Cyberspionagekampagne „Grabit“ bedroht KMUs

Kaspersky Lab warnt vor einer Cyberspionagekampagne namens „Grabit“, die sich in erster Linie gegen kleine und mittelständische Unternehmen sowie Organisationen richtet. Betroffen seien bisher vor allem Firmen aus den Branchen Bauwesen, Chemie, Landwirtschaft, Medien und Nanotechnologie, aber auch Bildungseinrichtungen. Ihnen wurden Kaspersky zufolge bereits über 10.000 Dateien gestohlen. Der Schwerpunkt der Angriffswelle liege in Indien, Thailand und den USA, aber auch Unternehmen in Deutschland und Österreich gehörten zu den Zielen.

„Die meisten von uns identifizierten Spionagekampagnen richten sich gegen Großunternehmen, Regierungsorganisationen und andere hochrangige Ziele. Kleine und mittelständische Firmen scheinen eher selten Zielobjekte von Cyberspionageattacken zu sein“, führt Ido Noar, Senior Security Researcher bei Kaspersky Lab, in seiner Analyse der Angriffswelle aus. „Grabit führt uns allerdings vor Augen, dass innerhalb der Cyberwelt nicht nur die großen Fische, sondern Organisationen jeglicher Größe attackiert werden können, deren Geld, Informationen oder politischer Einfluss für Dritte interessant sein könnten.“

Wie so oft beginnen die Kriminellen auch bei Grabit mit dem Versand einer E-Mail. Sie bringt im Anhang ein Microsoft-Word-Dokument mit, das ein schädliches Makro mit der Bezeichnung AutoOpen enthält. Wird die Word-Datei geöffnet und damit heruntergeladen, installiert sich über einen Remote-Server ein Spionageprogrammpaket auf dem Rechner des Nutzers. Dieses umfasst einen kommerziellen Keylogger von HawkEye sowie ein Konfigurationsmodul samt Fernwartungs-Tools, mit denen die Angreifer ihre Aktivitäten dann gezielt steuern können.

Dass sich der Angriff für die Kriminellen lohnt, zeigt ein von Kaspersky Lab analysiertes Keylogger-Programm von einem der Command-and-Control-Server. Es konnte von 4928 infizierten Systemen 2887 Passwörter, 1053 E-Mails und 3023 Nutzernamen abgreifen. Neben Bankkontoinformationen gehörten dazu auch Nutzerdaten von Outlook, Facebook, Skype, Google Mail, Pinterest, Yahoo, LinkedIn und Twitter.

Laut Kaspersky ist Grabit jedoch nicht besonders ausgefeilt. Das machen die Experten unter anderem daran fest, dass die Malware ihre Aktivitäten nur unzureichend verbirgt. Beispielsweise nutzen mehrere der verwendeten Schadprogramme denselben Hosting-Server und sogar dieselben Zugangsdaten. Andererseits seien die eingesetzten Techniken zum Verbergen des Schadcodes recht fortschrittlich.

Aufgrund dieser heterogenen Natur des Angriffs und der verwendeten Malware vermutet Kaspersky, dass dahinter eine lose Gruppierung steckt, von deren Mitglieder einige technisch versierter sind als andere. Dass offenbar nicht alle Codes vom selben Programmierer geschrieben wurden, untermauert diese Vermutung.

Ein Anzeichen für einen Angriff durch Grabit ist laut Kaspersky, wenn sich im Verzeichnis C:\Benutzer\Benutzername\AppData\Roaming\Microsoft ausführbare Dateien oder in der Windows-Systemkonfiguration die Datei „grabit1.exe“ finden. Administratoren empfiehlt Kaspersky in diesem Fall, das Windows-Systemkonfigurationsprogramm msconfig.exe auszuführen und dafür zu sorgen, dass die entsprechenden Dateien gelöscht sind. Nutzern legt Kaspersky noch einmal ans Herz, keine Anhänge zu öffnen und auf keine Links zu klicken, die sie mit E-Mails aus unbekannter Quelle erhalten haben.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.