Cold River: Bekannte Phishing-Gruppe rüstet mit Spionage-Malware auf

Eine seit längerer Zeit bekannte Phishing-Gruppe, die Verbindungen zum russischen Staat hat, ist inzwischen dazu übergegangen, deutlich weitergehende Methoden anzuwenden, um Informationen zu stehlen. Auch entsprechende Malware kommt zum Einsatz.

Weiterentwickle Taktik

Die Gruppe ist vor allem unter dem Namen "Cold River" bekannt, operiert zuweilen aber auch unter den Bezeichnungen "Callisto Group" oder "Star Blizzard". Sie führt bereits seit längerer Zeit immer wieder Spionagekampagnen gegen Ziele in westlichen Ländern durch - vor allem gegen solche aus den USA und Großbritannien. Im Dezember hat die US-Staatsanwaltschaft bereits Klage gegen zwei russische Staatsangehörige erhoben, die mit der Gruppe in Kontakt stehen sollen.

Die Threat Analysis Group (TAG) von Google hat laut TechCrunch unterdessen in dieser Woche in einer neuen Untersuchung festgestellt, dass Cold River seine Aktivitäten in den letzten Monaten verstärkt hat und neue Taktiken anwendet, die den Opfern, vor allem in der Ukraine und ihren NATO-Verbündeten, akademischen Einrichtungen und Nichtregierungsorganisationen, mehr Schaden zufügen können.


In einer Untersuchung stellen die TAG-Forscher fest, dass Cold River über seine übliche Taktik des Phishings nach Anmeldedaten hinaus dazu übergegangen ist, Malware über Kampagnen zu verbreiten, die PDF-Dokumente als Köder verwenden. Die Tricks, mit denen man beim Phishing gute Erfahrungen gesammelt hat, werden dabei eingesetzt, um Nutzer zum Aktivieren von Malware-Paketen zu bringen.

Gezielte Angriffe

So werden unter anderem PDFs verschickt, in denen vermeintliche Meinungsartikel über bestimmte interessante Ereignisse zu finden sind, zu dem der Absender Feedback einholen will. Ein Versuch, die PDF zu öffnen, schlägt aber fehl und es sieht aus, als wäre das Dokument verschlüsselt. Wenn die Zielperson dann nachfragt, wird ihr ein angebliches Entschlüsselungsprogramm geschickt, in dem aber eine Backdoor enthalten ist.

Über diese Hintertür können dann weitergehende Daten erbeutet werden. Billy Leonard, ein Sicherheitsingenieur bei der TAG, erklärte, dass unbekannt sei, wie viele Personen auf diese Art angegriffen wurden. Allerdings sei ohnehin davon auszugehen, dass die Methode vor allem für sehr zielgerichtete Angriffe genutzt wird, sodass es bei den erbeuteten Daten nicht um Masse, sondern die Qualität der Informationen geht.


Siehe auch: