Selbst isolierte Computer sind nicht sicher vor Angriffen

Die mysteriöse APT-Gruppe GoldenJackal hat Rechner von hochrangigen Zielen in Europa angegriffen. Zwischen August 2019 und März 2024 nahmen die Hacker eine südasiatische Botschaft in Belarus und wiederholt eine EU-Regierungsorganisation ins Visier.

Forscher des IT-Sicherheitsherstellers ESET haben die Angriffe aufgedeckt. Die betroffenen Systeme waren komplett vom Internet isoliert, um Cyberattacken zu verhindern. IT-Profis sprechen hier von einem Air Gap. Um diese Sicherheitsmaßnahme zu umgehen, gingen die Hacker raffiniert vor: Sie setzten eine Schadsoftware ein, die sich über USB-Sticks verbreitete und in weiten Teilen ohne Internetzugang funktionierte. Ziel waren höchstwahrscheinlich vertrauliche und hochsensible Informationen auf infizierten Geräten.

„Je stärker Daten gesichert sind, desto interessanter werden sie für Cyberkriminelle“, sagt ESET-Forscher Matías Porolli, der die Schadsoftware untersucht hat. „Für Kriminelle ist es äußerst schwierig, an Informationen zu gelangen, wenn sie nicht über das Internet darauf zugreifen können. Die aktuellen Attacken zeigen allerdings, dass auch isolierte Computer keine Wunderwaffe gegen Hacker sind – ein verseuchter USB-Stick reicht aus, um sensible Daten zu gefährden.“

Über GoldenJackal ist nicht viel bekannt außer, dass die Gruppe seit 2019 aktiv ist und sich auf die Spionage von diplomatischen Einrichtungen in Europa, dem Mittleren Osten und Südasien spezialisiert hat.

So konnten die Hacker den virtuellen Burggraben überwinden

Die Hacker infizieren einen PC, der mit dem Internet verbunden ist, mit einem unbekannten Computerwurm und „GoldenDealer“. Dabei handelt es sich um eine Malware, die weitere schadhafte Dateien auf Rechnern hinter Air Gaps installieren kann. Wie genau die erste Infektion mit diesen Komponenten stattfindet, ist unbekannt. Jedes Mal, wenn ein USB-Laufwerk (zum Beispiel ein USB-Stick) an einen infizierten Computer angeschlossen wird, kopiert der Wurm sich selbst und die GoldenDealer-Komponente darauf.

Verbindet ein Nutzer diesen USB-Stick in einen Computer hinter einem Air Gap ein, sieht er eine Datei mit dem Symbol eines regulären Dateiordners. Klickt er darauf, um ihn zu öffnen, führt er unwissentlich GoldenDealer aus und installiert das Programm. Dieses sammelt dann Informationen über das abgekapselte System und speichert sie auf dem USB-Laufwerk. Wird der Stick danach in den PC mit Internetzugriff eingesteckt, sendet GoldenDealer die Informationen an einen Server der Hacker. Dieser antwortet mit einer oder mehreren Dateien, die auf dem ausspionierten PC ausgeführt werden sollen. Sobald der Nutzer den Stick wieder mit dem PC verbindet, führt GoldenDealer diesen Befehl aus. Hierbei ist keine weitere Benutzerinteraktion erforderlich.

Maßgeschneiderte Malware

GoldenJackal hat in den letzten fünf Jahren zwei verschiedene Varianten von Schadsoftware verwendet, um Systeme hinter Air Gaps zu kompromittieren.

• Bei den Angriffen auf die südasiatische Botschaft in Belarus 2019 kam maßgeschneiderte Schadsoftware zum Einsatz, die neben GoldenDealer weitere Komponenten auf Zielrechnern installierte: GoldenHowl, eine Backdoor mit verschiedenen Funktionen sowie GoldenRobo, einen Dateisammler und -exfiltrator.
• Bei der jüngsten Angriffsserie gegen die Regierungsorganisation in der Europäischen Union ging GoldenJackal zu einer hochgradig modularen Schadsoftware über. Dieser Ansatz galt nicht nur für die Komponenten, sondern auch für die Rollen der betroffenen Hosts innerhalb des kompromittierten Systems: Sie wurden unter anderem zum Sammeln und Verarbeiten interessanter Informationen, zum Verteilen von Dateien, Konfigurationen und Befehlen an andere Systeme und zum Ableiten von Dateien verwendet.

Diese Herangehensweise spricht für eine hohe technische Raffinesse der Gruppe.

Was sind Air Gaps?

Um das Risiko einer Kompromittierung zu minimieren, erhalten hochsensible Netzwerke oft einen Air Gap, und werden somit von anderen Netzwerken isoliert. In der Regel kapseln Unternehmen ihre wertvollsten Systeme ab, wie zum Beispiel industrielle Kontrollsysteme für Stromnetze. Besonders Organisationen der kritischen Infrastruktur setzen deswegen auf Air Gaps. Dies sind oft genau die Netzwerke, die für Angreifer interessant sind. Attacken auf Air-Gapped-Netzwerke sind wesentlich ressourcenintensiver als das Eindringen in ein mit dem Internet verbundenes System. Das prädestiniert vor allem APT-Gruppen für solche Aktionen. Ziel ist immer Cyberspionage.

(pd/ESET)