Forscher decken gezielte Angriffe gegen hochkarätige europäische Luftfahrt- und Rüstungskonzerne auf

Gezielte Angriffe auf Luft- und Raumfahrt- sowie Rüstungskonzerne in Europa und im Nahen Osten haben Eset-Forscher aufgedeckt. Die Attacken liefen von September bis Dezember 2019. In Zusammenarbeit mit zwei der betroffenen Unternehmen sei es gelungen, Einblicke in die Vorgehensweise der Spionagegruppe zu erhalten und eine bisher unbekannte Malware zu analysieren. Die Spionage-Aktivitäten bezeichnen die Experten des IT-Sicherheitsherstellers als „Operation In(ter)ception“.

Ablauf des Angriffs, vom ersten Kontakt bis zur Kompromittierung. Quelle: Eset

Die Kampagne sei zielgerichtet und darauf ausgelegt gewesen, viele Informationen zu erlangen und dabei unerkannt zu bleiben. Um die Ziele zu kompromittieren, nutzten die Angreifer Social-Engineering- Methoden. Über LinkedIn schrieben die Hacker Mitarbeiter der betroffenen Unternehmen an und unterbreiteten diesen lukrative aber gefälschte Jobangebote. Datendiebstahl war aber nicht ihr einziges Ziel. Mit den gekaperten E-Mail-Accounts sollten auch Kunden der infiltrierten Unternehmen zu Zahlungen gefälschter Rechnungen gebracht werden. Ihre Analyse und detaillierte Informationen haben die Forscher heute in einem Whitepaper auf WeLiveSecurity veröffentlicht.

„Die Angriffe, die wir untersucht haben, enthielten alle Merkmale einer Cyberspionage-Kampagne. Wir konnten im Zuge unserer Analyse mehrere Hinweise entdecken, die wir mit der einschlägig bekannten Lazarus-Gruppe in Verbindung bringen können“, so Dominik Breitenbacher, Eset-Malware-Researcher. „Weder die Malware-Analyse noch die nachfolgenden Untersuchungen ermöglichten eine klare Aussage, auf welche Dateien es die Angreifer genau abgesehen haben.“

Social Engineering: Tür ins Unternehmensnetzwerk

Im aktuellen Fall haben die Angreifer auf Social-Engineering Methoden gesetzt. Mit Fake-Profilen bei LinkedIn gaben sie sich als vermeintliche Mitarbeiter der Personalabteilung von namhaften Luft- und Raumfahrt- sowie Rüstungskonzernen wie Collins Aerospace und General Dynamics aus. Hierüber schrieben sie Mitarbeiter der anvisierten Konzerne an, schickten ihnen gefälschte Job-Angebote und erlangten so ihr Vertrauen. Mit einem Fuß in der Tür startete die zweite Phase, und maßgeschneiderte Schadprogramme kamen zum Einsatz. Die Malware verbarg sich in RAR-Archiven, die vermeintliche Details zu den Jobangeboten beinhalteten.

Datendiebstahl und weitere Betrugsmasche

Nach der Infektion standen den Angreifern eine Vielzahl an Tools zur Verfügung. Dabei ging es den Hackern nicht nur darum Unternehmensdaten zu stehlen. In einem Fall haben sie über den gekaperten E-Mail-Account Kunden des Unternehmens angeschrieben, um vermeintlich offene Rechnungen bezahlen zu lassen.

Und wer steckt dahinter?

Die Forscher konnten bei ihren Untersuchungen keine zwingenden Beweise für eine Verbindung von Operation In(ter)ception zu einer bekannten Spionagegruppe entdecken. Dennoch wurden mehrere Hinweise gefunden, die auf eine Verbindung mit der Lazarus-Gruppe hindeuten. Es bestehen Ähnlichkeiten in der Zielausrichtung, der Verwendung gefälschter LinkedIn-Konten, der Entwicklungsumgebung sowie den Techniken, um einer Erkennung zu entgehen. Die Lazarus-Gruppe ist 2009 das erste Mal entdeckt worden. Bekannt wurden die Cyberkriminellen 2014 mit ihrem Angriff auf Sony Pictures.