Duqu strikes back: Malware der nächsten Generation

Kaspersky Lab hat einen raffinierten Cyberangriff auf sein Unternehmensnetzwerk aufgedeckt, der auch hochrangige Ziele in westlichen Ländern, im Nahen Osten und in Asien traf. Die hoch entwickelte Malware-Plattform wurde Duqu 2.0 genannt und nutzt bis zu drei Zero-Day-Sicherheitslücken aus. [...]

Vorläufige Schlussfolgerungen von Kaspersky Lab:

  • Der Angriff wurde von derselben Gruppe, die hinter der berüchtigten Duqu-APT-Attacke im Jahr 2011 steckte, sorgfältig geplant und durchgeführt.
  • Kaspersky Lab geht mit hoher Gewissheit davon aus, dass das vorrangige Angriffsziel darin bestand, Informationen über neueste Technologien des Unternehmens zu erlangen. Die Angreifer waren besonders an Details bestimmter Produkte wie Kaspersky Secure Operating System, Kaspersky Fraud Prevention, Kaspersky Security Network sowie Anti-APT-Lösungen und -Services interessiert. Abteilungen außerhalb der Forschungs- und Entwicklungsabteilung wie Vertrieb, Marketing, Unternehmenskommunikation oder Rechtsabteilung standen nicht im Interesse der Angreifer.
  • Die Informationen, auf die die Angreifer Zugriff hatten, seien aber in keiner Weise entscheidend für den Betrieb der Kaspersky-Produkte, beruhigt das Unternehmen. Im Gegenteil: Der Informationsgewinn, den Kaspersky Lab durch den Angriff erzielt hat, soll die Leistungsfähigkeit der eigenen IT-Sicherheitslösungen weiter verbessern.
  • Die Angreifer zeigten auch ein großes Interesse an den aktuellen Untersuchungen fortschrittlicher zielgerichteter Angriffe.
  • Die Angreifer haben mutmaßlich bis zu drei Zero-Day-Sicherheitslücken ausgenutzt. Die letzte verbliebene Zero-Day CVE-2015-2306 wurde, nachdem diese von Kaspersky-Experten gemeldet wurde, durch Microsoft am 9. Juni 2015 gepatcht.
  • Das Schadprogramm nutzte eine fortschrittliche Methode, um sich im System zu verstecken. Der Code von Duqu 2.0 existiert ausschließlich im Arbeitsspeicher des Computers und versucht sämtliche Spuren auf der Festplatte zu entfernen.

MÄCHTIGE SCHATTENMÄNNER
„Die Akteure hinter Duqu sind eine der am besten ausgebildeten und mächtigsten APT-Gruppen. Und sie haben alles getan, um zu versuchen, unter dem Radar zu bleiben“, sagt Costin Raiu, Director Global Research and Analysis Team von Kaspersky Lab. „Diese hoch entwickelte Attacke nutzte bis zu drei Zero-Day-Exploits. Das ist sehr eindrucksvoll. Die Kosten müssen sehr hoch gewesen sein. Um im Verborgenen operieren zu können, ‚residierte‘ die Malware nur im Arbeitsspeicher des Kernels. Anti-Malware-Lösungen könnten so Probleme haben, diese zu entdecken. Um weitere Befehle zu erhalten, verbindet sich die Malware auch nicht direkt mit den Command-and-Control-Servern. Stattdessen infizieren die Angreifer Netzwerk-Gateways und Firewalls, indem sie schadhafte Treiber installieren, die sämtlichen Datenverkehr der internen Netzwerke zu den Servern der Angreifer vermitteln.“

„Das Ausspionieren von Cybersicherheitsunternehmen ist eine sehr gefährliche Tendenz. Sicherheitssoftware ist die letzte Bastion zum Schutz von Unternehmen und Endkunden in der modernen Welt, in der Hardware und Netzwerkausstattung kompromittiert werden kann“, kommentiert Eugene Kaspersky, CEO von Kaspersky Lab. „Früher oder später werden Terroristen und professionelle Cyberkriminelle in ähnlich zielgerichteten Angriffen implementierte Technologien prüfen und einsetzen. Und das ist ein sehr ernstzunehmendes und wahrscheinliches Szenario.“

„Der einzige Weg, die Welt sicherer zu machen, ist es, solche Vorfälle zu berichten“, erklärt Eugene Kaspersky weiter. „Das hilft, um das Sicherheitsdesign von Unternehmensinfrastruktur zu verbessern und ein klares Signal an die Entwickler dieser Malware zu senden: alle illegalen Operationen werden gestoppt und verfolgt. Der einzige Weg, die Welt zu beschützen, ist es, Strafverfolgungsbehörden und Sicherheitsunternehmen zu haben, die solche Angriffe offen bekämpfen. Wir werden Angriffe immer veröffentlichen, egal welchen Ursprung sie haben.“

Kaspersky Lab betont, dass dies ausschließlich vorläufige Ergebnisse der Untersuchung sind. Es gäbe keinen Zweifel, dass der Angriff geografisch viel ausgedehnter und gegen viele weitere Ziele gerichtet sei. Aber auf Grundlage dessen, was das Unternehmen bereits weiß, wurde Duqu 2.0 genutzt, eine komplexe Auswahl von Zielen auf höchster Ebene, die gleichzeitig unterschiedliche geopolitische Interessen haben, anzugreifen.

Tod Beardsley, Security Engineering Manager des Unternehmens Rapid7, stimmt den Einschätzungen von Kaspersky Lab zu: „Nach der Überprüfung der technischen Analyse von Kaspersky können wir sicher sagen, dass Duqu 2.0 sowohl den Stand der Technik darstellt als auch die Messlatte für derartige Cyberoperationen. Selbst wenn man bezweifelt, dass Stuxnet, Duqu und Duqu 2.0 von finanziell und mit hoch qualifizierten Kräften gut ausgestatteten, geopolitisch motivierten westlichen Nationen stammen: Duqu 2.0 ist bereits genau das, was wir künftig von ernsthaften nationalen Cyber-​​offensiven Fähigkeiten erwarten dürfen.“ Beardsley weiter: „Wir sind sehr froh darüber, dass Kaspersky seine detaillierten Ergebnisse veröffentlicht. Wir sehen hier mehr Transparenz, als es in der Regel bei anfänglichen Berichten über Sicherheitsvorfälle der Fall ist. Ich bin zuversichtlich, dass Kaspersky weitere Details darüber bekannt geben wird, wie genau es gelang, die  Aktivität von Duqu 2.0 zu erkennen. Denn genau diese Erkennungstechniken sind es, die Sicherheitsverantwortliche einsetzen müssen, um kritische Infrastrukturnetze gegen ähnliche Angriffe zu verteidigen und zu sanieren.“ (pi/rnf)


Mehr Artikel

Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien. (c) WeinwurmFotografie
Interview

IT-Berufe im Fokus: Innovative Lösungen gegen den Fachkräftemangel

Angesichts des anhaltenden IT-Fachkräftemangels ist schnelles Handeln gefordert. Die Fachgruppe IT der UBIT Wien setzt in einer Kampagne genau hier an: Mit einem breiten Ansatz soll das vielfältige Berufsbild attraktiver gemacht und innovative Ausbildungswege aufgezeigt werden. IT WELT.at hat dazu mit Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien, ein Interview geführt. […]

News

ISO/IEC 27001 erhöht Informationssicherheit bei 81 Prozent der zertifizierten Unternehmen

Eine Umfrage unter 200 Personen verschiedener Branchen und Unternehmensgrößen in Österreich hat erstmals abgefragt, inwiefern der internationale Standard für Informationssicherheits-Managementsysteme (ISO/IEC 27001) bei der Bewältigung von Security-Problemen in der Praxis unterstützt. Ergebnis: Rund 81 Prozent der zertifizierten Unternehmen gaben an, dass sich durch die ISO/IEC 27001 die Informationssicherheit in ihrem Unternehmen erhöht hat. […]

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*