Meldung

Schädling mit gestohlenem Zertifikat

Kaspersky Lab hat mehrere Infektionen eines bisher unbekannten Trojaners entdeckt, der vermutlich vom chinesischsprachigen Bedrohungsakteur 'LuckyMouse' stammt. Die Malware ist mit einem außergewöhnlichen Treiber ausgestattet, der mit einem legitimen digitalen Zertifikat eines Herstellers für Security-Software signiert ist.
Die Gruppe LuckyMouse ist laut Kaspersky Lab [1] bekannt für zielgerichtete Cyberangriffe auf große Unternehmen weltweit. Die Aktivitäten der Gruppe stellen eine Gefahr für ganze Regionen dar, da ihre Angriffe eine politische Agenda zu haben scheinen. Erst im vergangenen Juni hatte die Gruppe ein Datenzentrum in Zentralasien im Visier. Kaspersky Lab vermutet aus der Analyse der Opferprofile und der bisherigen Angriffsvektoren der Gruppe, dass der entdeckte Trojaner möglicherweise für staatlich unterstützte Cyberspionage eingesetzt wurde.

Der entdeckte Trojaner infizierte einen anvisierten Computer mit einem Treiber, der von den Bedrohungsakteuren selbst erstellt wurde. Damit konnten die Angreifer übliche Aufgaben wie Befehlsausführung, Down- und Upload von Dateien ausführen sowie den Netzwerkverkehr abfangen. Der Treiber wurde offenbar mit einem gestohlenen digitalen Zertifikat versehen, das ursprünglich von einem Softwarehersteller für Informationssicherheit stammt, um ihn als vertrauenswürdig einstufen zu lassen. Damit sollte verhindert werden, dass die Malware-Samples von Sicherheitslösungen entdeckt werden – eine legitime Signatur lässt die Malware als legale Software erscheinen.

Obwohl der Akteur LuckyMouse in der Lage ist, selbst eigene schädliche Software zu erstellen, wurde für die verwendete Software scheinbar eine Kombination aus öffentlich zugänglichem Code aus öffentlichen Quellen und eigener Malware verwendet. Der Einsatz von gebrauchsfertigen Codes von Drittanbietern, anstatt eigenen Code zu schreiben, spart den Entwicklern Zeit und erschwert zudem die Zuschreibung (Attribuierung).
11.09.2018/dr

Tipps & Tools

Jetzt buchen: AWS- und Monitoring-Trainings im April und Mai [18.02.2019]

Der Winter geht zu Ende und auch bei den Trainings des IT-Administrator steht die Frühlingssaison vor der Tür. So beschäftigen wir uns im April mit 'Amazon Web Services für KMUs', gilt es doch gerade für kleinere IT-Mannschaften, die Komplexität der von AWS angebotenen Dienste ebenso zu beherrschen wie die Integration in die lokale IT. Dass sich freie Werkzeuge in Windows-Infrastrukturen prächtig schlagen, zeigt unser neuestes Training 'Open-Source-Monitoring in Windows-Umgebungen' im Mai. Sichern Sie sich noch heute Ihren Platz in einem der Trainings, die in Hamburg und München stattfinden. [mehr]

CPU-Turbo-Boost vermeiden [17.02.2019]

Zahlreiche Intel-Prozessoren unterstützen die Intel Turbo Boost Technologie, womit die CPU abhängig von mehreren Faktoren kurzzeitig die Taktfrequenz einzelner Prozessorkerne erhöhen kann. Manchmal kann es aber auch sinnvoll sein, unter Windows Server 2016 oder Windows 10 die Prozessortaktfrequenz zu limitieren, um beispielsweise die Außentemperatur eines passiv gekühlten Systems zu verringern oder bei anderen Systemen die Lüfterdrehzahlen zu limitieren. Wir erklären, wie das funktioniert. [mehr]

Buchbesprechung

IT-Sicherheit

von Prof. Dr. Claudia Eckert

Anzeigen