender beigefügt ist, der für die Empfänger relevante Termine enthält. Zudem waren spezifische Anweisungen enthalten zu Aktionen, die das Opfer ergreifen müsste, wenn „Schwierigkeiten beim Anzeigen des Dokuments“ auftreten würden.

Der Anhang selbst ist ein Microsoft Excel-Dokument, das ein bösartiges Makroskript enthält. Ein Loader-Trojaner ist dabei für die Installation und Ausführung der Nutzlast dieses Angriffs verantwortlich. Die cdnver.dll-Nutzlast, die von der Loader-Programmdatei installiert wird, ist eine Variante der SofacyCarberp-Nutzlast, die von der Gruppe häufig verwendet wird. Insgesamt führt SofacyCarberp eine erste Erkundung durch, indem es Systeminformationen sammelt und diese an einen Commans-and-Control-Server (C2-Server) sendet, bevor zusätzliche Tools auf das System heruntergeladen werden.

Der Loader und das SofacyCarberp-Sample, die bei diesem Angriff geliefert wurden, ähneln denen, die Unit 42 in der Vergangenheit bereits analysiert hatte, enthalten jedoch deutliche Unterschiede. Dazu gehören ein neuer Hashalgorithmus zum Auflösen von API-Funktionen und zum Auffinden laufender Browserprozesse für die Injektion sowie Änderungen an den C2-Kommunikationsmechanismen.

Es scheint, dass APT 28 auf ein Open Source Tool namens Luckystrike zurückgriff, um das Zustelldokument und/oder das Makro zu generieren, das bei diesem Angriff verwendet wurde. Luckystrike, das im September 2016 auf der DerbyCon 6 vorgestellt wurde, ist ein Microsoft PowerShell-basiertes Tool, das bösartige Zustelldokumente generiert, indem es einem Benutzer ermöglicht, einem Excel- oder Word-Dokument ein Makro hinzuzufügen, um eine eingebettete Nutzlast auszuführen. Die Forscher von Palo Alto Networks glauben, dass APT 28 dieses Tool verwendet hat, da das Makro in seinem Lieferdokument den Makros in Luckystrike ähnelt.

Die Nutzung dieser Erkenntnisse ermöglichte es Unit 42, potenzielle C2-Domains vorherzusagen, die schließlich von der Sofacy-Gruppe verwendet werden würden. In diesem Szenario wurde die Domain cdnverify[.]net am 30. Januar 2018 registriert – und nur zwei Tage später wurde ein Angriff mit dieser C2-Domain gestartet.

(ID:45167896)