Hacker setzen manipulierte TeamViewer-Version gegen Regierungen in Europa ein

Check Point hat eine Hacking-Kampagne analysiert, die sich gegen Regierungen und diplomatische Vertretungen in Europa sowie Nepal, Kenia, Liberia, Libanon, Guyana und Bermuda richtet. Ausgangspunkt ist eine Phishing-E-Mail mit einem Dateianhang, der angeblich streng geheime Dokumente des US-Außenministeriums enthält. Tatsächlich wird darüber eine zum Trojaner umgebaute Version des Fernwartungstools Teamviewer eingeschleust.

Der Dateianhang mit XLSM-Format verspricht Details zur Finanzierung eines Militärprogramms. Die Excel-Tabelle, die Markos enthält, wurde zudem mit dem Logo des State Department versehen, um sie als echt auszugeben. Wird die Tabelle geöffnet und wie gefordert die enthaltenen Makros aktiviert, werden zwei Dateien extrahiert und eingeschleust: die legitime Software AutoHotkeyU32.exe und eine schädliche Version der Teamviewer.dll.

Erstere ist für den Kontakt zu einem von den Angreifern kontrollierten Befehlsserver im Internet zuständig. Sie lädt zudem Skripte herunter, mit denen Screenshots angefertigt und Daten gestohlen werden.

TeamViewer ist ebenfalls eine legitime Software, die für Fernwartungszwecke oder auch die gemeinsame Nutzung eines Desktops eingesetzt wird. In den Händen von Cyberkriminellen kann TeamViewer jedoch auch zu einem mächtigen Hacker-Werkzeug werden.

So stellt die von den Angreifern verwendete schädliche Teamviewer.dll zwar die gewohnten Funktionen zur Verfügung, sie versteckt jedoch auf der Client-Seite – also beim Opfer – das übliche TeamViewer-Interface. Ein Opfer kann also nicht erkennen, dass die Software ausgeführt wird. Zudem bietet die manipulierte Version zusätzliche Funktionen wie die Möglichkeit, die Anmeldedaten der aktuellen Sitzung in einer Textdatei zu speichern und weitere EXE- und DLL-Dateien einzuschleusen und auszuführen.

Die Hintermänner der Kampagne sind also in der Lage, ein System vollständig zu überwachen und nahezu beliebige Daten zu stehlen, um beispielsweise Online-Konten der Opfer zu übernehmen. Check Point vermutet, da der Dateianhang einen finanziellen Hintergrund hat, dass auch die Kampagne finanziell und nicht politisch motiviert ist.

Check Point zufolge gibt es Verbindungen zwischen der jüngsten Kampagne und früheren Angriffen, bei den TeamViewer als Trojaner eingesetzt wurde. So vermuten die Sicherheitsforscher, dass eine Hackergruppe mit Verbindungen zu einem russischen Untergrundforum namens EvaPiks hinter den Attacken steckt. Allerdings änderten die unbekannten Täter im Lauf der Zeit den Angriffsvektor. 2018 nutzen Sie statt einer Excel-Tabelle mit Makros noch selbstextrahierende Archive. Auch den Funktionsumfang der manipulierten Teamviewer.dll sollen die Hacker im Lauf der Zeit deutlich erweitert haben – anfänglich erlaubte die Malware nur den Diebstahl von Informationen.