Neue Spionage-Kampagne mit weltweiten Opfern

Eine neue Cyberspionage-Kampagne soll sich derzeit gegen eine Reihe hochrangiger Vertreter aus Behörden und Unternehmen verschiedener Länder richten. Zum Einsatz kommt dabei die NetTraveler-Malware. Laut einer Analyse des Security-Unternehmens Kaspersky Lab würden derzeit rund 350 Betroffene aus 40 Ländern verzeichnet, die aus verschiedenen Einrichtungen des privaten und öffentlichen Bereichs, unter anderem Regierungsinstitutionen, Botschaften, der Öl- und Gasindustrie, Forschungseinrichtungen, der Rüstungsindustrie sowie aus Nichtregierungsorganisationen stammen - auch aus Deutschland.

Aus dem Report geht hervor, dass die Angreifer bereits seit 2004 aktiv sind. Der Höhepunkt der Cyberspionage-Kampagne war zwischen 2010 und 2013. Die NetTraveler-Gruppe hat es in jüngster Zeit vor allem auf Informationen aus den Bereichen der Weltraumforschung, Nanotechnologie, Energieproduktion, Nuklearenergie, Lasertechnologie, Medizin und Kommunikation abgesehen.

Die Angreifer infizierten ihre Opfer, indem sie ausgeklügelte Spear-Pishing-Mails versandten. Die E-Mails enthielten manipulierte Microsoft-Office-Dokumente, die mit zwei komplexen Exploits ausgestattet waren. Auch wenn Microsoft bereits Patches für diese Schwachstellen veröffentlicht hat, werden diese nach wie vor für zielgerichtete Attacken missbraucht und haben sich als sehr wirksam erwiesen.

Um Sicherzustellen, dass die infizierten Dokumente auch geöffnet werden, wählten die Angreifer jeweils möglichst zum ausgewählten Opfer passende Dateinamen. Diese sollten den Anschein erwecken, dass in den Dateien entweder Informationen über militärische Belange, einen Besuch des Dalai Lama oder zur Lage der Meinungsfreiheit enthalten waren.

Die Kaspersky-Experten analysierten verschiedene Command-and-Control-Server (C&C), die von der NetTraveler-Gruppe genutzt wurden, um zusätzliche Malware auf die infizierten Maschinen zu installieren und gestohlene Daten heraus zu filtern. Sie gehen davon aus, dass das auf den C&C-Servern von NetTraveler liegende gestohlene Datenvolumen mehr als 22 Gigabyte beträgt.

Die von den infizierten Maschinen gefilterten Daten beinhalteten typischerweise Dateisystemprotokolle, Keylogger-Informationen und verschiedene Dokumente, unter anderem PDFs, Excel- und Word-Dateien. Zudem war das NetTraveler-Toolkit in der Lage, zusätzliche, Informationen stehlende Malware zu installieren. Darüber hinaus konnte das Programm so angepasst werden, dass weitere kritische Informationen wie Konfigurationsdetails für Applikationen oder CAD-Dateien gestohlen werden konnten.