Home » News » Cybersecurity » Anbieter für Data Loss Prevention wird Opfer einer Hacker-Gruppe

Anbieter für Data Loss Prevention wird Opfer einer Hacker-Gruppe

Experten des IT-Sicherheitsherstellers ESET haben aktuell einen Angriff auf das Netzwerk eines ostasiatischen Data-Loss-Prevention-Unternehmens aufgedeckt, zu dessen Kundenportfolio auch Regierungs- und Militäreinrichtungen gehören. Die Forscher führen diesen Angriff mit hoher Wahrscheinlichkeit auf die APT-Gruppe „Tick“ zurück. Deren Profil deutet darauf hin, dass die betroffenen Unternehmen ausspioniert werden sollten.

1 Min. Lesezeit
Foto: ©AdobeStock/freshidea

Es entbehrt nicht der Ironie: Mit dem Einsatz sogenannter Data-Loss-Prevention-Lösungen (DLP) wollen Unternehmen verhindern, dass interne Daten ungewollt das eigene Netzwerk verlassen. Wenn der Softwareanbieter selbst gehackt wird, trifft das nicht nur ihn selbst – auch dessen Kunden sind in Gefahr. Lieferkettenangriffe zählen zu den vielfach unterschätzten Gefahren.

„Während der Infiltration des Anbieter setzten die Angreifer mindestens drei Malware-Familien ein. Dabei kompromittierten sie auch interne Update-Server und haben Installationsprogramme legitimer Tools von Drittanbietern mit Trojanern versehen. Dies führte schließlich zur Ausführung von Malware auf den Computern von mindestens zwei Kunden“, erklärt ESET Forscher Facundo Muñoz, der die jüngste Operation von Tick entdeckt hat. „Die Hacker setzten den bisher nicht dokumentierten Downloader „ShadowPy“ ein sowie die Netboy-Backdoor (alias Invader) und den Ghostdown-Downloader“, so Muñoz weiter.

Erste Aktivitäten schon 2021

ESET entdeckte bereits 2021 einen ersten Angriff und informierte umgehend das DLP-Unternehmen. Im Jahr 2022 registrierte die ESET Telemetrie die Ausführung von bösartigem Code in den Netzwerken zweier Kunden des kompromittierten Anbieters. Da die trojanisierten Installationsprogramme über Fernwartungssoftware übertragen wurden, vermutet ESET Research, dass die Infektion der Rechner während des technischen Supports durch das DLP-Unternehmen stattfand. Auch der Hersteller der Data-Loss-Prevention-Lösung selbst wurde infiziert, nachdem zwei interne Update-Server Schadcode im eigenen Netzwerk verteilten.

Neuer Downloader namens ShadowPy

Der bisher nicht dokumentierte Downloader ShadowPy wurde in Python entwickelt und wird über eine angepasste Version des Open-Source-Projekts py2exe geladen. ShadowPy kontaktiert einen Remote-Server, von dem es neue Python-Skripte erhält, die entschlüsselt und ausgeführt werden.

Die ältere Netboy-Backdoor unterstützt 34 Befehle, darunter das Sammeln von Systeminformationen, das Löschen einer Datei, das Herunterladen und Ausführen von Programmen, das Erfassen von Bildschirminhalten und das Ausführen von Maus- und Tastaturereignissen, die von seinem Controller angefordert werden.

Die APT-Gruppe Tick

Tick (auch bekannt als BRONZE BUTLER oder REDBALDKNIGHT) ist eine APT-Gruppe, die mutmaßlich seit mindestens 2006 aktiv ist und hauptsächlich Länder in der APAC-Region angreift. Die Gruppe ist bekannt für ihre Cyberspionage-Operationen, die sich auf den Diebstahl von Verschlusssachen und geistigem Eigentum konzentrieren. Tick verwendet ein exklusives, maßgeschneidertes Malware-Toolset, das für den dauerhaften Zugriff auf kompromittierte Rechner, die Aufklärung, die Datenexfiltration und den Download von weiteren Werkzeugen entwickelt wurde.

Andere interessante News

Neuer Incident Response Ransomware Report

Der Bericht zur globalen Cyberbedrohungslandschaft in der ersten Jahreshälfte 2023 zeigt alarmierende Trends: So sind Ransomware-Fälle um 46 Prozent im Vergleich zu 2022 gestiegen.

Unveränderlicher Speicher: Sicherheit auch für Multi-Cloud-Umgebungen

Unternehmen nutzen vermehrt Cloud-Dienste zur Datenverwaltung, was die Herausforderungen für Datensicherheit und -integrität erhöht. In Multi-Cloud- und Hybrid-Cloud-Umgebungen wird dies noch komplexer. Die Lösung: Immutable Datenspeicherung, bei der Daten im ursprünglichen Zustand gesichert und vor Manipulation geschützt werden.

BSI goes USA: Projektarbeit in San Francisco gestartet

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) intensiviert seine globale Zusammenarbeit mit akademischen und wirtschaftlichen Partnern in den Vereinigten Staaten.