Meldung

Ähnlichkeiten zwischen Sunburst und Kazuar-Backdoor

Experten von Kaspersky haben spezifische Code-Ähnlichkeiten zwischen Sunburst und bekannten Versionen der Kazuar-Backdoor gefunden. Diese Art von Malware ermöglicht einen Fernzugriff auf den Computer eines Opfers. Die Erkenntnisse könnten Sicherheitsforscher bei ihren Analysen des Angriffs weiterbringen.
Auf Spurensuche: Kaspersky-Experten haben offenbar Verbindungen zwischen Sunburst und Turla gefunden.
Mitte Dezember 2020 gaben FireEye, Microsoft und SolarWinds die Entdeckung eines großen, hoch komplexen Supply-Chain-Angriffs bekannt, bei dem die bisher unbekannte Malware "Sunburst" gegen Kunden von SolarWinds Orion eingesetzt wurde.

Bei der Analyse [1] der Sunburst-Backdoor entdeckten die Sicherheitsforscher von Kaspersky eine Reihe von Funktionen, die sich mit denen der im .NET Framework geschriebenen Backdoor "Kazuar" überschneiden. Kazuar wurde erstmals im Jahr 2017 von Palo Alto beschrieben und dem APT-Akteur Turla zugeschrieben, der diese Backdoor bei Cyberspionageangriffen auf der ganzen Welt eingesetzt hat. Mehrere Ähnlichkeiten im Code deuten auf eine Verbindung zwischen Kazuar und Sunburst hin, wenn auch von noch unbestimmter Natur.

Zu den Gemeinsamkeiten zwischen Sunburst und Kazuar gehören der UID-(User Idenitifier), Generierungsalgorithmus, der Sleep-Algorithmus und die umfassende Verwendung des FNV1a-Hashs. Laut den Experten sind diese Code-Fragmente nicht 100 prozentig identisch, was darauf hindeutet, dass Kazuar und Sunburst verwandt sein könnten, auch wenn die Art dieser Beziehung noch nicht ganz klar ist.

Nach der ersten Bereitstellung der Sunburst-Malware im Februar 2020 wurde Kazuar weiterentwickelt, spätere 2020-Varianten ähneln in gewisser Hinsicht Sunburst noch mehr. Über die Jahre der Kazuar-Entwicklung hinweg konnten die Experten von Kaspersky eine kontinuierliche Weiterentwicklung feststellen, bei der bedeutende Funktionen hinzugefügt wurden, die Sunburst ähneln.

Diese Ähnlichkeiten können unterschiedliche Gründe haben, beispielsweise dass Sunburst von derselben Gruppe wie Kazuar entwickelt wurde, oder die Sunburst-Entwickler Kazuar als Vorlage verwendet haben, oder aber dass ein Kazuar-Entwickler zum Sunburst-Team gewechselt hat, oder dass die beiden Gruppen hinter Sunburst und Kazuar ihre Malware jeweils aus derselben Quelle bezogen haben.

"Die gefundene Verbindung verrät nicht, wer hinter dem Solarwinds-Angriff steckt, bietet jedoch weitere Erkenntnisse, die Forschern dabei helfen können, diese Analyse weiter voranzutreiben", erklärt Costin Raiu, Leiter des Global Research and Analysis Teams (GReAT) bei Kaspersky.

"Wir sind davon überzeugt, dass es wichtig ist, dass auch andere Forscher weltweit diese Ähnlichkeiten untersuchen, und versuchen, mehr über Kazuar und den Ursprung der Sunburst-Malware, die gegen Solarwinds eingesetzt wurde, herauszufinden. Beim WannaCry-Angriff beispielsweise gab es in den ersten Tagen nur sehr wenige Fakten, die diesen mit der Lazarus-Gruppe in Verbindung brachten. Mit der Zeit fanden wir jedoch weitere Beweise, die es uns und anderen erlaubten, sie mit hoher Wahrscheinlichkeit miteinander in Verbindung zu bringen. Weitere Analysen zu solchen Angriffen sind entscheidend, um ein umfassenderes Bild zu erhalten."
11.01.2021/dr

Tipps & Tools

Intensiv-Seminar "Aufbau einer PKI unter Windows Server" [2.08.2021]

Microsoft verwendet Zertifikate für mehrere PKI-fähige Produkte, daher bedarf es sowohl innerhalb der Organisation als auch für externe Partner einer fehlerfreien Zertifikatausstellung. Anfang September erfahren Sie in unserem Intensiv-Seminar in Hamburg, was Sie beim Aufbau einer Public-Key-Infrastruktur unter Windows Server beachten müssen. Dabei zeigen wir unter anderem, wie Sie PKI-fähige Anwendungen identifizieren und eine Testumgebung aufbauen und konfigurieren. Zögern Sie nicht zu lange – und sichern Sie sich einen der wenigen verfügbaren Plätze für das Seminar! Abonnenten nehmen wie immer zum Vorzugspreis teil. [mehr]

Sicherheitslücke in systemd begünstigt Denial-of-Service-Attacken [30.07.2021]

Das Qualys Research Team hat eine schwerwiegende Sicherheitslücke in Linux-Betriebssystemen identifiziert. Für den den systemd-Daemon betreffenden Bug weit verbreiteter OS wie RHEL 8 und Debian 10 ist ein Patch verfügbar. [mehr]

Fachartikel

SOC-Grundlagen: Weniger Fehlmeldungen durch besseren Kontext [21.07.2021]

Wer als Sicherheitsspezialist in einem Security Operations Center arbeitet, der wird tagein, tagaus mit einer schier endlosen Flut an Meldungen konfrontiert. Jedoch sind nicht alle dieser Nachrichten wirklich sicherheitsrelevant, denn bei einem Großteil handelt es sich um Fehlalarme oder unwichtige Informationen. Der Artikel erklärt, wie mehr Datenkontext dabei helfen kann, zwischen echten Signalen und sogenanntem Rauschen zu unterscheiden, um dem Problem der Alarmmüdigkeit entgegenzuwirken. [mehr]

Buchbesprechung

Windows 10 Power-Tipps

von Günter Born

Anzeigen