IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Sicherheitsforscher von IBM haben eine neue Malware entdeckt, deren einzige Aufgabe es ist, Daten zu löschen. Entwickelt wurde sie demnach von iranischen Hackern, die im Auftrag der dortigen Regierung agieren sollen. Ihre Angriffe richten sich derzeit gegen den Energiesektor im Mittleren Osten.

Bei seiner Analyse konzentrierte sich IBMs Sicherheitsteam X-Force auf die ZeroCleare genannte Malware. Sie soll der Malware Shamoon ähneln, die wiederum als einer der gefährlichsten und destruktivsten Schädlinge der letzten zehn Jahre gilt. Zu den betroffenen Unternehmen oder gar der Menge der gelöschten Daten machten die Forscher indes keine Angaben.

Auf die Herkunft der Malware und der Angriffe weisen laut IBM das Vorgehen und die Schadsoftware selbst hin. IBM geht zudem davon aus, dass ZeroCleare das Ergebnis von zwei APT33 und APT34 genannten Gruppen ist, die beide vom iranischen Staat unterstützt werden. Beide Gruppen sind zudem keine unbeschriebenen Blätter. So wird Shamoon den Mitgliedern von APT33 zugeordnet. 2012 zerstörte Shamoon die Daten von mehr als 35.000 Workstations von Saudi Aramco, dem staatlichen Ölkonzern von Saudi-Arabien. APT34 wiederum gilt als die mit Abstand aktivste iranische Hackergruppe. Sie wurde jedoch im Frühjahr selbst das Oper eines Hackerangriffs, bei dem Quellcode ihrer Schadprogramme auf Telegram veröffentlicht wurden.

IBM stuft ZeroCleare in die Kategorie der Wiper ein. Die Malware löscht möglichst viele Daten auf einem infizierten Host. Die Löschung erfolgt meist, um Spuren eines Angriffs zu verwischen, oder um dem Opfer gezielt einen möglichst großen Schaden zuzufügen.

Bei den jetzt aufgedeckten Angriffen kamen 32-Bit- und 64-Bit-Version von ZeroCleare zum Einsatz. Allerdings soll nur die 64-Bit-Version funktioniert haben. In die Netzwerke ihrer Opfer drangen die Hacker per Brute-Force-Angriff ein. Ein geknacktes Serverkonto nutzten sie dann, um eine Anfälligkeit in SharePoint für die Installation einer WebShell wie China Chopper oder Tuna zu missbrauchen. Im nächsten Schritt breiteten sie sich im Netzwerk aus, um im letzten Schritt auf möglichst vielen Rechnern ZeroCleare einzurichten. Sicherheitsfunktionen von Windows umgingen die Hacker laut IBM mithilfe eines anfälligen Treibers sowie schädlicher PowerShell- und Batch-Skripte.

Für die eigentliche Datenlöschung nutzte ZeroCleare das legitime Datentool EldoS RawDisk, um den Master Boot Record (MBR) zu löschen und die Partitionstabelle zu beschädigen. Das EldoS-Tool sei auch schon bei den jüngsten Shamoon-Varianten zum Einsatz gekommen.

Die Forscher gehen zudem davon aus, dass keines der Opfer zufällig infiziert wurde. Alle Attacken hätten sich gezielt gegen die jeweiligen Organisationen gerichtet.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Online-Seminar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Apple meldet Rekordumsatz im vierten Fiskalquartal

Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…

1 Tag ago

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

2 Tagen ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

3 Tagen ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

3 Tagen ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

3 Tagen ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

3 Tagen ago