Cisco entdeckt gezielte Phishing-Angriffe auf einzelne Branchen

Cisco hat mitgeteilt, dass es gezielte Phishing-Versuche entdeckt hat. Sie richten sich gegen besonders einträgliche Branchen. Dazu gehören zum Beispiel Banken, die Ölindustrie, TV-Sender und der Schmuckhandel. Cisco Threat Spotlight schreibt in einem Sicherheitsblog über die aufgedeckten Methoden und Ziele.

Ciscos Vulnerability Research Team (VRT) kann die Phishing-Angriffe analysieren, da die Kriminellen vielfältige Spuren hinterließen. Für die Attacken nutzten sie extrem gezieltes Phishing (Spearphishing) mit Exploit-Versuchen, die gängige Anti-Viren-Lösungen zum Teil nicht erkennen konnten. Die Phishing-Mails hatten die Angreifer speziell für den jeweiligen Empfänger geschrieben. Die Mails gaben sich als Rechnung, Bestellung oder Quittung aus. Im Anhang befand sich jeweils eine Microsoft-Word-Datei.

Die unbekannten Täter, setzten eine Funktion in der Skriptsprache Visual Basic für Applications (VBA) ein, mit der sich Abläufe in Microsoft Office steuern lassen. Hat ein Opfer das Word-Dokument geöffnet, setzte es einen Download einer ausführbaren Datei in Gang. Diese startete sich anschließend auf dem Rechner.

Unter anderem hatten die Angreifer die Malware beim Onlinespeicherdienst Dropbox gehostet. Hinter den Domains Londonpaerl.co.uk und Selombiznet.in versteckten sich die Kommando- und Kontrollserver. Dabei fiel auf, dass Londonpaerl.co.uk eigentlich eine Tippfehler-Domain ist und dazu gedacht, versehentliche Besucher von Londonpearl.co.uk anzulocken, einem internationalen Vertrieb von Zuchtperlen und daraus gefertigtem Schmuck. Die Website mit der ähnlich geschriebenen Domain gibt sich jedoch als Arbeitsvermittlung aus und betreibt ihre undurchsichtigen Geschäfte seit mindestens 2007.

Wie Cisco berichtet, konnte es allein am 25. Juni fünf von Londonpaerl.co.uk ausgehende Backdoor-Komponenten blockieren. Diese Angriffe hätten sich innerhalb von 90 Minuten gegen einen einzigen Kunden von Ciscos Sicherheitssparte gerichtet, einen industriellen Herstellungsbetrieb.

“Während der Untersuchung identifizierten wir verschiedene Kampagnen, die offenbar dem gleichen Angreifer zuzuschreiben und mit unterschiedlichster Malware verbunden sind”, heißt es in dem Blogeintrag weiter. “Bei vielen der Domains scheint er zwischenzeitlich eine Nutzungspause einzulegen, vermutlich wegen früherer bösartiger Aktivitäten. Tatsächlich änderte der Angreifer einige Domain-Informationen im Laufe der Untersuchungen mehrmals.”

[mit Material von Bernd Kling, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.