Russische Hacker klauen iranische Malware für Eigengebrauch

21. Oktober 2019, 14:47
  • security
  • cyberangriff
image

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat.

Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat. Die meisten Opfer befanden sich in Ländern des Nahen Ostens.
Die Turla-Gruppe, auch als Waterbug oder Venomous Bear bekannt, späht mit raffinierten Vorgehensweisen die IT-Systeme von Behörden, militärischen Einrichtungen und Unternehmen aus, um an ihre Geheimnisse zu kommen. Auch beim Hack des Schweizer Rüstungsbetriebs Ruag könnte sie ihre Finger im Spiel gehabt haben.
Nautilus und Neuron allerdings, so sagt das NCSC nun in einen zusammen mit dem US-Geheimdienst NSA verfassten Report, wurden nicht von Turla entwickelt. Sondern sehr wahrscheinlich von Cyber-Spionagegruppen aus dem Iran.
Turla, so glaubt das NCSC, hat sich in die Systeme der iranischen Hacker gehackt. Dadurch kamen sie unter anderem an die notwendigen Informationen heran, um die Command- and Control-Server für Neuron und Nautilus, unbemerkt von deren eigentlichen "Besitzern", auch selbst zu benutzen. So konnte Turla Opfer, welche bereits von den Iranern kompromittiert wurden, auch selbst ausspähen und ihnen zudem zusätzliche eigene Malware unterjubeln.
Ausserdem erbeutete Turla den Code der beiden Implantate. Diese seien von Turla dann auch bei Opfern eingesetzt worden, welche die Hackergruppe zuvor bereits mit eigener Malware aus ihrem "Snake" genannten Satz an Tools infiziert hatte.
Der NCSC-Direktor Paul Chichester erklärte, die Veröffentlichung des Berichts sei unter anderem eine Warnung an staatlich gesponsorte Hackergruppen: "Auch wenn Cyber-Akteure versuchen, ihre Identität zu maskieren, werden wir sie dank unseren Möglichkeiten letztendlich identifizieren."
Allerdings wurden die Tools ja lange Zeit gar nicht iranischen Gruppen zugeordnet, sondern Turla selbst. So gesehen scheint Tarnung nicht unbedingt das Hauptziel von Turla gewesen sein. Vielleicht ging es eher darum, die Methoden der iranischen Gruppen kennenzulernen und zu analysieren. Und die Möglichkeit, bereits von anderen Spionen "vorgehackte" Ziele ohne grossen Aufwand selbst auszuspionieren, könnte auch ein Motiv gewesen sein. (hjm)

Loading

Mehr zum Thema

image

Mutmasslicher Cyberangriff auf den Vatikan

Russische Hacker sollen verschiedene Websites des Zwergstaates angegriffen haben, weil der Papst den Angriffskrieg in der Ukraine als "grausam" bezeichnete.

publiziert am 1.12.2022
image

Polizei in San Francisco will Roboter zum Töten einsetzen

Eine Mehrheit eines kommunalen Gremiums hat die umstrittene Richtlinie nach wochenlanger Prüfung und einer hitzigen Debatte angenommen. Kritische Stimmen wehren sich gegen den Entscheid.

publiziert am 30.11.2022
image

NCSC warnt vor neuer Office-365-Phishing-Variante

Der neue Trick scheint noch ausgeklügelter zu sein als bisherige Phishing-Tricks.

publiziert am 29.11.2022
image

Bei Infopro laufen erste Systeme nach Cyber­angriff wieder

Der Berner IT-Dienstleister kann erste Systeme wieder hochfahren und hofft, im Verlauf dieser Woche zum Normal­betrieb zurückkehren zu können.

publiziert am 28.11.2022