Russische Hacker klauen iranische Malware für Eigengebrauch

21. Oktober 2019, 14:47
  • security
  • cyberangriff
image

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat.

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat. Die meisten Opfer befanden sich in Ländern des Nahen Ostens.
Die Turla-Gruppe, auch als Waterbug oder Venomous Bear bekannt, späht mit raffinierten Vorgehensweisen die IT-Systeme von Behörden, militärischen Einrichtungen und Unternehmen aus, um an ihre Geheimnisse zu kommen. Auch beim Hack des Schweizer Rüstungsbetriebs Ruag könnte sie ihre Finger im Spiel gehabt haben.
Nautilus und Neuron allerdings, so sagt das NCSC nun in einen zusammen mit dem US-Geheimdienst NSA verfassten Report, wurden nicht von Turla entwickelt. Sondern sehr wahrscheinlich von Cyber-Spionagegruppen aus dem Iran.
Turla, so glaubt das NCSC, hat sich in die Systeme der iranischen Hacker gehackt. Dadurch kamen sie unter anderem an die notwendigen Informationen heran, um die Command- and Control-Server für Neuron und Nautilus, unbemerkt von deren eigentlichen "Besitzern", auch selbst zu benutzen. So konnte Turla Opfer, welche bereits von den Iranern kompromittiert wurden, auch selbst ausspähen und ihnen zudem zusätzliche eigene Malware unterjubeln.
Ausserdem erbeutete Turla den Code der beiden Implantate. Diese seien von Turla dann auch bei Opfern eingesetzt worden, welche die Hackergruppe zuvor bereits mit eigener Malware aus ihrem "Snake" genannten Satz an Tools infiziert hatte.
Der NCSC-Direktor Paul Chichester erklärte, die Veröffentlichung des Berichts sei unter anderem eine Warnung an staatlich gesponsorte Hackergruppen: "Auch wenn Cyber-Akteure versuchen, ihre Identität zu maskieren, werden wir sie dank unseren Möglichkeiten letztendlich identifizieren."
Allerdings wurden die Tools ja lange Zeit gar nicht iranischen Gruppen zugeordnet, sondern Turla selbst. So gesehen scheint Tarnung nicht unbedingt das Hauptziel von Turla gewesen sein. Vielleicht ging es eher darum, die Methoden der iranischen Gruppen kennenzulernen und zu analysieren. Und die Möglichkeit, bereits von anderen Spionen "vorgehackte" Ziele ohne grossen Aufwand selbst auszuspionieren, könnte auch ein Motiv gewesen sein. (hjm)

Loading

Mehr zum Thema

image

Ransomware-Gruppen im Darknet

Die schrittweise Veröffentlichung von gestohlenen Datensätzen im Darknet gehört zum Standardrepertoire jeder grösseren Ransomware-Gruppe. Kommt das Opfer den Forderungen der Cyberkriminellen nicht fristgerecht nach, werden dessen Informationen dort zugänglich veröffentlicht.

image

Ransomware-Report: Vom Helpdesk bis zur PR-Abteilung der Cyberkriminellen

Im 1. Teil unserer Artikelserie zeigen wir, wann der Ransomware-Trend entstand und wie die Banden organisiert sind. Die grossen Gruppen haben auch die kleine Schweiz verstärkt im Visier.

Von publiziert am 18.5.2022
image

Google will "gehärtete" Open-Source-Software vertreiben

Der Cloudriese scheint von der Sorge vieler Unternehmen über die Sicherheit ihrer Software-Lieferkette profitieren zu wollen.

publiziert am 18.5.2022
image

Der Bundesrat macht das NCSC zum Bundesamt

Bis Ende Jahr soll klar sein, wie das Bundesamt für Cybersicherheit ausgestaltet und in welchem Departement es angesiedelt sein soll.

publiziert am 18.5.2022