Win32/USBStealer überbrückt "Air Gap" Win32/USBStealer überbrückt "Air Gap" - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


17.11.2014 pi/Rudolf Felser

Win32/USBStealer überbrückt "Air Gap"

Cyber-Spione von Sednit attackieren Air-Gap-geschützte – also isolierte – Netzwerke mittels infizierter Wechseldatenträger.

Sednit bringt Malware auch auf isolierte Computer.

Sednit bringt Malware auch auf isolierte Computer.

© ESET

Forscher des IT-Sicherheitsspezialisten ESET haben eine perfide Angriffstechnik der Sednit-Cyber-Spionagegruppe aufgedeckt. Erst vor einem Monat hatten ESET-Experten auf WeLiveSecurity.de darüber berichtet, das Sednit maßgeschneiderte Exploit Kits für Angriffe auf verschiedene Institutionen in Osteuropa einsetzt. Jetzt warnen sie vor Win32/USBStealer, einem Tool, mit dem die Cyber-Kriminellen auch Rechner angreifen können, die nicht mit dem Internet verbunden sind. Das erlaubt der Gruppe wirksame Angriffe auf Computer und Netzwerke, die physisch völlig isoliert sind.

Die Verbreitung erfolgt über Wechseldatenträger. Win32/USBStealer macht Computer angreifbar, die mittels einer so genannten "Air Gap" von der Außenwelt isoliert sind. Das Ziel der Kriminellen sind in der Regel bestimmte Dateien, die ganz gezielt angegriffen werden. Nach Einschätzung von ESET bedient sich Sednit bereits seit etwa zehn Jahren dieses Tools – mit unterschiedlichem Komplexitätsgrad.

Zunächst wird ein, mit dem Internet verbundener, Computer mit dem Win32/USB Stealer Dropper infiziert, bevor dann die Ausbreitung auf den isolierten Computer durch den USB-Stick erfolgt. "Der zuerst infizierte Computer versucht, ein legales russisches Programm namens USB Disk Security zu imitieren, um das Einlegen von Wechseldatenträgern zu überwachen", erklärt Joan Calvet, Sicherheitsforscher bei ESET.

Wenn der USB-Stick dann mit dem Rechner verbunden ist, entschlüsselt der Dropper zwei der Ressourcen im Speicher. Die erste legt das Programm Win32/USBStealer im Wechseldatenträger unter dem Namen "USBGuard.exe" ab. Die zweite Ressource ist eine AUTORUN.INF-Datei. Wenn der infizierte USB-Stick mit aktiviertem AutoRun mit dem Zielrechner verbunden ist, kann sich Win32/USBStealer hier installieren und verschiedene Schritte ausführen. Diese erlauben ihm den Zugang zu spezifischen Dateien auf einen Computer in einem durch Air Gap isolierten Netzwerk.

In letzter Zeit sind die Cyber-Spione der Sednit-Gruppe durch mehrere gezielte Spionageaktionen aufgefallen. Im Oktober 2014 hatte ESET aufgedeckt, dass die Sednit Gruppe so genannte Watering-Hole-Angriffe mittels eines maßgeschneiderten Exploit Kits ausgeführt hatte.

Mehr Informationen finden Sie unter www.welivesecurity.com/deutsch/2014/11/11/spionage-ring-sednit-greift-isolierte-netzwerke/. (pi)

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • NAVAX Unternehmensgruppe

    NAVAX Unternehmensgruppe Wasser- und Energieversorgung, Vereine und Verbände, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Maschinen- und Anlagenbau, Konsumgüterindustrie, Immobilien,... mehr
  • Bacher Systems EDV GmbH

    Bacher Systems EDV GmbH mehr
  • HATAHET productivity solutions GmbH

    HATAHET productivity solutions GmbH Individual-Softwareentwicklung, Migrations-Management, Programmierung, System- und Netzwerk-Tuning, Systemintegration und Systemmanagement, Übernahme von Softwareprojekten, User Helpdesk-Systeme und Hotlines,... mehr
  • KORAM Softwareentwicklungsgesellschaft m.b.H:

    KORAM Softwareentwicklungsgesellschaft m.b.H: Betriebsdaten- und Zeiterfassung, Kaufmännische Software (ERP), Management Informationssysteme (MIS), Bauwesen, Einzelhandel, Fertigung, Produktion und Konstruktion, Freie Berufe,... mehr

Hosted by:    Security Monitoring by: