Operation „Bauernsturm“ hat auch deutsche Unternehmen im Visier

Gefälschte Webmail-Anmeldeseite Quelle: Trend Micro

Die Hintermänner des Spionageangriffs „Pawn Storm“ („Bauernsturm“) weiten ihre Angriffe seit Anfang des Jahres auch auf Deutschland und Österreich aus. Zu den Zielen zählen laut Trend Micro Ministerien, Medien und Unternehmen ebenso wie die „Organisation für Sicherheit und Zusammenarbeit in Europa“ (OSZE) mit Sitz in Wien.

Neben einer neuen Spionage-App, mit der sich auch iPhones infizieren lassen, haben die Hintermänner des Angriffs im ersten Quartal 2015 neue Befehls- und Kontrollserver implementiert sowie bösartige Webadressen mit Exploits erstellt, über die sich Sicherheitslücken auf den anvisierten Systemen ausnutzen lassen.

„Betreff: Südlicher Gaskorridor“ sollte zum Klicken verleiten

Die Opfer werden dabei laut Trend Micro per „Spear-Phishing“ in die Falle gelockt: Das sind legitim aussehende und den Interessen der Empfänger entsprechende E-Mail-Nachrichten. Ein Beispiel: Eine eigens erstellte E-Mail mit bösartigem Link enthielt als Betreff „Südlicher Gaskorridor“ – ein Projekt der EU für mehr Unabhängigkeit vom russischen Gas.

Wer den eingebetteten Link anklickt, lädt ein Schnüffelprogramm herunter, das zunächst keinen sichtbaren Schaden anrichtet, aber Informationen über das infizierte System wie die Version des verwendeten Betriebssystems, die Zeitzone, in der sich der Rechner befindet, oder die installierten Erweiterungsprogramme des Browsers sammelt.

Erst anhand dieser Informationen entscheiden die Angreifer, ob das eigentliche Spionageprogramm „Sednit“ installiert werden soll. Dadurch bleibe die Attacke länger unentdeckt, und die Angreifer und könnten sich ungestörter ihrem eigentlichen Ziel nähern: den Servern und Rechnern innerhalb der Verteidigungslinien der angegriffenen Behörden, Streitkräfte und Unternehmen.

Einfallstor: E-Mail

Beispiel einer Spear-Phishing-E-Mail. Quelle: Trend Micro

Als „Bauern“ fungieren bei der Attacke eine Vielzahl von miteinander verbundenen Taktiken und Schädlingen. Eine dieser Taktiken bestehe darin, die Opfer auf gefälschte E-Mail-Server mit Anmeldeseiten für „Microsoft Outlook Web Access“ (OWA) zu lotsen, die denen der betroffenen Organisationen täuschend ähnlich sehen.

„Der Erfolg von ‚Pawn Storm‘ ist auch darauf zurückzuführen, dass noch immer zu sorglos mit dem Thema Cybersicherheit umgegangen wird – manchmal sogar bei militärischen Einrichtungen. So könnte zum Beispiel der verpflichtende Zugriff auf Webmaildienste via VPN das Angriffsrisiko beträchtlich senken“, mahnt Sicherheitsexperte Udo Schneider von Trend Micro.

Nötig seien außerdem intensivierte Schulungsmaßnahmen, um die Anwender für das Thema Spear-Phishing zu sensibilisieren und neue Sicherheitsmechanismen, mit denen sich Spionageaufklärung betreiben lässt. „Die Angreifer brauchen Zeit, um an ihr Ziel zu gelangen – und irgendwann sind sie an ihrem ungewöhnlichen Verhalten zu erkennen. Das ist die große Chance, gezielte Angriffe abzuwehren“, so Schneider.