Russische Hacker klauen iranische Malware für Eigengebrauch

21. Oktober 2019 um 14:47
  • security
  • cyberangriff
image

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat.

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat. Die meisten Opfer befanden sich in Ländern des Nahen Ostens.
Die Turla-Gruppe, auch als Waterbug oder Venomous Bear bekannt, späht mit raffinierten Vorgehensweisen die IT-Systeme von Behörden, militärischen Einrichtungen und Unternehmen aus, um an ihre Geheimnisse zu kommen. Auch beim Hack des Schweizer Rüstungsbetriebs Ruag könnte sie ihre Finger im Spiel gehabt haben.
Nautilus und Neuron allerdings, so sagt das NCSC nun in einen zusammen mit dem US-Geheimdienst NSA verfassten Report, wurden nicht von Turla entwickelt. Sondern sehr wahrscheinlich von Cyber-Spionagegruppen aus dem Iran.
Turla, so glaubt das NCSC, hat sich in die Systeme der iranischen Hacker gehackt. Dadurch kamen sie unter anderem an die notwendigen Informationen heran, um die Command- and Control-Server für Neuron und Nautilus, unbemerkt von deren eigentlichen "Besitzern", auch selbst zu benutzen. So konnte Turla Opfer, welche bereits von den Iranern kompromittiert wurden, auch selbst ausspähen und ihnen zudem zusätzliche eigene Malware unterjubeln.
Ausserdem erbeutete Turla den Code der beiden Implantate. Diese seien von Turla dann auch bei Opfern eingesetzt worden, welche die Hackergruppe zuvor bereits mit eigener Malware aus ihrem "Snake" genannten Satz an Tools infiziert hatte.
Der NCSC-Direktor Paul Chichester erklärte, die Veröffentlichung des Berichts sei unter anderem eine Warnung an staatlich gesponsorte Hackergruppen: "Auch wenn Cyber-Akteure versuchen, ihre Identität zu maskieren, werden wir sie dank unseren Möglichkeiten letztendlich identifizieren."
Allerdings wurden die Tools ja lange Zeit gar nicht iranischen Gruppen zugeordnet, sondern Turla selbst. So gesehen scheint Tarnung nicht unbedingt das Hauptziel von Turla gewesen sein. Vielleicht ging es eher darum, die Methoden der iranischen Gruppen kennenzulernen und zu analysieren. Und die Möglichkeit, bereits von anderen Spionen "vorgehackte" Ziele ohne grossen Aufwand selbst auszuspionieren, könnte auch ein Motiv gewesen sein. (hjm)

Loading

Mehr zum Thema

imageAbo

Wie Cyberkriminelle an Zugangsdaten kommen

Europol analysiert in einem aktuellen Report Techniken von Cyberkriminellen. Diese werden immer ausgefeilter.

publiziert am 12.6.2025
image

Bacs verstärkt Kooperation mit Banken

Das Bundesamt für Cybersicherheit erweitert seine Zusammenarbeit mit dem Swiss Financial Sector Cyber Security Centre. Insbesondere der Informationsaustausch wird verbessert.

publiziert am 11.6.2025
image

Cisco stellt Security-Lösungen für KI-Agenten vor

Agentenbasierte KI vervielfacht Risiken in Unternehmen, schreibt Cisco und stellt passende Lösungen vor.

publiziert am 11.6.2025
imageAbo

Im Cybercrime-Untergrund herrscht Unruhe

Aktionen von Justizbehörden häufen sich. Ein Whistleblower leakt Daten zu Ransomware-Hintermännern. Security-Experten äussern sich zu deren Analyse.

publiziert am 10.6.2025