Cyberangriff auf russische Luftfahrtindustrie: EAGLET-Backdoor im Einsatz

MOSKAU / LONDON (IT BOLTWISE) – Russische Luftfahrt- und Verteidigungsindustrien stehen im Fokus einer Cyber-Spionagekampagne, die eine Backdoor namens EAGLET einsetzt, um Daten zu exfiltrieren.

Die russische Luftfahrt- und Verteidigungsindustrie sieht sich einer gezielten Cyber-Spionagekampagne ausgesetzt, die eine Backdoor namens EAGLET nutzt, um sensible Daten zu stehlen. Diese Operation, bekannt als Operation CargoTalon, wird einer Bedrohungsgruppe zugeordnet, die als UNG0901 verfolgt wird. Ziel der Angriffe sind Mitarbeiter der Voronezh Aircraft Production Association (VASO), einem der führenden Flugzeughersteller in Russland. Die Angreifer nutzen dabei Dokumente, die für die russische Logistik von entscheidender Bedeutung sind, um ihre Ziele zu erreichen.

Der Angriff beginnt mit einer Spear-Phishing-E-Mail, die mit Ködern zum Thema Frachtlieferung versehen ist. Diese E-Mail enthält ein ZIP-Archiv, in dem sich eine Windows-Verknüpfungsdatei (LNK) befindet. Diese Datei nutzt PowerShell, um ein Microsoft Excel-Dokument als Ablenkung anzuzeigen, während gleichzeitig das EAGLET-DLL-Implantat auf dem Host installiert wird. Das Dokument bezieht sich auf Obltransterminal, einen russischen Betreiber von Eisenbahncontainerterminals, der im Februar 2024 von der US-amerikanischen OFAC sanktioniert wurde.

EAGLET ist darauf ausgelegt, Systeminformationen zu sammeln und eine Verbindung zu einem fest codierten Remote-Server herzustellen, um HTTP-Antworten zu verarbeiten und Befehle auf dem kompromittierten Windows-Rechner auszuführen. Das Implantat unterstützt Shell-Zugriff und die Möglichkeit, Dateien hoch- und herunterzuladen. Die genaue Natur der durch diese Methode bereitgestellten Payloads ist unbekannt, da der Command-and-Control-Server derzeit offline ist.

Ähnliche Kampagnen, die auf den russischen Militärsektor abzielen, wurden ebenfalls entdeckt. Diese weisen Überschneidungen im Quellcode und in der Zielauswahl mit einer anderen Bedrohungsgruppe namens Head Mare auf, die ebenfalls russische Einrichtungen ins Visier nimmt. Die funktionalen Parallelen zwischen EAGLET und PhantomDL, einer Go-basierten Backdoor, sind bemerkenswert, ebenso wie die Ähnlichkeiten im Namensschema der Phishing-Nachrichtenanhänge.

Diese Enthüllungen kommen zu einem Zeitpunkt, an dem die russische staatlich gesponserte Hackergruppe UAC-0184, auch bekannt als Hive0156, einer neuen Angriffswelle zugeschrieben wird, die Opfer in der Ukraine mit Remcos RAT ins Visier nimmt. Diese Gruppe hat eine Geschichte der Verbreitung von Remcos RAT seit Anfang 2024. Neu entdeckte Angriffsketten, die die Malware verbreiten, wurden vereinfacht, indem sie Waffe Microsoft LNK- oder PowerShell-Dateien verwenden, um die Ablenkungsdatei und die Hijack Loader-Payload herunterzuladen und auszuführen.

Die Sicherheitsforscher von IBM X-Force haben beobachtet, dass Hive0156 Microsoft LNK- und PowerShell-Dateien einsetzt, die zum Herunterladen und Ausführen von Remcos RAT führen. Sie stellten fest, dass die Schlüssel-Dokumente Themen aufweisen, die auf einen Fokus auf das ukrainische Militär hindeuten und sich möglicherweise auf ein breiteres Publikum ausweiten könnten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!