Meldung

Schädling mit gestohlenem Zertifikat

Kaspersky Lab hat mehrere Infektionen eines bisher unbekannten Trojaners entdeckt, der vermutlich vom chinesischsprachigen Bedrohungsakteur 'LuckyMouse' stammt. Die Malware ist mit einem außergewöhnlichen Treiber ausgestattet, der mit einem legitimen digitalen Zertifikat eines Herstellers für Security-Software signiert ist.
Die Gruppe LuckyMouse ist laut Kaspersky Lab [1] bekannt für zielgerichtete Cyberangriffe auf große Unternehmen weltweit. Die Aktivitäten der Gruppe stellen eine Gefahr für ganze Regionen dar, da ihre Angriffe eine politische Agenda zu haben scheinen. Erst im vergangenen Juni hatte die Gruppe ein Datenzentrum in Zentralasien im Visier. Kaspersky Lab vermutet aus der Analyse der Opferprofile und der bisherigen Angriffsvektoren der Gruppe, dass der entdeckte Trojaner möglicherweise für staatlich unterstützte Cyberspionage eingesetzt wurde.

Der entdeckte Trojaner infizierte einen anvisierten Computer mit einem Treiber, der von den Bedrohungsakteuren selbst erstellt wurde. Damit konnten die Angreifer übliche Aufgaben wie Befehlsausführung, Down- und Upload von Dateien ausführen sowie den Netzwerkverkehr abfangen. Der Treiber wurde offenbar mit einem gestohlenen digitalen Zertifikat versehen, das ursprünglich von einem Softwarehersteller für Informationssicherheit stammt, um ihn als vertrauenswürdig einstufen zu lassen. Damit sollte verhindert werden, dass die Malware-Samples von Sicherheitslösungen entdeckt werden – eine legitime Signatur lässt die Malware als legale Software erscheinen.

Obwohl der Akteur LuckyMouse in der Lage ist, selbst eigene schädliche Software zu erstellen, wurde für die verwendete Software scheinbar eine Kombination aus öffentlich zugänglichem Code aus öffentlichen Quellen und eigener Malware verwendet. Der Einsatz von gebrauchsfertigen Codes von Drittanbietern, anstatt eigenen Code zu schreiben, spart den Entwicklern Zeit und erschwert zudem die Zuschreibung (Attribuierung).
11.09.2018/dr

Tipps & Tools

Vorschau Mai 2019: IT-Sicherheitsmanagement [22.04.2019]

Besonders in kleineren Firmen ohne eigenes IT-Sicherheitsteam fällt es Administratoren schwer, mit zunehmend gehäuften und raffinierten Angriffen umzugehen. In der Mai-Ausgabe beleuchtet IT-Administrator deshalb das Thema 'IT-Sicherheitsmanagement'. So lesen Sie, welche Sicherheitsfunktionen Windows Server sowie Exchange Server 2019 mitbringen. Außerdem erfahren Sie, wie Sie Ihre Azure-Umgebung absichern und Linux-Systeme härten. Unser Workshop zu 'Infection Monkey' lässt Sie ferner in die Rolle eines Angreifers schlüpfen, um das eigene Netzwerk auf Schwachstellen zu testen. [mehr]

AWS-Account absichern [21.04.2019]

Cloudanbieter bewerben ihre Angebote mit einer Vereinfachung von IT-Prozessen. Dabei sollte aber die Sicherheit nicht auf der Strecke bleiben. Besonders wichtig ist dies für Nutzer von AWS, denn über die AWS Management Console als zentrale Anlaufstelle können Angreifer viel Schaden anrichten. Es gilt daher, den AWS-Account bestmöglich gegen Passwortangriffe abzuschirmen - unter anderem durch Multi-Faktor-Authentifizierung. [mehr]

Fachartikel

IAIT-Test: Pulse Policy Secure von PulseSecure [22.04.2019]

Mit Pulse Policy Secure bietet PulseSecure ein Network Access Control-Produkt an, das genau steuert, wer beziehungsweise was wann auf ein Netzwerk zugreifen kann. Gleichzeitig behält die Lösung das Netz im Blick und ermöglicht so eine unternehmensweite Visibility sowie das Auditing und Monitoring der Netzwerkkomponenten. Das Produkt konnte sich im Testlabor beweisen. [mehr]

Buchbesprechung

IT-Sicherheit

von Prof. Dr. Claudia Eckert

Anzeigen