APT28: Neue Cyberangriffe auf die Ukraine mit BEARDSHELL und COVENANT

KIEW / LONDON (IT BOLTWISE) – Die Ukraine sieht sich erneut mit einer Welle von Cyberangriffen konfrontiert, die von der berüchtigten russischen Hackergruppe APT28 ausgehen. Diese Angriffe zielen auf staatliche Einrichtungen und nutzen neue Malware-Varianten, um sensible Informationen zu stehlen und Systeme zu kompromittieren.

Die jüngsten Cyberangriffe auf die Ukraine, orchestriert von der russischen Hackergruppe APT28, haben erneut die Verwundbarkeit staatlicher IT-Infrastrukturen aufgezeigt. Diese Gruppe, auch bekannt als UAC-0001, nutzt die beliebte Messaging-App Signal, um schädliche Software zu verbreiten. Die beiden neuen Malware-Varianten, BEARDSHELL und COVENANT, stehen im Mittelpunkt dieser Angriffe.

BEARDSHELL, eine in C++ geschriebene Malware, ermöglicht es Angreifern, PowerShell-Skripte herunterzuladen und auszuführen. Die Ergebnisse dieser Skripte werden dann über die Icedrive-API an einen entfernten Server gesendet. Diese Methode der Datenexfiltration zeigt die Raffinesse der Angreifer, die sich modernster Technologien bedienen, um ihre Ziele zu erreichen.

Die Entdeckung von BEARDSHELL erfolgte im Rahmen von Incident-Response-Maßnahmen im März und April 2024 auf einem Windows-Computer. Zu diesem Zeitpunkt waren die genauen Infektionswege noch unklar. Erst durch die Zusammenarbeit mit dem slowakischen Cybersecurity-Unternehmen ESET konnte ein Jahr später der Zugang zu einem “gov.ua”-E-Mail-Konto aufgedeckt werden, was auf eine Ausnutzung von Cross-Site-Scripting-Schwachstellen in verschiedenen Webmail-Softwarelösungen hinweist.

Die Angreifer nutzen Signal, um ein mit Makros versehenes Microsoft Word-Dokument zu versenden, das beim Öffnen zwei schädliche Dateien ablegt: eine DLL und ein PNG-Bild. Diese Dateien sind so konzipiert, dass sie bei jedem Start des Windows-Explorers ausgeführt werden. Die DLL lädt den Shellcode aus der PNG-Datei, was zur Ausführung des COVENANT-Frameworks führt. Dieses Framework lädt weitere Payloads herunter, die schließlich die BEARDSHELL-Backdoor auf dem kompromittierten Host installieren.

Um sich vor diesen Bedrohungen zu schützen, empfiehlt die ukrainische CERT, den Netzwerkverkehr zu den Domains “app.koofr[.]net” und “api.icedrive[.]net” genau zu überwachen. Diese Vorsichtsmaßnahmen sind entscheidend, um die Ausbreitung der Malware zu verhindern und die Integrität der IT-Systeme zu gewährleisten.

Die Angriffe von APT28 sind Teil einer größeren Kampagne, die veraltete Roundcube-Webmail-Instanzen in der Ukraine ins Visier nimmt. Durch Phishing-E-Mails, die scheinbar harmlose Nachrichten enthalten, werden Exploits für bekannte Schwachstellen wie CVE-2020-35730 und CVE-2021-44026 verbreitet. Diese Schwachstellen ermöglichen es den Angreifern, JavaScript auszuführen und so Zugang zu sensiblen Informationen zu erhalten.

Die Entdeckung dieser Angriffe unterstreicht die Notwendigkeit, IT-Systeme regelmäßig zu aktualisieren und Sicherheitslücken zu schließen. Nur so können staatliche und private Organisationen ihre Daten und Netzwerke effektiv schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!