ESET Deutschland, Hackergruppe verbreitet Ransomware in Europa

ESET Deutschland, Hackergruppe verbreitet Ransomware in Europa

Jena, 22. August 2023

Die #Hackergruppe #Cosmic #Beetle greift weltweit #Organisationen an, vor allem europäische. Die Gruppe verwendet das Toolset Spacecolon, um #Ransomware unter ihren Opfern zu verbreiten und #Lösegeld zu erpressen. Dafür nutzt sie die ZeroLogon Schwachstelle bei Webservern aus. Alternativ greifen die Hacker auf klassische Brute Force Angriffe auf RDP Zugangsdaten zurück, um in Organisationen einzudringen. #Spacecolon ist seit mindestens Mai 2020 bis heute aktiv.

Cosmic Beetle agiert global

#ESET konnte die Spur von Cosmi cBeetle und ihren Werkzeugen weltweit nachverfolgen. Besonders betroffen sind Länder der Europäischen Union, beispielsweise Spanien, Frankreich, Belgien, Polen und Ungarn. Außerhalb der EU werden vor allem Organisationen in Mexiko und der Türkei zum Ziel. »Wie die Hackergruppe ihre Opfer auswählt, bleibt nebulös. Weder gibt es Schwerpunktbereiche noch Ähnlichkeiten in der Größe der Ziele: ein Krankenhaus und ein Ferienort in Thailand, eine Versicherungsgesellschaft in Israel, eine lokale Regierungseinrichtung in Polen, ein Unterhaltungsanbieter in Brasilien, ein Umweltunternehmen in der Türkei und eine Schule in #Mexiko«, sagt ESET Forscher Jakub Soucek, Autor der Analyse. Der Programmcode von Spacecolon enthält viele türkische Zeichenfolgen. ESET geht deshalb davon aus, dass die Entwickler türkischstämmig sind [Das kann freilich auch ein Täuschungsmanöver sein. Anm. d. Red.].

Wie geht Cosmic Beetle vor?

Nachdem die #Hacker einen Webserver kompromittiert haben, laden sie zusätzliche Tools auf die #Rechner ihrer Opfer herunter und führen sie aus. Dazu gehören neben Ransomware auch weitere Tools von Drittanbietern: Diese ermöglichen es den Angreifern bei besonders lohnenswerten Zielen, Sicherheitsprodukte zu deaktivieren, kritische Informationen zu extrahieren und sich erweiterten Zugang per #Backdoor zu verschaffen.

In manchen Fällen kommt zudem eine Ransomware zum Einsatz, die einen Clip Banker einsetzt. Dabei handelt es sich um eine Art von Malware, die den Inhalt der Zwischenablage überwacht. Findet sie Inhalte, bei denen es sich um eine #Krypto Wallet Adresse handelt, fügt sie eine vom Angreifer kontrollierte Adresse ein. Die Hackergruppe unternimmt keine nennenswerten Anstrengungen, ihre #Malware zu verbergen. Sie hinterlässt zahlreiche Artefakte auf kompromittierten Systemen.

Neue Ransomware ist in Arbeit

Cosmic Beetle bereitet zudem die Verbreitung einer neuen Ransomware Familie namens Sc Ransom vor. ESET #Research geht davon aus, dass Cosmic Beetle hinter der Entwicklung steht. Diese Ransomware versucht, alle Festplatten, Wechseldatenträger und Remote Laufwerke zu verschlüsseln. Bis jetzt wurde sie allerdings noch nicht in Aktion beobachtet. ESET vermutet deshalb, dass sie sich noch in der Entwicklungsphase befindet. Weitere technische Informationen zu Spacecolon und Cosmic Beetle gibt es im #Blogpost »Skarabäen besiedeln anfällige Server« auf Welive Security.