Iranische Hackergruppe spioniert Unternehmen aus

Iranische #Hackergruppe spioniert Unternehmen aus

• Ballistic #Bobcat setzt neue Backdoor »Sponsor« gegen ungepatchte Netzwerke ein

Jena, PTS, 11. September 2023

Die aus Iran stammende und höchst gefährliche Hackergruppe Ballistic Bobcat greift seit September 2021 Organisationen verschiedener Branchen in mehreren Ländern an. Der Großteil der 34 betroffenen Betriebe befindet sich in #Israel, aber auch in Brasilien und den Vereinigten Arabischen Emiraten. Das Ziel der Kriminellen: wertvolle Daten in den Bereichen Industrie, Finanzen, #Medien, #Gesundheitswesen und Telekommunikation zu kapern. Sie greifen dabei auf eine neue Backdoor namens Sponsor zurück, die das Team um #ESET #Forscher Adam Burgher entdeckt hat.

Wie Ballistic Bobcat vorgeht

Das Vorgehen der Hackergruppe dient als Paradebeispiel, warum Unternehmen dringend ein Schwachstellenmanagement einsetzen sollten. Denn Ballistic Bobcat fuhr eine sogenannte »Scan #Exploit #Kampagne«, bei der automatisiert Unternehmen im #Internet auf ungepatchte Schwachstellen hin analysiert werden. In diesem Fall war es die seit längerem bekannte Sicherheitslücke CVE 2021 26855 in #Microsoft Exchange Servern. War diese Lücke in Organisationen offen, hatten Hacker einen Fuß in der Tür und konnten weitere Schadsoftware installieren. Wie die ESET Telemetrie zeigt, ist diese bereits seit September 2021 im Einsatz.

Adam Burgher geht davon aus, dass es sich nicht um eine gezielte Kampagne, sondern um einen breit gestreuten Angriff handelt. Bei den Opfern gibt es außer der Sicherheitslücke nämlich kaum Gemeinsamkeiten. Einige Organisationen besaßen zudem nicht einmal lohnende Informationen für Hacker. Auch interessant: Bei knapp der Hälfte der betroffenen Unternehmen war Ballistic Bobcat nicht der einzige Angreifer im Netzwerk. ESET fand Hinweise, dass weitere Hackergruppen zuvor die Schwachstelle für ihre Zwecke ausnutzten. »Ballistic Bobcat verwendet ein vielfältiges, quelloffenes Toolset. Dazu zählt eine Reihe von benutzerdefinierten Anwendungen, darunter auch Sponsor. Unternehmen sind gut beraten, alle Geräte mit Internetzugang zu patchen und auf neue Anwendungen zu achten, die in ihren Unternehmen auftauchen«, rät Burgher.

Hackergruppe ist schon länger aktiv

Ballistic Bobcat, auch bekannt als APT35/APT42 (»Charming Kitten« oder Phosphorus), hatte es in der Vergangenheit auf Bildungsorganisationen, Regierungsorganisationen  und Gesundheitsorganisationen sowie auf #Menschenrechtsaktivisten und #Journalisten abgesehen. Während der #Pandemie gerieten vor allem Organisationen ins Fadenkreuz, die mit #Covid 19 zu tun hatten, darunter die Weltgesundheitsorganisation und Gilead Pharmaceuticals sowie Mitarbeiter in der medizinischen #Forschung. Weitere technische Informationen über Ballistic Bobcat und seine Sponsoring Access Kampagne gibt es im #Blogpost »Sponsor mit Schnurrhaaren: Ballistic Bobcats Scan und Strike Backdoor« auf WeLiveSecurity. Mehr Informationen zum Thema Patch Management im Blog »Die #Renaissance des #Patch #Managements«.