Supply-Chain-Angriffe aufgedeckt
Kompromittierte Word-Dokumenten gegen Behörden eingesetzt
Laut aktuellen Beobachtungen der Bitdefender Labs zielt die Gruppe UAC-0063 mit ihren Spionage-Attacken nun verstärkt auf Behörden, darunter wahrscheinlich auch Botschaften in Europa – unter anderem in Deutschland, Großbritannien, den Niederlanden und Rumänien.
Cyberkriminelle folgen den Verschiebungen der Geopolitik. Ein Indiz dafür sind die von den Bitdefender Labs beobachteten Aktivitäten der UAC-0063-Gruppe. Ursprünglich vor allem in Zentralasien aktiv, greifen die Cyberspione mit möglicherweise staatlichem Hintergrund nun auch Behörden in Deutschland und anderen europäischen Ländern an.
Die Spuren der Aktivitäten zeigen die Kompetenz der Angreifer, so Bitdefender, sowie deren Flexibilität, mit ihrem Vorgehen den sich entwickelnden geopolitischen Spannungen zu folgen.
Die Gruppe mit möglicherweise russischem Hintergrund war mit einer komplexen Supply-Chain-Attacke zunächst vor allem in Zentralasien aktiv. Für den Erstzugang zu den Netzen der eigentlich ausgesuchten Ziele verwenden die Angreifer Microsoft-Word-Dokumente, die sie im Vorfeld von anderen Opfern erbeutet haben. Die kompromittierten Versionen der Dokumente schicken sie an die eigentlichen Ziele, um dort den HATVIBE-Malware-Loader zu installieren. Dabei nutzen sie URL-Links anstatt direkt angefügter Anhänge, um E-Mail-Security Gateways zu umgehen.
Die Angreifer von UAC-0063 bedienen sich angepasster Malware-Payloads wie den in C++ geschriebenen DownEx (C++) oder den in Python – alias CherrySpy – programmierten DownExPyer. Diese bösartigen Tools sind vor allem dafür ausgerichtet, Daten zu sammeln sowie zu exfiltrieren und einen persistenten Zugang in ein Behördennetz einzurichten. Die Wartung der dafür genutzten Infrastruktur und die fortlaufende Manipulation neuer Dokumente deuten darauf hin, dass die Cyberspionage-Kampagne weiter aktiv ist.
Die Experten der Bitdefender-Labs ordnen die Aktivitäten der vom ukrainischen Computer Emergency Response Team (CERT-UA) „UAC-0063“ benannten Gruppe zu. Laut CERT-UA gibt es Hinweise für eine Verbindung von UAC-0063 mit der russischen Cyberspionage-Gruppe APT28 (BlueDelta). Aktivitäten von UAC 0063 beobachtet Bitdefender seit 2022.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
