Aufgedeckt hat die Angriffe das ungarische Sicherheitsunternehmen CrySys Lab. Im Zentrum des Interesses der Angreifer standen demnach Aktivisten, Firmen, Forschungseinrichtungen sowie hochrangige Politiker und Diplomaten. Wie die Sicherheitsexperten von Kaspersky in einem Blog berichten, soll dabei auch Technologie von Teamviewer zum Einsatz gekommen sein.
Die von Kaspersky als “TeamSpy” bezeichneten Hintermänner sind schon seit 2008 aktiv. “Die Angreifer kontrollieren die Computer ihrer Opfer mit einer legalen Fernwartungssoftware”, schreibt Kaspersky Lab. “Die Anwendung ist mit einem gültigen digitalen Zertifikat signiert und wird von mehr als 100 Millionen Anwendern weltweit genutzt.” Um zu verhindern, dass ein Opfer den Spionageangriff bemerke, werde das Tool von den Hackern dynamisch im Hauptspeicher gepatcht, um alle Spuren zu verwischen.
Im Untersuchungsbericht von CrySys Lab heißt es, TeamSpy habe verschiedene Personen in Ungarn und im Iran sowie das Außenministerium in Usbekistan ausspioniert. Man habe die Angriffe auf Ersuchen der nationalen Sicherheitsbehörde Ungarns (NBF) analysiert.
Die Hacker hatten es dem Bericht zufolge auf Office-Dokumente wie Word- und Excel-Dateien, PDF-Dateien und Festplatten-Images abgesehen. Zudem hätten sie gezielt nach Dateien gesucht, die Passwörter und Chiffrierschlüssel enthielten.
Die bei den Angriffen benutzte Malware missbraucht Sicherheitslücken in Oracles Java und Adobes PDF-Format. Die Hintermänner sollen aus Russland kommen. Dafür sprechen laut Kaspersky auf Befehlsservern gefundene Skriptdateien sowie die verwendeten Domains “bulbanews.org” und “kartopla.org”. Beide sind seit 2004 registriert und werden seit 2010 vom russischen Provider Telecom gehostet.
Kaspersky weist zudem auf Aussagen weißrussischer Aktivisten hin, wonach die manipulierte Teamviewer-Version auch bei Angriffen auf die weißrussische Demokratiebewegung im vergangenen Jahr zum Einsatz gekommen sein soll. Eine Verbindung zu TeamSpy könne aber derzeit nicht nachgewiesen werden, da die benutzten Exploits schon länger verfügbar seien.
[mit Material von Liam Tung, ZDNet.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…
Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…
DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).
Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.
IT-Infrastruktur-Trends 2025: Open-Source-Projekte sowie aufwändige regulatorische und Pflichtaufgaben werden das Jahr prägen.
IT-Systeme werden vor Ort in einem hochsicheren IT-Safe betrieben, ohne auf bauliche Maßnahmen wie die…
View Comments
Hallo Herr Beiersmann, vielleicht benennen Sie mal die in Oracles Java und Adobes PDF ausgenutzten Sicherheitslücken konkret! Sind es alte oder sind es Zero-Day-Vulnerabilities?
Wenn es einem Angreifer gelingt auf Grund von Sicherheitslücken einen Rechner zu übernehmen, kann der Angreifer natürlich ALLE Ressourcen nutzen, jedes Programm ausführen. Bedeutet hier der Hinweis auf Teamviewer nur, dass der Angreifer alle Programme nutzen konnte?
MhG Hartmut Pohl