[datensicherheit.de, 02.08.2019] Zwischen dem 19. und dem 25. Juli entdeckten die Security-Spezialisten von Proofpoint eine ausgeklügelte Phishing-Kampagne, die sich gezielt gegen drei US-Versorgungsbetriebe richtete. Die Spear-Phishing-Mails stammten dabei vorgeblich von einer Domain, die der „US National Council of Examiners for Engineering and Surveying“ (NCEES) betreibt und die die Angreifer zu diesem Zweck imitierten.

Präparierte Word-Datei im Anhang

Im Anhang der Phishing-Mails befand sich eine präparierte Word-Datei, die mit Hilfe von Macros eine Malware installiert und ausführt. Die Experten von Proofpoint haben ihr den Namen „LookBack“ gegeben. Diese Malware besteht aus einem Remote Access Trojaner (RAT) sowie einem Proxy-Mechanismus, der für die Kommunikation mit der Command-and-Control-Infrastruktur (C&C) verwendet wird.

Ähnlichkeiten zu früheren Phishing-Kampagnen

Bei der Analyse der Angriffe konnte Proofpoint in den Macros der angehängten Word-Dokumente Ähnlichkeiten zu früheren Kampagnen entdecken, die im Jahr 2018 japanische Unternehmen zum Ziel hatten. Jedoch zeigte sich, dass die LookBack-Malware bislang noch mit keiner bekannten Hackergruppe in Verbindung gebracht wurde. Auch in Sachen Infrastruktur sowie dem Code der Schadsoftware ließen sich keine Übereinstimmungen mit vorangegangen Angriffen bekannter Akteure feststellen, die eine Zuordnung ermöglichen würden.

Weitere Informationen zum Thema:

Proofpoint
LookBack Malware Targets the United States Utilities Sector with Phishing Attacks Impersonating Engineering Licensing Boards

datensicherheit.de, 01.08.2019
Laterales Phishing: Die wachsende Bedrohung

datensicherheit.de, 29.05.2019
Proofpoint: Emotet fast zwei Drittel aller bösartigen Payloads

datensicherheit.de, 30.10.2018
Untersuchung zeigt Potential von Cyberangriffen auf Wasser- und Energieversorger

Von Monika Schaufler, Regional Sales Director CEMEA, bei Proofpoint

[datensicherheit.de, 21.11.2014] Das Forschungsteam von Proofpoint hat kürzlich eine Phishing-Kampagne entdeckt, die gezielt auf Unternehmen in Deutschland und Frankreich gerichtet war. Dies ist ein Beispiel für Kampagnen, die in mehreren Sprachen und Ländern ausgeführt werden und zeigt, wie Angreifer den Faktor Sprache nutzen, um die Abwehrmechanismen von Organisationen zu umgehen.

Es wurden dabei zwölf verschiedene Microsoft Word-Dokumentanhänge identifiziert, die jeweils mit unterschiedlichen Absendern und Betreffzeilen kombiniert wurden und so eine klassische Longline-Phishing-Kampagne bildeten, die eine Reputations-basierte Blockierung umgehen konnte. Die automatisierte Analyse der Anhänge ergab, dass die Dokumente ein schadhaftes Makro, d. h. einen VBA-Virus, enthielten, mit dem die Malware Andromeda (auch Gamarue genannt) heruntergeladen und installiert wird. Durch die Verschleierung sowohl des Makros als auch der Andromeda-Payload konnten die Angreifer verschiedensten Antivirenprogrammen hervorragend ausweichen: Zum Zeitpunkt der Analyse durch Proofpoint waren die Anhänge von weniger als zehn Prozent der Antivirenprogramme erkannt worden, und die Andromeda-Payload nur von fünf Prozent.

Teil der Kampagne waren E-Mails in Deutsch und Französisch mit verschiedenen Ködern, Betreffen und Nachrichtentexten. Ein deutsches Beispiel enthält eine Rechnung und fordert den Empfänger auf, diese bis zum 1. Januar zu begleichen. Eine weitere deutsche E-Mail der Kampagne enthält scheinbar eine Kundendienstmitteilung eines bekannten deutschen Internetanbieters, die den Empfänger auffordert, den Anhang zu lesen und innerhalb von 48 Stunden zu antworten. In einer französischen E-Mail wird der Empfänger beispielsweise gebeten, eine aktualisierte Lizenzvereinbarung zu lesen und auf die E-Mail zu antworten.

Im September informierte Proofpoint, dass die URLs in unerwünschten E-Mails, die an Empfänger in Deutschland und Frankreich gesendet werden, mit geringerer Wahrscheinlichkeit schadhaft sind als beispielsweise E-Mail-URLs, die an Empfänger in den USA oder Großbritannien gehen. In modernen Phishing-Kampagnen werden die Flexibilität von URLs sowie der Umstand ausgenutzt, dass eine URL erst nach Eingang einer E-Mail schadhaft werden kann und somit regelmäßig auch die aktuellsten URL-Reputationsdatenbanken unterläuft. Da bei dieser Kampagne statt schadhafter URLs E-Mail-Anhänge zur Einschleusung der Payload verwendet wurden, ist offenkundig, dass Unternehmen in Frankreich und Deutschland nicht weniger im Fokus von Angreifern stehen als Unternehmen in den USA oder Großbritannien.

Diese drei Beispiele einer einzigen Kampagne veranschaulichen den variablen Einsatz von Anhang-Name, Köder, Betreff und Absenderadresse – genau die Elemente, die moderne Longline-Phishing-Kampagnen so effektiv gegen Reputations- und Signatur-basierte Abwehrmechanismen machen. Die Word-Anhänge enthielten ein verschleiertes Word-Makro, das dafür konzipiert war, Erkennungsmechanismen zu umgehen. Und mit mindestens zwölf Anhängen in einer Longline-Kampagne mit relativ geringem Umfang standen die Chancen gut, dass sie von Antivirensystemen und Reputationsprüfungen unerkannt bleiben und somit auch das stärkste Antispam-Gateway überwinden würden. Egal, ob URL oder Anhang – beide machen beispielhaft deutlich, warum Unternehmen ihr vorhandenes Antispam-Gateway um komplexere Erkennungsfunktionen ergänzen müssen: Selbst die beste klassische Abwehr bietet keinen 100-prozentigen Schutz.

Wenn zu diesem Mix noch die Sprachkomponente und in vielen Teilen Kontinentaleuropas die Wahrnehmung hinzukommt, dass moderne komplexe Bedrohungen hauptsächlich ein Problem englischsprachiger Länder und Unternehmen sind, erhält man ein Rezept für weitreichende Infizierungen – und das ist in jeder Sprache ein Problem.

Weitere Infriamtionen zum Thema:

proofpoint
Phishing: The international language