Ukrainische Behörden warnen vor neuen Malware-Angriffen mit Gerichtsvorladungen als Köder

KIEW / LONDON (IT BOLTWISE) – Die ukrainische Computer Emergency Response Team (CERT-UA) hat eine Warnung vor einer neuen Welle von Cyberangriffen herausgegeben, die sich gegen staatliche Institutionen und die Verteidigungsindustrie richten.

Die jüngsten Cyberangriffe auf ukrainische Regierungsstellen und Verteidigungsunternehmen haben erneut die Verwundbarkeit kritischer Infrastrukturen aufgezeigt. Die Angriffe, die von der Bedrohungsgruppe UAC-0099 ausgehen, nutzen gezielte Phishing-E-Mails, um Malware wie MATCHBOIL, MATCHWOK und DRAGSTARE zu verbreiten. Diese Malware-Familien sind darauf ausgelegt, sensible Informationen zu stehlen und die betroffenen Systeme zu kompromittieren.

UAC-0099, eine Gruppe, die erstmals im Juni 2023 öffentlich dokumentiert wurde, hat eine Geschichte der Spionage gegen ukrainische Einrichtungen. Frühere Angriffe nutzten Sicherheitslücken in der WinRAR-Software aus, um die Malware LONEPAGE zu verbreiten. Die aktuelle Angriffswelle nutzt E-Mail-Köder mit Gerichtsvorladungen, um Empfänger dazu zu verleiten, auf verkürzte Links zu klicken, die zu einer doppelt archivierten Datei mit einer HTML-Anwendung (HTA) führen.

Die Ausführung der HTA-Nutzlast löst die Ausführung eines verschleierten Visual Basic Script aus, das eine geplante Aufgabe zur Persistenz erstellt und letztendlich einen Loader namens MATCHBOIL ausführt. MATCHBOIL, ein in C# geschriebenes Programm, ist darauf ausgelegt, zusätzliche Malware auf dem Host abzulegen, darunter ein Backdoor namens MATCHWOK und ein Stealer namens DRAGSTARE. MATCHWOK kann PowerShell-Befehle ausführen und die Ergebnisse an einen entfernten Server senden, während DRAGSTARE Systeminformationen und Daten von Webbrowsern sammelt.

Die Enthüllung dieser Angriffe erfolgt kurz nach einem Bericht von ESET, der die unermüdlichen Spear-Phishing-Angriffe der Gruppe Gamaredon gegen ukrainische Einrichtungen im Jahr 2024 dokumentiert. Diese Angriffe nutzten sechs neue Malware-Tools, die für Tarnung, Persistenz und laterale Bewegung entwickelt wurden. Zu den bemerkenswerten Werkzeugen gehören PteroDespair, ein PowerShell-Reconnaissance-Tool, und PteroTickle, ein PowerShell-Waffenmodul, das Python-Anwendungen auf festen und Wechseldatenträgern angreift.

Die Angriffe von Gamaredon sind bekannt für ihre Intensität und die Nutzung von schnellen DNS-Techniken sowie legitimen Drittanbieterdiensten wie Telegram und Cloudflare-Tunneln, um ihre Command-and-Control-Infrastruktur zu verschleiern. Trotz beobachtbarer Kapazitätsbeschränkungen und der Aufgabe älterer Werkzeuge bleibt Gamaredon aufgrund seiner kontinuierlichen Innovation und aggressiven Spear-Phishing-Kampagnen eine bedeutende Bedrohung.

Die jüngsten Entwicklungen unterstreichen die Notwendigkeit erhöhter Sicherheitsmaßnahmen und Wachsamkeit gegenüber Phishing-Angriffen, insbesondere in geopolitisch angespannten Regionen. Unternehmen und staatliche Stellen müssen ihre Sicherheitsprotokolle regelmäßig aktualisieren und Mitarbeiter im Umgang mit verdächtigen E-Mails schulen, um das Risiko von Cyberangriffen zu minimieren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!