Grabit: Kaspersky warnt vor Angriffswelle gegen KMU

Kaspersky Lab hat Details zu einer Grabit genannten Angriffswelle veröffentlicht, von der in erster Linie kleine und mittelständische Unternehmen und Organisationen betroffen sind. Dem Anbieter zufolge richtet sie sich gegen Firmen aus den Branchen Chemie, Nanotechnologie, Landwirtschaft, Medien und Bauwesen ebenso wie gegen Bildungseinrichtungen. Zwar liege der Schwerpunkt auf in Thailand, Indien und den USA, von dort noch laufenden Cyberspionagekampagne, mit der bereits über 10.00 Dateien erfolgreich entwendet wurden, seien aber auch Unternehmen in Deutschland und Österreich betroffen.

“Die meisten von uns identifizierten Spionagekampagnen richten sich gegen Großunternehmen, Regierungsorganisationen und andere hochrangige Ziele. Kleine und mittelständische Firmen scheinen eher selten Zielobjekte von Cyberspionageattacken zu sein”, führt Ido Noar, Senior Security Researcher bei Kaspersky Lab, in seiner Analyse der Angriffswelle aus. “Grabit führt uns allerdings vor Augen, dass innerhalb der Cyberwelt nicht nur die großen Fische, sondern Organisationen jeglicher Größe attackiert werden können, deren Geld, Informationen oder politischer Einfluss für Dritte interessant sein könnte.”

Wie so oft beginnen die Kriminellen auch bei Grabit mit dem Versand einer E-Mail. In dem Fall bringt die im Anhang ein Microsoft-Word-Dokument mit, das ein schädliches Makro mit der Bezeichnung AutoOpen enthält. Wird die Word-Datei geöffnet und damit heruntergeladen, installiert sich über einen Remote-Server ein Spionageprogrammpaket auf dem Rechner des Nutzers. Dieses umfasst einen Keylogger von HawkEye sowie ein Konfigurationsmodul samt Fernwartungs-Tools, mit denen die Angreifer ihre Aktivitäten dann gezielt steuern können.

Dass sich der Angriff für die Kriminellen lohnt, zeigt ein von Kaspersky Lab analysiertes Keylogger-Programm von einem der Command-and-Control-Server. Es konnte von 4928 infizierten Systemen 2887 Passwörter, 1053 E-Mails und 3023 Nutzernamen stehlen. Neben Daten zu Bankkonten gehörten dazu auch Nutzerdaten von Outlook, Facebook, Skype, Google Mail, Pinterest, Yahoo, LinkedIn und Twitter.

Laut Kaspersky ist Grabit zwar nicht besonders ausgefeilt. Das machen die Experten auch daran fest, dass die Malware ihre Aktivtäten nur unzureichend verbirgt. Zum Beispiel nutzen mehrere der verwendeten Schadprogramme denselben Hosting-Server und sogar dieselben Zugangsdaten. Andererseits seien die Techniken, die verwendet werden um den Code vor Sicherheitsexperten zu verbergen, recht fortschrittlich.

Aufgrund dieser heterogenen Natur des Angriffs und der verwendeten Malware vermutet Kaspersky, dass sich dahinter eine lose Gruppierung verbirgt, bei der einige Mitglieder technisch versierter sind als andere. Dass offenbar nicht alle Codes vom selben Programmierer geschrieben wurden, untermauert diese Vermutung noch.

Ein Anzeichen für einen Angriff durch Grabit ist laut Kaspersky, wenn sich unter C:\Benutzer\Benutzername\AppData\Roaming\Microsoft ausführbare Dateien oder in der Windows-System-Konfigurationen die Datei “grabit1.exe” finden. Administratoren sollen dann diese Dateien löschen. Nutzern legt Kaspersky noch einmal ans Herz, keine Anhänge zu öffnen und auf keine Links zu klicken, die mit E-Mails von unbekannten Personen kommen.

Tipp: Mit SicherKMU informiert ITespresso Sie laufend über wesentliche Entwicklungen im Bereich IT-Sicherheit und beschreibt Wege, wie der Mittelstand mit diesen Bedrohungen umgehen kann. Dadurch entstehen geldwerte Vorteile für unsere Leser. Abonnieren Sie den RSS-Feed und die Mailingliste von SicherKMU! Diskutieren Sie mit uns und anderen Lesern! Weisen Sie Ihre Kollegen auf SicherKMU hin.