Kaspersky Lab warnt vor einer Cyberspionagekampagne namens „Grabit“, die sich in erster Linie gegen kleine und mittelständische Unternehmen sowie Organisationen richtet. Betroffen seien bisher vor allem Firmen aus den Branchen Bauwesen, Chemie, Landwirtschaft, Medien und Nanotechnologie, aber auch Bildungseinrichtungen. Ihnen wurden Kaspersky zufolge bereits über 10.000 Dateien gestohlen. Der Schwerpunkt der Angriffswelle liege in Indien, Thailand und den USA, aber auch Unternehmen in Deutschland und Österreich gehörten zu den Zielen.
Wie so oft beginnen die Kriminellen auch bei Grabit mit dem Versand einer E-Mail. Sie bringt im Anhang ein Microsoft-Word-Dokument mit, das ein schädliches Makro mit der Bezeichnung AutoOpen enthält. Wird die Word-Datei geöffnet und damit heruntergeladen, installiert sich über einen Remote-Server ein Spionageprogrammpaket auf dem Rechner des Nutzers. Dieses umfasst einen kommerziellen Keylogger von HawkEye sowie ein Konfigurationsmodul samt Fernwartungs-Tools, mit denen die Angreifer ihre Aktivitäten dann gezielt steuern können.
Dass sich der Angriff für die Kriminellen lohnt, zeigt ein von Kaspersky Lab analysiertes Keylogger-Programm von einem der Command-and-Control-Server. Es konnte von 4928 infizierten Systemen 2887 Passwörter, 1053 E-Mails und 3023 Nutzernamen abgreifen. Neben Bankkontoinformationen gehörten dazu auch Nutzerdaten von Outlook, Facebook, Skype, Google Mail, Pinterest, Yahoo, LinkedIn und Twitter.
Laut Kaspersky ist Grabit jedoch nicht besonders ausgefeilt. Das machen die Experten unter anderem daran fest, dass die Malware ihre Aktivitäten nur unzureichend verbirgt. Beispielsweise nutzen mehrere der verwendeten Schadprogramme denselben Hosting-Server und sogar dieselben Zugangsdaten. Andererseits seien die eingesetzten Techniken zum Verbergen des Schadcodes recht fortschrittlich.
Aufgrund dieser heterogenen Natur des Angriffs und der verwendeten Malware vermutet Kaspersky, dass dahinter eine lose Gruppierung steckt, von deren Mitglieder einige technisch versierter sind als andere. Dass offenbar nicht alle Codes vom selben Programmierer geschrieben wurden, untermauert diese Vermutung.
Ein Anzeichen für einen Angriff durch Grabit ist laut Kaspersky, wenn sich im Verzeichnis C:\Benutzer\Benutzername\AppData\Roaming\Microsoft ausführbare Dateien oder in der Windows-Systemkonfiguration die Datei „grabit1.exe“ finden. Administratoren empfiehlt Kaspersky in diesem Fall, das Windows-Systemkonfigurationsprogramm msconfig.exe auszuführen und dafür zu sorgen, dass die entsprechenden Dateien gelöscht sind. Nutzern legt Kaspersky noch einmal ans Herz, keine Anhänge zu öffnen und auf keine Links zu klicken, die sie mit E-Mails aus unbekannter Quelle erhalten haben.
[mit Material von Peter Marwan, ITespresso.de]
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Der Sicherheitscheck entzieht unsicheren Websites automatisch alle Berechtigungen. Zudem können Nutzer in Chrome künftig Websites…
Ontinue registriert einen Anstieg beim Anteil am Gesamtangriffsvolumen um 105 Prozent. Das Angriffsvolumen auf den…
Das o1 genannte Modell liegt als Preview vor. Bei einer Mathematikprüfung beantwortet es 83 Prozent…
Das Kennzeichen erhalten Zoom Workplace Pro und Zoom Workplace Basic. Es bescheinigt unter anderem aktuelle…
iOS und iPadOS erhalten Tab-Gruppen. Zudem unterstützt Chrome nun die Synchronisierung von Tab-Gruppen.
Sie befürchten einen Missbrauch der Identitäten von Verstorbenen. 60 Prozent befürworten deswegen eine Klärung des…