Forscher gehen davon aus, dass der Angriff Teil einer größeren Kampagne ist, die über eine gefälschte Google-Verifikation Krypto und Zugangsdaten abgreift.
Ein verdächtiger Cyberangriff mit gefälschten CAPTCHA-Abfragen zielte auf eine ukrainische Regierungsbehörde. Ein neuer Bericht stellt eine Verbindung nach Moskau her.
WERBUNG
WERBUNG
Der US-Technologiekonzern Cisco teilte mit, seine Cybersicherheits-Experten hätten im April ungewöhnliche Aktivitäten in den Computersystemen der Behörde festgestellt. Sie gehen „mit mittlerer Sicherheit“ davon aus, dass eine russische Hackergruppe den Angriff ausgeführt hat.
Die Forschenden von Cisco entdeckten auf den Systemen Schadsoftware namens Amatera, die sensible Daten ausspähen kann.
Die Schadsoftware installierte zudem Programme, die Angreifern direkten Zugriff auf den Rechner ermöglichen – sie können Dateien einsehen, Daten übertragen und Befehle ausführen, so das Unternehmen.
Cisco stellte fest, dass die Software so konfiguriert war, dass sie eine Verbindung zu einem Server mit einer in Russland registrierten IP-Adresse aufbaut.
Der Bericht konnte nicht klären, ob tatsächlich Daten der ukrainischen Behörde abgeflossen sind, ob die Hacker den Zugriff aktiv nutzten oder wie der Rechner ursprünglich infiziert wurde.
Die Cisco-Forschenden gehen jedoch davon aus, dass der Angriff zu einer größeren Operation gehört, die auf Kryptowährungen und Zugangsdaten abzielt.
„Es war unklar, was die Angriffskette ausgelöst hat“, heißt es in dem Bericht.
Gefälschte CAPTCHA-Prüfungen als Falle
Im ukrainischen System stießen die Cisco-Forschenden auf eine Schaddatei mit dem Tarnnamen „verification.google“. Sie konnten jedoch nicht nachvollziehen, was ihre Ausführung ausgelöst hatte.
Um den möglichen Auslöser der ukrainischen Infektion zu verstehen, suchten sie nach ähnlichen Angriffen und stießen auf einen weiteren Fall mit derselben Schadsoftware Amatera.
Diesmal führten die Spuren zu kompromittierten Webseiten, die gefälschte Versionen von Googles CAPTCHA-Prüfung zeigten. Normalerweise dient diese dazu, Menschen von automatisierten Bots zu unterscheiden.
Die betrügerische Prüfung forderte die Nutzer jedoch nicht nur auf, ein Kästchen anzuklicken oder Bilder auszuwählen. Stattdessen sollten sie ein Fenster auf ihrem Rechner öffnen und dort einen Text einfügen, der Schadsoftware ausführt.
In diesem Fall installierte Amatera zusätzlich ein Programm, das gezielt Kryptowährungen stehlen soll.
Das Programm überwacht die Adressen von Krypto-Wallets, die Opfer in die Zwischenablage kopieren, und kann sie durch Adressen der Angreifer ersetzen. Auf diese Weise lassen sich Zahlungen unbemerkt umleiten.
Cisco sieht in den Parallelen zwischen den Angriffen Hinweise darauf, dass die Attacke auf die Ukraine möglicherweise auf dieselbe Weise begann.
Bestätigen konnten die Forschenden weder, dass beide Infektionen denselben Einstiegspunkt hatten, noch dass eine einzige Gruppe für beide Angriffe verantwortlich ist.