Seit 2021 unentdeckt: Hacker greifen Microsoft Exchange-Server an

Sicherheitsforscher haben entdeckt, dass unbekannte Hacker seit Anfang 2021 mit einer neuen Schadsoftware gezielt Microsoft Exchange-Server von Regierungs- und Militäreinrichtungen angreifen. Derzeit sollen viele Netzwerke unentdeckt infiltriert worden sein. Möglich ist das vor allem, da noch immer viele Exchange-Server trotz der 2021 bekannt gewordenen Schwachstellen noch immer nicht auf den neuesten Stand gebracht und damit abgesichert wurden. Das geht aus einer Meldung der Sicherheitsforscher von Kaspersky hervor.

Über die Angreifer ist bisher nicht viel bekannt. Das liegt wohl vor allem daran, dass sie so lange unentdeckt agieren konnten. Zum Einsatz kommt dabei eine Malware, die von Kaspersky als SessionManager benannt wurde. Dabei handelt es sich um ein bösartiges Native-Code-Modul für die Internet Information Services (IIS) für Exchange Server. Infografik Oft gehört - nie genutzt: Schutzmaßnahmen im Internet

Unauffällige Zugriffe

"Die SessionManager-Backdoor ermöglicht Bedrohungsakteuren einen dauerhaften, update-resistenten und eher unauffälligen Zugriff auf die IT-Infrastruktur eines Zielunternehmens", erklärt Kaspersky in dem heute veröffentlichten Blog-Beitrag.

"Einmal in das System des Opfers eingeschleust, können die Cyberkriminellen hinter der Backdoor Zugriff auf Unternehmens-E-Mails erhalten, weitere bösartige Zugriffe durch die Installation anderer Arten von Malware ermöglichen oder heimlich kompromittierte Server verwalten, die als bösartige Infrastruktur genutzt werden können." Bisher ist vor allem von Betroffenen in Europa, Asien, Afrika und im Nahen Osten zu lesen. Nach der Installation der Malware werden Anmeldeinformationen und andere Informationen aus dem Netzwerk der Opfer und den infizierten Geräten gesammelt und an die Hacker übersendet.

"Die Ausnutzung von Schwachstellen in Exchange-Servern ist seit dem ersten Quartal 2021 ein beliebtes Ziel von Cyberkriminellen, die sich Zugang zu gezielten Infrastrukturen verschaffen wollen. Der kürzlich entdeckte SessionManager wurde ein Jahr lang kaum entdeckt und ist immer noch in freier Wildbahn im Einsatz", erläuterte Pierre Delcher, Senior Security Researcher bei Kaspersky.

Verbindungen zu der Hacker-Gruppe Gelsemium

Aufgrund der ähnlichen Vorgehensweise gehen die Sicherheitsexperten von Kaspersky davon aus, dass die neuen Angriffe von einer Gruppe namens Gelsemium als Teil einer weltweiten Spionageoperation ausgingen. Diese Hacker-Gruppe ist mindestens seit 2014 aktiv.

Siehe auch: