SPICA-Hintertür mit russischem Hacker-Kollektiv verbunden
Die Threat Analysis Group (TAG) bei Google hat enthüllt, dass die russische Hackergruppe COLDRIVER an Credential-Phishing-Aktivitäten beteiligt ist, die auf prominente NGOs, ehemalige Geheimdienst- und Militärangehörige sowie NATO-Regierungen abzielen.
TAG hat die Spionagebemühungen von COLDRIVER im Einklang mit den Interessen der russischen Regierung aktiv beobachtet und darüber berichtet. Um das Bewusstsein der Community für die Aktivitäten von COLDRIVER zu schärfen, hob Wesley Shields von TAG die erweiterten Möglichkeiten hervor, zu denen nun auch die Bereitstellung von Malware gehört.
COLDRIVER führt Kampagnen gegen die Ukraine, NATO-Staaten, akademische Institutionen und NGOs durch. Die Gruppe nimmt häufig die Gestalt von Experten oder Personen an, die mit der Zielperson in Verbindung stehen, um das Vertrauen ihrer Opfer zu gewinnen.
TAG hat beobachtet, dass COLDRIVER scheinbar harmlose PDF-Dokumente von Imitationskonten verschickte und sie als Leitartikel oder Artikel präsentierte, in denen um Feedback zur Veröffentlichung gebeten wurde. Beim Öffnen der PDFs stellt sich heraus, dass der Text verschlüsselt ist.
Wenn die Zielperson Schwierigkeiten beim Lesen des Dokuments angibt, antwortet das Identitätswechselkonto mit einem Link, der vorgibt, ein Dienstprogramm zur „Entschlüsselung“ zu sein. In Wirklichkeit handelt es sich bei diesem Dienstprogramm jedoch um eine Hintertür namens SPICA, die den Angreifern Zugriff auf den Rechner des Opfers verschafft.
Was genau ist die SPICA-Hintertür?
Die SPICA-Backdoor-Malware ist ein in Rust geschriebenes Kundentool, das Websocket-Kommunikation zur Steuerung und Steuerung betroffener Geräte nutzt. Es ermöglicht Angreifern, verschiedene Befehle auf infizierten Geräten auszuführen, beispielsweise das Ausführen beliebiger Shell-Befehle, das Stehlen von Cookies aus Browsern wie Chrome, Firefox, Opera und Edge, das Hoch- und Herunterladen von Dateien, den Zugriff auf das Dateisystem und das Exfiltrieren von Dokumenten.
Google nutzt die Erkenntnisse von TAG, um die Sicherheit seiner Produkte zu verbessern. Die identifizierten Websites, Domänen und Dateien werden in sichere Browserprotokolle integriert, um eine weitere Ausnutzung zu verhindern. TAG benachrichtigt außerdem bestimmte Gmail- und Workspace-Benutzer über potenzielle Angriffe und fordert sie auf, das erweiterte sichere Surfen für zusätzlichen Schutz zu nutzen.
