Sie sind hier: Home » Virenwarnung » Hintergrund

Equation Group: Die Mutter der Cyber-Spionage

Die Ahnen von Stuxnet und Flame - Urheber ist ein mächtiger Akteur
Kaspersky Lab hat zwei Module entdeckt, mit denen die Cyberangriffe verantwortliche Bedrohungsakteure bei einem Dutzend beliebter Festplattenhersteller möglich ist

(04.03.15) - Kaspersky Lab enttarnt einen Bedrohungsakteur, der hinsichtlich technischer Komplexität und Raffinesse alles bisher Bekannte in den Schatten stellt – die so genannte Equation Group, die seit fast zwei Jahrzehnten aktiv ist. Die IT-Sicherheitsexperten des Global Research and Analysis Teams (GReAT) von Kaspersky Lab beobachten seit einigen Jahren mehr als 60 fortschrittliche und für weltweite Cyber-Angriffe verantwortliche Bedrohungsakteure und analysieren dabei immer komplexer werdende Attacken. Dabei mischen immer mehr Nationalstaaten im Cyberspace mit und rüsten sich mit den fortschrittlichsten Werkzeugen aus.

Laut Kaspersky Lab ist die Equation Group jedoch in annähernd all ihren Aktivitäten einzigartig: Sie nutzen Werkzeuge, die sehr kompliziert und kostenintensiv zu entwickeln sind. Damit infizieren sie ihre Opfer, rufen Daten ab und verbergen ihre Aktionen in einer außergewöhnlich professionellen Weise. Darüber hinaus nutzen sie auch klassische Spionage-Taktiken, um böswilligen Code bei ihren Opfern zu platzieren.

Zur Infektion setzt die Gruppe eine Reihe von "Implantaten" (Trojanern) ein, darunter die von Kaspersky Lab wie folgt benannten: EquationLaser, EqationDrug, DoubleFantasy, TripleFantasy, Fanny und GrayFish. Zweifelsohne existieren noch weitere Implantate.

Angriff auf Festplatten-Firmware
Die Experten von Kaspersky Lab haben zwei Module entdeckt, mit denen die Cyberangriffe verantwortliche Bedrohungsakteure bei einem Dutzend beliebter Festplattenhersteller möglich ist. Dies ist vielleicht das stärkste Werkzeug im Arsenal der Equation Group und die erste bekannte Malware, die direkt Festplatten infiziert.

Das Ändern der Systemsoftware einer Festplatte hat schwerwiegende Folgen:
• >> Eine extrem hohe Widerstandsfähigkeit, mit der die Malware selbst eine Festplattenformatierung oder eine Neuinstallation des Betriebssystems überlebt. Sobald die Malware in die Firmware gelangt, kann sie sich selbst für immer wieder herstellen und das Löschen bestimmter Festplattenbereiche verhindern beziehungsweise diesen Bereich durch einen schädlichen während eines Systemneustarts ersetzen.

"Ein weiterer gefährlicher Punkt: Wird eine Festplatte mit diesem gefährlichen Code infiziert, ist es unmöglich die Firmware zu scannen", so Costin Raiu, Director des Global Research and Analysis Team bei Kaspersky Lab. "Einfacher gesagt: für die meisten Festplatten existieren Funktionen zum Beschreiben des Firmware-Bereichs ihrer Hardware, aber nicht zur Wiedergabe. Das bedeutet, dass wir praktisch blind sind und mit dieser Malware infizierte Festplatten nicht erkennen können."

• >> Die Möglichkeit, einen unsichtbaren und dauerhaften Bereich auf der Festplatte zu schaffen, wird auch genutzt, um herausgefilterte Informationen zu speichern, die später von den Angreifern abgerufen werden können. Zudem kann dies in einigen Fällen beim Knacken der Verschlüsselung hilfreich sein.
"Wenn man sich vergegenwärtigt, dass deren GrayFish-Implantat ab dem Hochfahren eines Systems aktiv ist, kann man verstehen, dass die Angreifer in der Lage sind, das Verschlüsselungspasswort zu entwenden und es in ihrem versteckten Bereich zu speichern", so Costin Raiu weiter.

Daten von isolierten Netzwerken wiederherstellen
Der so genannte Fanny-Wurm sticht ebenfalls unter allen Angriffsmöglichkeiten der Equation Group heraus. Dessen Hauptzweck ist es, "Air Gapped"-Netzwerke abzubilden – also die Topologie eines Netzwerkes, das nicht über eine Leitung erreichbar ist, zu erfassen. Zu diesem Zweck wird ein bislang einmaliger USB-basierter Command & Control-Mechanismus eingesetzt, der es erlaubt, Daten aus nicht verbundenen Netzwerken hinein- und hinauszubringen.

Das bedeutet, dass ein infizierter USB-Stick mit einem versteckten Speicherbereich eingesetzt wird, um grundlegende System-Informationen in nicht mit dem Internet verbundenen Computern einzusammeln. Sobald der USB-Stick in einen von Fanny infizierten und mit dem Internet verbundenen Computer gesteckt wird, sendet er diese Informationen an den Command & Control-Server. Wenn die Angreifer Befehle in den "AirGapped"-Netzwerken ausführen wollen, speichern sie diese Befehle im versteckten Bereich des USB-Sticks. Wird der USB-Stick mit dem "Air Gapped"-Computer verbunden, bemerkt Fanny diesen Befehl und führt ihn aus.

Klassische Spionage-Methoden und Malware-Auslieferung
Die Angreifer nutzten alle Methoden, um Ziele zu infizieren: nicht nur über das Web, sondern auch über die physikalischen Welt. Hierfür nutzten sie eine klassische Technik zum Abfangen und Ersetzen von trojanisierten Versionen physischer Gegenstände. Ein Beispiel, bei dem Teilnehmer einer wissenschaftlichen Konferenz in Houston betroffen waren: Als die Teilnehmer nach Hause kamen, erhielten einige eine CD-ROM mit Inhalten zur besuchten Konferenz. So konnten die Angreifer das Implantat DoubleFantasy bei den anvisierten Rechnern platzieren. Die genaue Methode, wie die Inhalte der CD mit böswilligem Code versehen werden konnte, bleibt unbekannt.

Berühmt-berüchtigte Bekannte: Stuxnet und Flame
Es gibt zuverlässige Hinweise darauf, dass die Equation Group mit anderen einflussreichen Gruppen wie beispielsweise mit den Betreibern von Stuxnet und Flame interagiert – wobei die Equation Group offenbar eine führende Position innehatte. Die Equation Group hatte Zugang zu Zero-Day-Schwachstellen, bevor diese von Stuxnet und Flame genutzt wurden. Zu einem anderen Zeitpunkt teilten sie die Exploits mit den anderen.

Im Jahr 2008 nutzte der Schädling Fanny zwei Zero-Days, die erst im Juni 2009 und März 2010 in Stuxnet eingebaut wurden. Eine dieser Zero-Days in Stuxnet war ursprünglich ein Flame-Modul, das dieselbe Schwachstelle ausnutzt. Dieser wurde direkt aus der Flame-Plattform entnommen und in Stuxnet eingebaut.

Einflussreiche und geographisch verbreitete Infrastruktur
Die Equation Group verwendet eine riesige C&C-Infrastruktur, die mehr als 300 Domains und über 100 Server umfasst. Die Server werden in zahlreichen Ländern betrieben, darunter auch in Deutschland, den USA, Großbritannien, Italien, den Niederlande, Panama, Costa Rica, Malaysia, Kolumbien und der Tschechischen Republik. Kaspersky Lab betreibt derzeit "Sinkhole"-Server bei mehreren Dutzend der 300 C&C-Server.

Tausende prominente Opfer weltweit
Seit dem Jahr 2001 hat die Equation-Gruppe tausende, vermutlich zehntausende, Opfer in über 30 Ländern weltweit aus folgenden Bereichen infiziert: Regierungs- und diplomatische Institutionen, Telekommunikation, Luft- und Raumfahrt, Energie, Nuklearforschung, Öl- und Gasindustrie, Militär, Nanotechnologie, islamische Aktivisten und Gelehrte, Massenmedien, Transport, Finanzinstitute sowie Unternehmen, die Verschlüsselungstechnologien entwickeln.

Die Aufdeckung von Kaspersky Lab
Kaspersky Lab beobachtete sieben Exploits, die von der Schadsoftware der Equation Group genutzt wurden. Bei mindestens vier davon handelt es sich um Zero-Days. Außerdem wurden unbekannte Exploits – vermutlich Zero-Days – in Firefox 17 observiert, die auch im Tor-Browser genutzt wurden.

Während der Infektionsphase hätte die Gruppe die Möglichkeit, zehn Exploits hintereinander zu verwenden. Allerdings stellte Kaspersky Lab fest, dass nie mehr als drei genutzt werden: wenn der erste nicht erfolgreich ist, wird ein zweiter und ein dritter Versuch gestartet. Falls alle drei Exploits misslingen, wird das System nicht infiziert. (Kaspersky Lab: ra)

Kaspersky Lab: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Hintergrund

Hybride aus Daten-Diebstahl und Ransomware
SophosLabs und Sophos Managed Threat Response haben einen Bericht über eine neue Ransomware veröffentlicht, die eine bisher noch nicht bekannte Angriffsmethode verwendet: Die sogenannte Snatch-Ransomware geht mit variierenden Techniken vor und veranlasst unter anderem einen Neustart übernommener Computer im abgesicherten Modus, um verhaltensorientierte Schutzmaßnahmen, die speziell nach Ransomware-Aktivitäten wie das Verschlüsseln von Dateien Ausschau halten, zu umgehen. Sophos geht davon aus, dass Cyberkriminelle damit eine neue Angriffstechnik etabliert haben, um fortschrittliche Schutzmechanismen auszuhebeln. Neben der neuen Angriffstaktik belegt ein weiterer interessanter Fund, dass sich ein anderer Trend fortzusetzen scheint: Kriminelle filtern immer häufiger Daten heraus, bevor die eigentliche Ransomware-Attacke startet. Die entwendeten Daten könnten zu einem späteren Zeitpunkt für Erpressungen, auch in Zusammenhang mit der DSGVO, verwendet werden. Ähnliches Verhalten konnten die SophosLabs zum Beispiel bei Ransomware-Gruppen wie Bitpaymer feststellen.
Windows-Zero-Day-Exploit zur Rechteausweitung
Kaspersky-Technologien haben eine Zero-Day-Schwachstelle im Windows-Betriebssystem gefunden. Der darauf basierende Exploit ermöglichte es Angreifern, höhere Privilegien auf dem attackierten Gerät zu erlangen und Schutzmechanismen im Google Chrome Browser zu umgehen - wie es in der WizardOpium-Kampagne geschah. Ein Patch wurde bereits veröffentlicht. Die neue Windows-Schwachstelle wurde von Kaspersky-Forschern aufgrund eines anderen Zero-Day-Exploits gefunden. Bereits im vergangenen November hatten die Exploit-Prevention-Technologien, die in den meisten Produkten des Unternehmens integriert sind, einen Zero-Day-Exploit in Google Chrome gefunden. Dieser Exploit ermöglichte es den Angreifern, beliebigen Code auf dem Computer des Opfers ausführen. Im Rahmen weiterer Untersuchungen dieser Kampagne, die die Experten WizardOpium tauften, wurde nun der Exploit im Windows-Betriebssystem gefunden.
Phishing ist ein langfristiges Problem
Akamai Technologies hat den "State of the Internet"-Sicherheitsbericht 2019 "Phishing - Baiting the hook" veröffentlicht. Die Forschungsergebnisse zeigen, dass Cyberkriminelle unternehmensbasierte Entwicklungs- und Bereitstellungsstrategien wie Phishing-as-a-Service nutzen, um die größten Technologiekonzerne der Welt anzugreifen. Knapp 43 Prozent der beobachteten Domains zielten auf Microsoft, PayPal, DHL und Dropbox ab. Der Bericht legt offen, dass Phishing nicht mehr nur eine E-Mail-basierte Bedrohung ist, sondern auch Social Media und mobile Geräte umfasst. Es handelt sich um ein weitreichendes Problem, das alle Branchen betrifft. Da sich die Angriffsmethoden weiterentwickeln, entstehen neue Techniken, etwa für Attacken auf geschäftliche E?Mails (Business E?Mail Compromise, BEC). Laut dem FBI führten BEC-Angriffe zwischen Oktober 2013 und Mai 2018 zu weltweiten Verlusten von mehr als 12 Milliarden US-Dollar.
Ziel des Angriffs kann sogar geblacklisted werden
Im Laufe des Jahres 2019 haben das Threat Research Center (TRC) und das Emergency Response Team (ERT) von Radware eine zunehmende Anzahl von TCP-Reflection-Angriffen überwacht und verteidigt. Bei solchen Angriffen werden nicht nur die eigentlichen Ziele in Mitleidenschaft gezogen, sondern auch nichts ahnende Netzwerkbetreiber, deren Ressourcen benutzt werden, um die Attacke zu verstärken. Im Extremfall wird das Ziel des Angriffs als vermeintlicher Urheber der Attacke sogar von den einschlägigen Service-Anbietern auf deren Blacklists gesetzt. TCP-Reflection-Angriffe wie die SYN-ACK Reflection waren bis vor kurzem bei Angreifern weniger beliebt. Der Mangel an Popularität war hauptsächlich auf die falsche Annahme zurückzuführen, dass TCP-Reflection-Angriffe im Vergleich zu UDP-basierten Reflexionen nicht genügend Verstärkung erzeugen können. Im Allgemeinen haben TCP-Angriffe eine geringe Bandbreite und die Wahrscheinlichkeit ist geringer, dass eine Internetverbindung gesättigt wird. Stattdessen werden TCP-Angriffe genutzt, um durch hohe Paketraten (Packets Per Second - PPS) viele Ressourcen von Netzwerkgeräten zu binden und so Ausfälle zu provozieren.
Sicherheitsprognosen für 2020
Die Sicherheitsforscher von Malwarebytes geben ihre Sicherheitsprognosen für das Jahr 2020 bekannt. Dabei prognostizieren die Experten zunehmende Gefahren für Unternehmen durch Ransomware-Angriffe, erwarten vermehrt Exploit-Kit-Aktivitäten und VPN-Skandale. Im Folgenden werden sechs Sicherheitsprognosen vorgestellt und in die Entwicklungen der jüngsten Zeit eingeordnet. Ransomware-Angriffe auf Unternehmen und Regierungen werden dank neu gefundener Schwachstellen zunehmen. Bereits in den vergangenen beiden Jahren konnte im Business-Umfeld ein Anstieg von Schwachstellen festgestellt werden und gerade in diesem Jahr wurde immer mehr Malware entwickelt, die sich auf Unternehmen konzentriert anstatt auf Verbraucher.

Spionageprogramm Babar schneidet alle Daten mit Maßgeschneiderte Malware im Einsatz