APT29 nutzt GRAPELOADER-Malware zur gezielten Attacke auf europäische Diplomaten

MÜNCHEN (IT BOLTWISE) – Eine neue Bedrohung durch die russische Hackergruppe APT29 sorgt für Aufsehen in der europäischen Diplomatie. Die Gruppe, auch bekannt als Cozy Bear, hat eine raffinierte Phishing-Kampagne gestartet, die sich gezielt gegen diplomatische Einrichtungen in Europa richtet.

Die russische Hackergruppe APT29, die in Verbindung mit dem russischen Auslandsgeheimdienst steht, hat eine neue Phishing-Kampagne gestartet, die sich gegen diplomatische Einrichtungen in Europa richtet. Diese Kampagne nutzt eine neue Variante der WINELOADER-Malware sowie einen bisher unbekannten Malware-Loader namens GRAPELOADER. Diese Bedrohung wurde von Check Point in einer kürzlich veröffentlichten technischen Analyse aufgedeckt.

GRAPELOADER fungiert als initiales Werkzeug zur Systemerkennung, Persistenz und zur Bereitstellung von Schadsoftware. Während WINELOADER in späteren Phasen als modularer Backdoor dient, zeichnet sich GRAPELOADER durch fortschrittliche Tarnmethoden aus, die die Anti-Analyse-Techniken von WINELOADER verfeinern. Die Angriffe nutzen Weinverkostungs-Einladungen als Köder, um die Systeme diplomatischer Mitarbeiter zu infizieren.

Die Phishing-E-Mails, die von den Domains bakenhof[.]com und silry[.]com gesendet wurden, enthalten Einladungen zu Weinverkostungen, die angeblich von einem europäischen Außenministerium stammen. Diese E-Mails verleiten die Empfänger dazu, auf einen Link zu klicken, der eine mit Malware versehene ZIP-Datei namens “wine.zip” herunterlädt. Diese Datei enthält mehrere Dateien, darunter eine DLL, die als Abhängigkeit für ein legitimes PowerPoint-Programm dient, welches dann für das DLL-Sideloading missbraucht wird, um die schädliche DLL zu starten.

GRAPELOADER sammelt grundlegende Informationen über das infizierte System und sendet diese an einen externen Server, um den nächsten Schadcode abzurufen. Obwohl die genaue Natur der Nutzlast unklar ist, hat Check Point aktualisierte WINELOADER-Artefakte identifiziert, die auf der VirusTotal-Plattform hochgeladen wurden. Diese Entdeckungen deuten darauf hin, dass GRAPELOADER letztendlich zur Bereitstellung von WINELOADER führt.

Parallel dazu hat HarfangLab die Aktivitäten der russischen Hackergruppe Gamaredon untersucht, die mit der Verbreitung von PteroLNK VBScript-Malware in der Ukraine in Verbindung gebracht wird. Diese Malware infiziert angeschlossene USB-Laufwerke und verbreitet sich durch das Ersetzen von Dateien mit täuschend echten Verknüpfungen, die bei Aktivierung die PteroLNK-Malware ausführen.

Die Bedrohung durch APT29 und Gamaredon zeigt die anhaltende Gefahr, die von staatlich unterstützten Hackergruppen ausgeht. Diese Gruppen nutzen ausgeklügelte Techniken und Taktiken, um ihre Ziele zu erreichen, und stellen eine erhebliche Herausforderung für die Cybersicherheit dar. Die fortschrittlichen Methoden zur Umgehung von Sicherheitsmaßnahmen und die gezielte Ausrichtung auf diplomatische Einrichtungen unterstreichen die Notwendigkeit verstärkter Sicherheitsmaßnahmen und internationaler Zusammenarbeit im Kampf gegen Cyberkriminalität.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!