Eine mit Russland in Verbindung gebrachte Cyberspionagekampagne richtete sich gegen einen Marineschiffbauer, einen Hersteller von Triebwerken für Militärflugzeuge und eine Strafverfolgungsbehörde in zwei nicht namentlich genannten NATO-Staaten. Das berichtet The Record unter Berufung auf Erkenntnisse von Symantec.
Symantec ordnet die Aktivität APT28 zu, das auch als Fancy Bear, BlueDelta und Forest Blizzard bekannt ist. Die Gruppe wird mit dem russischen Militärgeheimdienst GRU in Verbindung gebracht, wobei die Zuordnung in diesem Fall jedoch weiterhin Symantecs Einschätzung ist.
Die Operation dauerte mindestens zwei Monate und begann mit einer ersten bestätigten Infektion am 24. Juli. Verwandte schädliche Aktivitäten wurden noch am 24. September erkannt. Symantec-Analyst Dick O’Brien sagte, die Aktivität im September, die auf eine im August veröffentlichte separate Untersuchung folgte, zeige, dass die Kampagne weiterlief.
Dieser kampagnenweite Zeitraum bedeutet jedoch nicht, dass die Angreifer bei jedem Opfer durchgehend Zugriff hatten. Die Forscher konnten einen kontinuierlichen Zugriff über den gesamten Zeitraum nicht nachweisen. O’Brien zufolge blieben die Eindringlinge jedoch in einigen Netzwerken noch einige Wochen.
Ein Word-Anhang öffnete den Zugang zu einem Marineschiffbauer
Im Fall des Marineschiffbauers öffnete im Juli ein Mitarbeiter ein schädliches Microsoft-Word-Dokument, das als E-Mail-Anhang zugestellt worden war. Nach dem Zugriff untersuchten die Angreifer das interne Netzwerk der Organisation und versuchten, Anmeldedaten zu sammeln.
Zu den ersten eingesetzten Werkzeugen gehörte Hookedge, eine Backdoor, mit der sich Zugriff herstellen, Informationen über ein Netzwerk sammeln und Zugangsdaten stehlen lassen. Die Insikt Group von Recorded Future dokumentierte Hookedge laut dem Bericht erstmals im August.
In der Woche nach dem Öffnen des Dokuments kehrten die Angreifer wiederholt zu einem kompromittierten Computer zurück. Außerdem installierten sie ein bisher nicht dokumentiertes Werkzeug, das schädlichen Code entschlüsselt und direkt im Arbeitsspeicher ausführt. Der endgültige Zweck des Werkzeugs war für die Forscher nicht bestimmbar.
Eine Komponente im Arbeitsspeicher erschwert die Erkennung, weil relevante Spuren nicht nur auf der Festplatte gespeicherten Dateien zu finden sein müssen. Bei der Rekonstruktion der Aktivität nach dem Öffnen eines verdächtigen Dokuments können daher E-Mail-, Endpunkt-, Authentifizierungs- und Netzwerkdaten wichtig sein.
Diebstahl sensibler Daten bleibt unbestätigt
Die Forscher konnten nicht feststellen, ob die Angreifer sensible Informationen aus den betroffenen Umgebungen erfolgreich abgezogen haben.
O’Brien hielt wegen der ausgewählten Organisationen die Beschaffung verteidigungsrelevanter Informationen für ein wahrscheinliches Ziel. Außerdem sagte er, dass ein Zugriff über mehrere Wochen Gelegenheiten zur Datenbeschaffung geschaffen haben könnte. Keiner der beiden Punkte bestätigt jedoch, dass tatsächlich Daten abgeflossen sind.
Die Identitäten der Organisationen und der beiden NATO-Staaten wurden nicht offengelegt. Symantec wertete die Kombination aus Rüstungsindustrie- und Regierungszielen als Teil einer umfassenderen Aufklärungsoperation des russischen Geheimdienstes gegen europäische Einrichtungen.
Defensive Prioritäten für möglicherweise betroffene Organisationen
Die Aktivität wurde nicht als Ausnutzung einer benannten Softwareschwachstelle dargestellt. Die unmittelbare Reaktion richtet sich daher nicht auf einen bestimmten Patch. Organisationen aus den Bereichen Verteidigung, Luft- und Raumfahrt und Strafverfolgung in Europa sollten stattdessen prüfen, ob Mitarbeitende unerwartete Word-Anhänge erhalten oder geöffnet haben, und diese Ereignisse mit anschließendem Zugriff auf Anmeldedaten, Netzwerkerkundung und wiederholter Aktivität auf dem Computer des Empfängers abgleichen.
Systeme, die Anzeichen einer Kompromittierung zeigen, sollten isoliert werden, während die Ermittler den Umfang des Zugriffs feststellen. Zugangsdaten, die von diesen Systemen aus erreichbar waren, sollten als potenziell offengelegt gelten und über den etablierten Incident-Response-Prozess der Organisation rotiert werden. Sicherheitsteams sollten außerdem Arbeitsspeicher-, Endpunkt- und Netzwerkdaten prüfen und sich nicht allein auf Scans nach auf der Festplatte abgelegten Dateien verlassen.
Die jüngste gemeldete Kampagnenaktivität wurde am 24. September erkannt. Retrospektive Prüfungen sind daher besonders für Organisationen relevant, die im Zeitraum ab Juli möglicherweise auf verdächtige E-Mails mit Dokumenten gestoßen sind.
