Industriespionage: Forscher entdecken AutoCAD basierte Malware

Sicherheitsforscher von Forcepoint haben eine außergewöhnliche Malware-Kampagne aufgedeckt, die sich ausschließlich an Ziele richtet, die die AutoCAD-Software einsetzen. Die Analyse von Telemetriedaten soll ergeben haben, dass die AutoCAD basierte Schadsoftware bereits seit 2014 im Umlauf ist. Aufgrund der Ausrichtung auf die teure und vor allem von Technikern und Designern verwendete AutoCAD-Software vermuten die Forscher zudem, dass die Hintermänner Industriespionage betreiben wollen.

„Die Akteure haben erfolgreich Unternehmen in verschiedenen Regionen ins Visier genommen, wobei mindestens eine Kampagne wahrscheinlich auf den Energiesektor ausgerichtet war“, teilte Forcepoint mit.

Die Schadsoftware sollen die Cyberkriminellen per E-Mail-Spear-Phishing verbreiten. Sie enthielten schädliche AutoCAD-Dateien oder Links zu Websites, um solche Dateien herunterzuladen – falls die Anhänge die von E-Mail-Servern vorgeschriebenen Größenlimits für Dateien überschritten. Um ihre „bösen“ Absichten zu verschleiern, sollen für das Spear Phishing gestohlene Designunterlagen von Projekten wie Hotels und Fabriken verwendet worden sein.

Die schädlichen AutoCAD-Dateien enthielten versteckte Fast-Load-AutoLISP-Module (.fas). Dabei handelt es sich um eine Skripting-Komponente, die mit Makros von Office-Dateien vergleichbar ist. Die FAS-Module basieren jedoch auf der Programmiersprache Lisp und nicht auf VisualBasic oder PowerShell. Zwar zeigen AutoCAD-Version, die ab 2015 veröffentlicht wurden, Warnmeldungen vor dem Ausführen von FAS-Dateien an, was im Fall von Office-Makros auch kein großes Hindernis darstellt, falls der per Social Engineering geschaffene Anreiz für einen Nutzer ausreichend groß ist.

Wird eine der schädlichen AutoCAD-Dateien geöffnet und das enthaltene FAS-Modul ausgeführt, nimmt letzteres den Forschern zufolge Kontakt mit einem Befehlsserver im Internet auf, um weitere Schadsoftware herunterzuladen. Allerdings konnten die Forscher diese Malware bisher nicht nachweisen. Sie schließen aber auch nicht aus, dass die Kampagne derzeit nicht aktiv betrieben wird und die von ihnen untersuchten Systeme außerhalb einer aktiven Kampagne infiziert wurden.

Der Befehlsserver der Hintermänner soll auf einer chinesischen Installation von Microsoft Internet Information Server 6.0 laufen. Benachbarte IP-Adressen soll außerdem ähnliche Dienste hosten und von daher zu einer größeren Angriffs-Infrastruktur gehören.

Forcepoint rät Nutzern von AutoCAD, die Sicherheitsempfehlungen des Herstellers für den Schutz vor schädlichen AutoCAD-Modulen zu befolgen. Es sei außerdem nicht ausgeschlossen, dass die Hintermänner versuchten, ihre schädlichen Dateien auch per CD/DVD oder USB-Stick einzuschleusen – eine unter AutoCAD-Nutzern noch verbreitete Methode zur Datenübertragung.