Iranische Hacker setzen bei gezielten Angriffen auf kritische Infrastrukturen in den USA und den VAE neue „Tickler“-Malware frei

Eine besorgniserregende Entwicklung ist, dass die vom iranischen Staat gesponserte Hackergruppe Peach Sandstorm dabei beobachtet wurde, wie sie eine neue, hochentwickelte Schadsoftware namens „ Tickler “ einsetzte. Diese Gruppe, die auch unter verschiedenen Namen wie APT33, Elfin, Holmium, Magnallium und Refined Kitten bekannt ist, hat ihre Cyber-Spionage-Operationen intensiviert und zielt nun auf kritische Infrastrukturen in den Vereinigten Staaten und den Vereinigten Arabischen Emiraten (VAE) ab.

Peach Sandstorms wachsende Bedrohung

Peach Sandstorm, bekannt für seine unerbittlichen Cyberangriffe, ist der globalen Sicherheit ein Dorn im Auge, insbesondere in Sektoren, die für die Landesverteidigung und die wirtschaftliche Stabilität von entscheidender Bedeutung sind. Ende 2023 stellte Microsoft einen Anstieg der Aktivitäten dieser Gruppe fest, die speziell auf Mitarbeiter der US-Rüstungsindustrie abzielte. Diese Eskalation markiert eine bedeutende Veränderung, da die Gruppe bei ihren Operationen die neu entwickelte Tickler-Hintertür nutzt.

Die Funktionsweise von Tickler: Eine mehrstufige Hintertür

Tickler ist nicht einfach nur eine gewöhnliche Malware, sondern eine maßgeschneiderte, mehrstufige Hintertür, die auf Vielseitigkeit ausgelegt ist. Sobald Tickler ein System infiltriert hat, können Angreifer zusätzliche schädliche Payloads herunterladen und so ihre Kontrolle über das angegriffene Netzwerk erweitern. Die Fähigkeiten dieser Malware sind umfangreich – sie kann Systeminformationen sammeln, beliebige Befehle ausführen, Dateien löschen und Dateiübertragungen zwischen dem System des Opfers und dem Command-and-Control-Server (C&C) des Angreifers verwalten.

Ziele im Fadenkreuz: Satelliten, Kommunikation und mehr

Die Hauptziele der jüngsten Kampagne von Peach Sandstorm sind Organisationen, die die Säulen der modernen Infrastruktur bilden – Satellitenkommunikationssysteme, Regierungsbehörden sowie Öl- und Gasunternehmen in den USA und den VAE. Diese Sektoren sind nicht nur für das tägliche Funktionieren dieser Länder von entscheidender Bedeutung, sondern auch von immenser strategischer Bedeutung, was sie zu bevorzugten Zielen für die Informationsbeschaffung und potenzielle Störungen macht.

Social Engineering und Password Spraying-Taktiken

Neben der Verbreitung der Tickler-Malware nutzt Peach Sandstorm weiterhin Social-Engineering-Techniken über Plattformen wie LinkedIn. Indem sie Fachleute in sensiblen Branchen ins Visier nehmen, wollen sie Zugang zu Insiderinformationen erhalten. Darüber hinaus wurde die Gruppe bei der Durchführung von Passwort-Spray-Angriffen beobachtet – einer Methode, bei der Angreifer gemeinsame Passwörter für viele Konten verwenden, um sich unbefugten Zugriff zu verschaffen. Diese Angriffe richteten sich insbesondere gegen Organisationen in den Bereichen Verteidigung, Raumfahrt, Bildung und Regierung in den USA und Australien.

Nutzung der Azure-Infrastruktur für Befehl und Kontrolle

In einer raffinierten Wendung hat Peach Sandstorm für seine C&C-Operationen die Azure-Infrastruktur, insbesondere betrügerische Abonnements, die von den Angreifern kontrolliert werden, verwendet. Diese Taktik bietet ihnen nicht nur eine zuverlässige Infrastruktur, sondern erschwert auch die Verfolgung und Unterbindung ihrer Aktivitäten, da sie in legitimen Cloud-Diensten verborgen sind.

Ein breiterer Kontext der Cyberbedrohungen

Die Veröffentlichung des Microsoft-Berichts über die Aktivitäten von Peach Sandstorm fiel mit anderen wichtigen Enthüllungen im Bereich der Cybersicherheit zusammen. Am selben Tag veröffentlichte Mandiant von Google Cloud einen Bericht über eine iranische Spionageabwehroperation, und die US-Regierung gab eine Warnung heraus, in der sie die Zusammenarbeit zwischen staatlich geförderten iranischen Akteuren und Ransomware-Gruppen hervorhob. Diese Synchronisierung der Berichte unterstreicht die umfassendere, koordinierte Natur der Cyberbedrohungen, die vom Iran ausgehen.

Schutz kritischer Infrastrukturen: Der Weg in die Zukunft

Da Peach Sandstorm und andere staatlich geförderte Bedrohungsakteure ihre Taktiken ständig weiterentwickeln, ist es für Unternehmen, insbesondere in kritischen Sektoren, von entscheidender Bedeutung, ihre Cybersicherheitsmaßnahmen zu verstärken. Dazu gehört die Implementierung robuster Kennwortrichtlinien, die Verbesserung der Überwachung cloudbasierter Dienste und die Aufklärung der Mitarbeiter über die Risiken von Social Engineering.

Der Kampf gegen Cyberbedrohungen ist noch lange nicht vorbei und mit hochentwickelten Tools wie Tickler sind Wachsamkeit und proaktive Verteidigungsstrategien wichtiger denn je.