Kaspersky entdeckt: Spyware über Telegram verbreitet

Kaspersky warnt vor einer weltweiten Spionage-Kampagne, die sich gegen die Fintech- und Trading-Branche richtet; betroffen sind sowohl Unternehmen als auch Einzelpersonen. Dabei nutzen die Bedrohungsakteure Telegram-Kanäle mit Finanzthemen zur Verbreitung einer Trojaner-Spyware. Das Global Research and Analysis Team von Kaspersky (GReAT) vermutet hinter der Kampagne den Hack-for-Hire-APT-Akteur DeathStalker, der bereits öfters in Erscheinung trat und sich auf die Finanzbranche spezialisiert hat.

Laut Kaspersky-Telemetrie richtet sich die globale Kampagne gegen Nutzer in 20 Ländern, darunter in Europa auch Deutschland und Österreich. Bei der jüngsten von Kaspersky beobachteten Angriffswelle versuchten die Bedrohungsakteure, ihre Opfer mit der Malware DarkMe über Telegram-Kanäle, die sich mit Finanzthemen beschäftigen, zu infizieren. Bei DarkMe handelt es sich um einen Remote-Access-Trojaner (RAT), der Informationen stiehlt und Remote-Befehle ausführt, die von einem unter Täter-Kontrolle stehenden Server stammen.

Die Installation der Malware ist das Ende einer Infektionskette, die höchstwahrscheinlich mit schädlichen LNK-, COM- und CMD-Dateien erfolgt. Sie sind in ein Dateiarchiv verpackt wie zum Beispiel RAR oder ZIP, das wiederum Anhang eines Telegram-Posts der Angreifer ist. Nach erfolgreicher Installation entfernt die Malware die zur Bereitstellung des DarkMe-Implantats benötigten Dateien, vergrößert das Implantat und löscht weitere Spuren, die auf eine Malware-Infektion hindeuten könnten.

APT DeathStalker vermutlich für Angriffe verantwortlich

Die Experten vermuten hinter den Angriffen den Bedrohungsakteur DeathStalker (früher Deceptikons); eine Cyber-Söldner- und Hack-for-Hire-Gruppe, die mindestens seit dem Jahr 2018, möglicherweise bereits seit 2012, aktiv ist. DeathStalker entwickelt eigene Toolsets und gilt als APT-Experte. Hauptziel ist das Sammeln von Unternehmens-, Finanz- und persönlichen Daten für die jeweiligen Auftraggeber, die sich davon wohl Wettbewerbsvorteile versprechen. Angegriffen werden vorwiegend kleine und mittlere Unternehmen, Finanz- und Fintech-Akteure sowie Anwaltskanzleien und – vereinzelt – auch Regierungsstellen. Da noch nie ein Diebstahl von Geldern beobachtet wurde, stuft Kaspersky DeathStalker als eine nichtstaatliche Geheimorganisation ein, die zudem großen Wert auf die Verschleierung ihrer Aktionen legt und gerne unter falscher Flagge operiert.

„Anstelle von traditionellen Phishing-Methoden nutzen Bedrohungsakteure nun auch Telegram-Kanäle zur Verbreitung ihrer Malware“, erklärt Maher Yamout, Lead Security Researcher im Global Research and Analysis Team (GReAT) bei Kaspersky. „Schon in früheren Kampagnen konnten wir beobachten, dass Messaging-Plattformen wie Skype als Infektionsvektoren dienten. Anders als bei Phishing-Websites vertrauen potenzielle Opfer hier eher den Absendern und öffnen schädliche Dateien. Zudem löst das Herunterladen von Dateien über Messenger Apps weniger Sicherheitswarnungen aus als ein normaler Internet-Download. Das spielt den Bedrohungsakteuren zusätzlich in die Hände. Nutzer sollten daher bei Nachrichten und Links besonders wachsam sein – dies schließt auch Instant-Messaging-Apps wie Skype und Telegram ein.“

Kaspersky-Empfehlungen zum Schutz vor DarkMe

Für Privatpersonen empfiehlt Kaspersky:

• die Installation einer vertrauenswürdigen Sicherheitslösung wie Kaspersky Premium [1]
• und sich stets über aktuelle Cyberangriffe etwa mit Hilfe von einschlägigen Blogs [2] zu informieren.

Unternehmen empfiehlt Kaspersky folgende Maßnahmen zum Schutz vor fortgeschrittenen Bedrohungen:

• Die unternehmenseigenen Sicherheitsexperten benötigen tiefgreifenden Einblick in alle Cyberbedrohungen, denen das Unternehmen ausgesetzt sein könnte. Kaspersky Threat Intelligence [3] vermittelt umfassende und aussagekräftige Erkenntnisse im Kontext des Vorfallmanagements und hilft dabei, Cyberrisiken rechtzeitig zu erkennen.
• Zusätzlich müssen Mitarbeiter über Cybersecurity-Kurse auf dem Laufenden gehalten werden. Kaspersky bietet mit seinem Kaspersky Expert Training Portfolio [4] praxisorientierte Schulungsangebote für InfoSec-Experten an.
• Kaspersky Next [5] bietet Unternehmen jeder Größenordnung und Branche Echtzeitschutz, fortschrittliche Endpoint-Protection sowie umfassende EDR- und XDR-Technologien.

[1] https://kas.pr/re3t

[2] https://www.kaspersky.de/blog/

[3] https://www.kaspersky.de/enterprise-security/threat-intelligence

[4] https://xtraining.kaspersky.com/

[5] https://www.kaspersky.de/next

Nützliche Links:

• Kaspersky Premium: https://kas.pr/re3t
• Kaspersky Threat Intelligence: https://www.kaspersky.de/enterprise-security/threat-intelligence
• Kaspersky Expert Training Portfolio: https://xtraining.kaspersky.com/
• Kaspersky Next: https://www.kaspersky.de/next