Dokumentportal der ukrainischen Regierung erleidet Cyberangriff
Ende Februar 2021 meldete die ukrainische Regierung einen Cyberangriff auf die Infrastruktur für den Austausch von Dokumenten durch die Regierung. Das Cybersicherheitszentrum des Landes gab an, dass die "Methoden und Mittel" des Angriffs auf die Beteiligung einer aus Russland stammenden "Hacker-Spionagegruppe" hindeuten.
Der Angriff richtete sich gegen das System der elektronischen Interaktion von Exekutivorganen, ein ukrainisches Webportal, über das Dokumente zwischen Regierungsstellen und Behörden ausgetauscht werden.
Die ukrainischen Behörden entdeckten schädliche Dokumente, die auf das Portal hochgeladen wurden und Makros enthielten. Dies ist kein ungewöhnlicher oder besonders neuartiger Angriffsansatz, aber leider funktioniert er immer noch recht gut.
Sobald ein schädliches Dokument geöffnet wurde, wird der Benutzer aufgefordert, die Ausführung von Makros zuzulassen. Wenn die Erlaubnis erteilt wird, laden die Makroskripte leise die tatsächliche Nutzlast der Malware herunter, die die schlechten Akteure hinter dem Angriff vorbereitet haben.
Diese Art von Angriffsvektor kann verwendet werden, um alle Arten von Nutzdaten der zweiten Stufe zu verteilen, von Trojanern und Hintertüren bis hin zu Informationsschabern, Schlüsselloggern und Ransomware.
Die ukrainischen Behörden nannten keine bestimmte Stelle oder Gruppe mit einem kodifizierten Namen, sagten jedoch, dass der Angriff eine Reihe von Kompromissindikatoren enthielt, darunter die Domain enterox.ru sowie eine IP-Adresse und eine darauf gehostete PHP-Seite .
Basierend auf Untersuchungen des ZDNet-Sicherheitsteams deutete der Domainname wahrscheinlich darauf hin, dass der Angriff mit dem Gamaredon APT verbunden ist. Gamaredon gilt als staatlich geförderte Gruppe von Hackern, die von Russland aus operieren und in der Vergangenheit Angriffe auf ukrainische Netzwerke gestartet haben.
Einige Tage vor der Ankündigung dieses Angriffs berichteten die ukrainischen Behörden auch, dass russische schlechte Akteure eine Reihe verschiedener ukrainischer Institutionen, einschließlich der Website des Sicherheitsdienstes des Landes, mit verteilten Denial-of-Service-Angriffen angegriffen hätten.
