Mobile-Menu

Disakil und DarkEnergy Sandworm-Bande attackierte die Ukraine

Redakteur: Stephan Augsten

Malware-Infektionen machen aktuell Energieunternehmen und Medien in der Ukraine zu schaffen. Für die Verbreitung der Trojaner BackEnergy sowie Disakil alias Killdisk ist die Hacker-Gruppierung Sandworm verantwortlich, berichtet Symantec.

Anbieter zum Thema

Symantec (Deutschland) GmbH
SonicWall Germany
Mimecast Germany GmbH
Trustwave Germany GmbH
Die Sandworm-Gruppierung hat es vornehmlich auf die Energienetze und Medien in der Ukraine abgesehen.
Die Sandworm-Gruppierung hat es vornehmlich auf die Energienetze und Medien in der Ukraine abgesehen.
(Bild: Archiv)

Die Internet-Kriminellen der Bande „Sandworm“ sind offensichtlich politisch motiviert. In der Vergangenheit haben sie bereits ukrainische Medien, die NATO, einige westeuropäische Länder und Energieunternehmen angegriffen. Jüngst haben sie mithilfe von Malware die Stromnetze der Ukraine lahmgelegt.

Ein Beispiel aus dem Oktober 2015 zeigt, wie sie dabei vorgehen: Seinerzeit hatten die Angreifer ein großes ukrainisches Medienunternehmen aufs Korn genommen. Zunächst hatten sie eine neue Variante des BlackEnergy-Trojaners auf einem Rechner eingeschleust.

Dieser diente anschließen dazu, Anmeldedaten abzugreifen und wiederum den Trojaner Disakil auf einer großen Anzahl an PCs zu installieren. Die mehrstufig aufgebaute Malware zeichnet sich durch ihre Zerstörungswut aus, heißt es im Symantec Security Response Center.

Die Techniken von Disakil alias Killdisk seien einfach, aber effizient, erörtert der Antivirus-Experte: Fällt Disakil in ein Windows-System ein, kann es den Rechner gar vorübergehend unbrauchbar machen. Der Trojaner überschreibt schlicht und einfach den kompletten Master Boot Record (MBR).

Interessant ist aber besonders die Ausrichtung auf kritische Infrastrukturen: Der Trojaner versucht beispielsweise, den Prozess „sec_service“ zu beenden und zu entfernen. Dieser Dienst gehöre zu einem „Serial to Ethernet“-Konnektor, welcher dazu dient, serielle Ports per Remote-Verbindung anzusteuern. Laut Symantec kommt diese Technik insbesondere bei der Fernüberwachung von SCADA-Systemen zum Einsatz.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:43801707)

Weiterführende Inhalte