Microsoft: Nordkoreas Hackertruppe macht Freie Software zu Waffen

Eine Hackergruppe, die von der Regierung Nordkorea unterstützt wird, verwendet bekannte Open-Source-Software als "Waffe", um sich Zugang zu diversen internationalen Firmen und Organisationen zu verschaffen. Dies behaupten Sicherheitsexperten des Softwarekonzerns Microsoft. Microsofts Angaben zufolge nutzt die Gruppierung, die von dem Unternehmen als "ZINC" bezeichnet wird, allgemein aber auch unter dem Namen "Lazarus" bekannt ist, eine Vielzahl bekannter Open-Source-Tools im Rahmen einer derzeit laufenden Kampagne, um mit modifizierten Varianten der Software Angriffe durchzuführen. Die Angreifer integrieren hoch-verschlüsselten Code, der zur Installation von Spionage-Malware verwendet wird, in angepasste Varianten von Tools wie PuTTY.

Alles beginnt mit Social-Engineering über LinkedIn

Im Anschluss geben sich die Angreifer auf LinkedIn als Headhunter aus, um so im Rahmen einer Reihe von Gesprächen das Vertrauen ihrer Opfer zu erlangen. Im Zuge dieser Gespräche, bei denen man mit attraktiven Stellenangeboten lockt, werden die Opfer aufgefordert, sich per WhatsApp bei den Internetkriminellen zu melden. Steht der Kontakt auf diesem Weg, schicken sie den Betroffenen die von ihnen mit Malware verseuchten Versionen der Open-Source-Software.

Hat das Opfer die angeblich harmlose Software installiert, versuchen die Angreifer mithilfe ihrer Malware in das Netzwerk des jeweiligen Arbeitgebers einzudringen. Für ihre Angriffe verwenden die Lazarus-Hacker angeblich neben PuTTY auch Varianten von KiTTY, TightVNC, Sumatra PDF Reader und muPDF/Subliminal Recording, um ihre von Microsoft als "ZetaNile" bezeichnete Spionagesoftware in die Netzwerke von großen Firmen und Organisationen zu bringen.

Nach Angaben von Microsoft tarnen die Angreifer ihre Attacken gut und lassen die eigentliche Payload, also die wirklich schädliche Software, die auf dem Rechner des jeweiligen Opfers zum Einsatz kommt, um den Weg ins Innere der attackierten Firmennetze freizumachen, nur unter bestimmten Bedingungen. Sie versuchen so zu verhindern, dass ihre Attacke früh entdeckt wird. Ausführliche Informationen hält Microsoft in seinem Security-Blog bereit.

Siehe auch: