Als Regierungsstellen getarnte Cyber-Betrüger verteilen Backdoor-Malware

proofpoint warnt deutsche Unternehmen und Behörden

[datensicherheit.de, 16.11.2019] proofpoint warnt in einer aktuellen Meldung davor, dass ein neuer Akteur – „TA 2101“ (Threat Actor 2101) – E-Mails an deutsche Unternehmen und Organisationen versendet, um darüber Backdoor-Malware zu verteilen. Dabei tarnten sich die Cyber-Kriminellen als „Bundeszentralamt für Steuern“, also als eine tatsächlich existierende Behörde, die aber eher unbekannt sei.

Cyber-Kriminelle missbrauchen „Cobalt Strike“

Zum Einsatz kommt demnach „Cobalt Strike“, ein normalerweise kommerziell lizensiertes, für Penetrationstests verwendetes Softwaretool. Es ahme dabei die Funktionsweise des Backdoor-Frameworks von „Metasploit“, einem ähnlichen Penetrationstest-Werkzeug, nach.
Dieses Programm sei eigentlich für den Einsatz durch Unternehmen für die Sicherung der eigenen IT gedacht. Jedoch hätten verschiedene Akteure, beispielsweise „Cobalt Group“, „APT32“ und „APT19“ dieses Werkzeug bereits zweckentfremdet.

Social-Engineering-Methoden für E-Mail-Angriffe genutzt

Um seine E-Mail-Angriffe effizienter zu gestalten, verwendet dieser neue Akteur laut proofpoint Social-Engineering-Methoden. Außer in Deutschland sei er auch in Italien unter dem Absender „Agenzia Delle Entrate“ (Agentur der Einnahmen) und in den Vereinigten Staaten als United States Postal Service (USPS) aktiv.
Die Experten von proofpoint haben nach eigenen Angaben diese Aktivitäten zwischen dem 16. und 23. Oktober 2019 festgestellt, wobei sich die Cyber-Kriminellen nicht auf eine bestimmte Branche konzentriert, sondern Empfänger in Fertigungsunternehmen, im Gesundheitswesen sowie für Business- und IT-Dienstleistungen gleichermaßen angriffen hätten.

Weitere Informationen zum Thema:

proofpoint, Bryan Campbell u.a., 14.11.2019
TA2101 plays government imposter to distribute malware to German, Italian, and US organizations

Bundeszentralamt für Steuern
Betrüger versenden E-Mails im Namen des Bundeszentralamts für Steuern

datensicherheit.de, 08.08.2019
proofpoint und amazon entfernen Betrüger-Webseiten

datensicherheit.de, 19.07.2019
FaceApp: Hype lockt Betrüger an

datensicherheit.de, 29.05.2019
Proofpoint: Emotet fast zwei Drittel aller bösartigen Payloads

datensicherheit.de, 13.05.2019
Proofpoint-Studie: Finanzdienstleister beliebtes Ziel für Cyberkriminelle