IBM: Iranische Hacker greifen Energiesektor mit datenlöschender Malware an

Sicherheitsforscher von IBM haben eine neue Malware entdeckt, deren einzige Aufgabe es ist, Daten zu löschen. Entwickelt wurde sie demnach von iranischen Hackern, die im Auftrag der dortigen Regierung agieren sollen. Ihre Angriffe richten sich derzeit gegen den Energiesektor im Mittleren Osten.

Bei seiner Analyse konzentrierte sich IBMs Sicherheitsteam X-Force auf die ZeroCleare genannte Malware. Sie soll der Malware Shamoon ähneln, die wiederum als einer der gefährlichsten und destruktivsten Schädlinge der letzten zehn Jahre gilt. Zu den betroffenen Unternehmen oder gar der Menge der gelöschten Daten machten die Forscher indes keine Angaben.

Auf die Herkunft der Malware und der Angriffe weisen laut IBM das Vorgehen und die Schadsoftware selbst hin. IBM geht zudem davon aus, dass ZeroCleare das Ergebnis von zwei APT33 und APT34 genannten Gruppen ist, die beide vom iranischen Staat unterstützt werden. Beide Gruppen sind zudem keine unbeschriebenen Blätter. So wird Shamoon den Mitgliedern von APT33 zugeordnet. 2012 zerstörte Shamoon die Daten von mehr als 35.000 Workstations von Saudi Aramco, dem staatlichen Ölkonzern von Saudi-Arabien. APT34 wiederum gilt als die mit Abstand aktivste iranische Hackergruppe. Sie wurde jedoch im Frühjahr selbst das Oper eines Hackerangriffs, bei dem Quellcode ihrer Schadprogramme auf Telegram veröffentlicht wurden.

IBM stuft ZeroCleare in die Kategorie der Wiper ein. Die Malware löscht möglichst viele Daten auf einem infizierten Host. Die Löschung erfolgt meist, um Spuren eines Angriffs zu verwischen, oder um dem Opfer gezielt einen möglichst großen Schaden zuzufügen.

Bei den jetzt aufgedeckten Angriffen kamen 32-Bit- und 64-Bit-Version von ZeroCleare zum Einsatz. Allerdings soll nur die 64-Bit-Version funktioniert haben. In die Netzwerke ihrer Opfer drangen die Hacker per Brute-Force-Angriff ein. Ein geknacktes Serverkonto nutzten sie dann, um eine Anfälligkeit in SharePoint für die Installation einer WebShell wie China Chopper oder Tuna zu missbrauchen. Im nächsten Schritt breiteten sie sich im Netzwerk aus, um im letzten Schritt auf möglichst vielen Rechnern ZeroCleare einzurichten. Sicherheitsfunktionen von Windows umgingen die Hacker laut IBM mithilfe eines anfälligen Treibers sowie schädlicher PowerShell- und Batch-Skripte.

Für die eigentliche Datenlöschung nutzte ZeroCleare das legitime Datentool EldoS RawDisk, um den Master Boot Record (MBR) zu löschen und die Partitionstabelle zu beschädigen. Das EldoS-Tool sei auch schon bei den jüngsten Shamoon-Varianten zum Einsatz gekommen.

Die Forscher gehen zudem davon aus, dass keines der Opfer zufällig infiziert wurde. Alle Attacken hätten sich gezielt gegen die jeweiligen Organisationen gerichtet.