Malware-Kampagne nimmt Tibet-Aktivisten ins Visier

Sicherheitsforscher von AlienVault Labs haben mehrere gezielte Attacken gegen Organisationen von Tibet-Aktivisten beobachtet. Sie glauben, dass sie von der gleichen Gruppe chinesischer Hacker ausgehen, die im letzten Jahr durch die „Nitro“-Angriffe gegen Chemiekonzerne und Rüstungsunternehmen bekannt wurden. Ihr Ziel könnte dabei sein, die Organisationen und ihre Unterstützer auszuspionieren.

Die Angriffe beginnen mit einfachem Spear-Fishing, bei dem kontaminierte Office-Dateien zum Einsatz kommen, um eine bekannte Microsoft-Schwachstelle zu nutzen. Die dafür versandte E-Mail bezieht sich auf die Kalachakra-Initiation, eine tibetanische religiöse Veranstaltung, die Anfang Januar stattfand. Die eingesetzte Malware war eine Variante von Gh0st RAT und ermöglichte als Remote-Trojaner, Dokumente der Opfer zu entwenden und die Mikrofone ihrer Computer einzuschalten.

Mit den Spear-Fishing-Mails kam eine Datei namens „Camp Information at Bodhgaya.doc“. Nach ihrer Ausführung versuchte die Malware die Schwachstelle CVE-2010-3333 in Microsoft Office für Windows zu nutzen. Eine erfolgreiche Infektion brachte die befallenen Rechner dazu, sich bei Befehlsservern zu melden, deren IP-Adressen den Netzbetreibern China Unicom und Chinanet zugeordnet sind. Die Angreifer setzten sogar eine Datei mit digitaler Signatur ein, deren Zertifikat von Verisign für „Quingdao Ruanmei Network Technology Co., Ltd“ ausgestellt worden war. Dieses Zertifikat wurde jedoch von Verisign am 12. Dezember widerrufen.

„Die Spear-Fishing-Mails sind nicht besonders raffiniert und stellen einen Microsoft-DOC-Anhang heraus, der eine bekannte Stack-Overflow-Lücke nutzt“, meint Jaime Blasco, Leiter des Testlabors von AlienVault. „Sie wurde schon im September zuvor entdeckt und inzwischen von Microsoft gepatcht.“ Durch geschickte Tarnung erwies sich die Malware dennoch als äußerst wirksam. Zum Zeitpunkt der Angriffe vermochten nicht mehr als drei von 43 Antivirenlösungen die infektiösen Dateien zu erkennen.

[mit Material von Dancho Danchev, ZDNet.com]