Cyber-Spionage Handelt „Scarlet Mimic“ im staatlichen Auftrag?

Die Hacker-Gruppierung „Scarlet Mimic“ ist seit einigen Monaten auf dem Radar von Sicherheitsforschern der Unit 42. Vieles deute darauf hin, dass die Cyber-Kriminellen im Auftrag eines Staates agieren, so das Security-Team von Palo Alto Networks.

Anbieter zum Thema

SonicWall Germany

TXOne Networks

Keeper Security EMEA Ltd.

Palo Alto Networks

Nach aktuellem Kenntnisstand der Unit 42 sammeln die Mitglieder von „Scarlet Mimic“ Informationen über Aktivisten, die sich für Minderheitenrechte einsetzen. Es gebe derzeit allerdings keine unwiderlegbaren Beweise für eine direkte Verbindung dieser Angriffe mit einer Regierung.

Einige Indizien sprechen laut Palo Alto Networks allerdings für eine staatliche Beteiligung: Die Angriffe, welche die Unit 42 dem „Scarlet Mimic“-Kollektiv zuschreibt, zielten in erster Linie auf uigurische und tibetische Aktivisten sowie Personen, die sich für sie einsetzen. Auch staatliche Organisationen in Russland und Indien, die für die Verfolgung von Aktivisten und terroristische Aktivitäten verantwortlich sind, wurden angegriffen.

Obwohl die genauen Ziele jedes Angriffs nicht bekannt sind, zeigen viele davon ein ähnliches Muster: Die Angriffe von Scarlet Mimic zielen auf technischer Seite auf eine Windows-Backdoor namens „FakeM“, die erstmals 2013 in Erscheinung trat. FakeM ahmte dabei innerhalb ihrer Command&Control-Kommunikation den Datenverkehr von Windows Messenger und Yahoo! Messenger nach, um nicht entdeckt zu werden.

Unit 42 hat nun zwei Folgevarianten der FakeM-Familie identifiziert, die erhebliche Veränderungen aufweisen: Scarlet Mimic verwendet neun verschiedene „Loader“-Malware-Familien, um nicht entdeckt zu werden, wenn die Infektion eines Systems erkannt wird. Zusätzlich zu den FakeM-Varianten hat Scarlet Mimic Trojaner eingesetzt, die auf Mac-OS-X- und Android-Betriebssysteme abzielten. Unit 42 hat Verbindungen dieser Angriffe zu Scarlet Mimic durch Analyse der Command&Control-Infrastruktur nachgewiesen.

Um an die Ziele für den Zugriff auf die Daten zu kommen, setzten die Akteure von Scarlet Mimic sowohl auf Speer-Phishing- als auch Watering-Hole-Angriffe, mindestens bereits seit 2009. Wie viele andere Angreifer auch, die Speer-Phishing verwenden, um die Opfer zu infizieren, machte Scarlet Mimic starken Gebrauch von „Lockvogel“-Dateien. Dies sind legitim erscheinende Dokumente, die sich auf den Inhalt der Spear-Phishing-Mail beziehen.

Nachdem das System infiziert ist, zeigt die Malware das Köderdokument, damit der Benutzer glaubt, dass keine schädliche Aktivität erfolgt ist. Die jüngsten Angriffe wurden im Jahr 2015 durchgeführt und deuten darauf hin, dass die Gruppe ein starkes Interesse sowohl an muslimischen Aktivisten als auch Kritikern der russischen Regierung und des Präsidenten Wladimir Putin hat.

Die primäre Datenquelle, die Palo Alto Networks für die Analyse verwendet hat, ist WildFire. Dieses System analysiert Malware-Angriffe weltweit und nutzt im Rahmen der Cyber Threat Alliance auch Malware-Samples anderer Sicherheitsanbieter. Um Angriffe miteinander zu in Verbindung zu setzen, wurde der AutoFocus-Dienst verwendet. AutoFocus-Benutzer können alle Dateien und die Malware in Zusammenhang mit Scarlet Mimic abrufen.

(ID:43830280)