Hacker nehmen Besucher von G20-Event in Hamburg ins Visier

Eine angeblich aus Russland stammende Hackergruppe nimmt derzeit Politiker und Journalisten ins Visier. Sie verteilt eine Variante des Backdoor-Trojaners KopiLuwak an Teilnehmer eines Treffens der G20 Task Force für die Digital Economy, das im Oktober in Hamburg stattfinden soll. Die Malware wiederum versteckt sich in einer per E-Mail verschickten Einladung im PDF-Format des Bundesministeriums für Wirtschaft und Energie.

Sicherheitsforscher von Proofpoint, die die Kampagne untersucht haben, schließen nicht aus, dass die Einladung echt ist und bei einem früheren Angriff gestohlen wurde. Bei einem Vergleich der Metadaten der Einladung mit einer offiziell auf der Website des Bundeswirtschaftsministeriums angebotenen PDF-Datei fanden sie signifikante Übereinstimmungen.

Allerdings kommt die Einladung der Hacker mit einem JavaScript-Dropper, der wiederum ein ebenfalls JavaScript basiertes Entschlüsselungsprogramm installiert, das schließlich die KopiLuwak-Backdoor entschlüsselt und ausführt. Der Scr.js genannte JavaScript-Dropper richtet zudem eine Aufgabe ein, die die Backdoor alle zehn Minuten ausführt. Die Server, mit denen die Backdoor kommuniziert, sind laut Proofpoint legitim – sie wurden jedoch von den Hackern kompromittiert, um als Befehlsserver für ihre Malware genutzt werden zu können.

Bisher wurde die neue KopiLuwak-Backdoor allerdings nur in einer öffentlichen Malware-Sammlung entdeckt. Angriffe, bei denen sie eingesetzt wurde, sind nicht bekannt. Sollte es den Hackern gelungen sein, ihre Schadsoftware erfolgreich einzusetzen und bisher unentdeckt zu bleiben, haben sie möglicherweise Zugang zu vertraulichen Informationen von Regierungsvertretern, Diplomaten oder Wirtschaftsexperten, die an dem Treffen im Oktober in Hamburg teilnehmen.

Laut Proofpoint wurde das zum Bundesamt für Sicherheit in der Informationstechnik gehörende Computer Emergency Response Team der Bundesverwaltung (CERT Bund) informiert. Da KopiLuwak auch zusätzlichen Schadcode herunterladen und ausführen könne, sei der Schaden bei den meisten Windows-Betriebssystemen vermutlich sehr hoch.

Die Verbindung zu russischen Hackern stellen die Forscher über die verwendete Malware her. Demnach kam KopiLuwak bereits mehrfach bei Kampagnen einer Turla genannten Gruppe zum Einsatz, der wiederum Verbindungen zur russischen Regierung nachgesagt werden.

[mit Material von Danny Palmer, ZDNet.com]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.