Spyware der israelischen Firma Candiru im Fokus der Ermittlungen
Watering‑Hole‑Angriffe im Nahen Osten
publiziert: Mittwoch, 17. Nov 2021 / 17:09 Uhr
Watering‑Hole‑Angriffe im Nahen Osten.
Watering‑Hole‑Angriffe im Nahen Osten.

Jena - Die Forscher des europäischen IT-Sicherheitsherstellers ESET haben strategische Angriffe auf die Webseiten von Medien, Regierungen, Internet-Service-Providern und Luftfahrt- und Rüstungsunternehmen aufgedeckt. Im Fokus stehen nach aktuellen Erkenntnissen Organisationen in Ländern des Nahen Ostens bzw. mit Verbindungen dorthin.

Betroffen sind der Iran, Saudi-Arabien, Syrien, Italien, Grossbritannien, Südafrika und schwerpunktmässig der Jemen. Auch Deutschland geriet ins Visier der Cyber-Spione: Die Angreifer fälschten die Webseite der in Düsseldorf beheimateten Medizinmesse Medica. Die Hacker-Kampagne steht möglicherweise im engen Zusammenhang mit Candiru, einem israelischen Hersteller von Spionagesoftware. Das US-Handelsministerium hatte das Unternehmen bereits Anfang November 2021 auf eine schwarze Liste gesetzt, weil sie hochmoderne Angriffssoftware und Dienstleistungen an Regierungsbehörden verkauft.

Die Bandbreite der angegriffenen Webseiten ist beträchtlich:
  • Medien im Vereinigten Königreich, im Jemen und in Saudi-Arabien sowie zur Hisbollah
  • Regierungsinstitutionen im Iran (Aussenministerium), in Syrien (u. a. Elektrizitätsministerium) und im Jemen (u. a. Innen- und Finanzministerium)
  • Internetdienstanbieter im Jemen und in Syrien
  • Luft- und Raumfahrt-/Militärtechnikunternehmen in Italien und Südafrika
  • Medizinische Fachmesse in Deutschland

Höchste Geheimhaltung bei Watering-Hole-Angriffen

Zum Einsatz kamen dabei sogenannte «Watering-Hole-Angriffe» (strategische Kompromittierung von Webseiten), die sich ganz gezielt an Internetnutzer einer bestimmten Branche oder Funktion richten. Dabei identifizieren Cyberkriminelle jene Internetseiten, die von den Opfern häufig besucht werden. Das Ziel ist die Infektion der Webseite mit Malware und darüber hinaus der Rechner jener Zielpersonen. Bei dieser entdeckten Kampagne wurden bestimmte Besucher der Webseiten wahrscheinlich über einen Browser-Exploit angegriffen. Dies geschah höchst zielgerichtet und unter minimalem Einsatz von Zero-Day-Exploits. Offensichtlich arbeiteten die Akteure höchst fokussiert und um Eingrenzung der Operationen bemüht. Sie wollten wohl vermeiden, dass ihre Aktionen irgendwie bekannt werden. Anders lässt sich kaum erklären, dass ESET weder Exploits noch Payloads entdecken konnte.

ESET-Schwachstellen-System schlug schon 2020 Alarm

«Im Jahr 2018 haben wir ein benutzerdefiniertes internes System entwickelt, um Schwachstellen auf hochkarätigen Websites aufzudecken. Am 11. Juli 2020 meldete uns unser System, dass die Website der iranischen Botschaft in Abu Dhabi mit bösartigem JavaScript-Code verseucht wurde. Unsere Neugierde war geweckt, da es sich um eine Regierungs-Website handelte. In den folgenden Wochen stellten wir fest, dass auch andere Websites mit Verbindungen in den Nahen Osten angegriffen wurden», sagt ESET-Forscher Matthieu Faou, der die Watering Hole-Kampagnen aufdeckte.

Während der Kampagne 2020 überprüfte der verwendete Schadcode das Betriebssystem und den eingesetzten Webbrowser. Angegriffen wurden hierbei ausschliesslich stationäre Computersysteme und Server. In der zweiten Welle begannen die Angreifer Skripte zu modifizieren, die sich bereits auf den kompromittierten Webseiten befanden. So konnten die Angreifer unbemerkt agieren. «Nach einer länger anhaltendenden Pause, die bis Januar 2021 andauerte, konnten wir neue Angriffskampagnen verzeichnen. Diese zweite Welle dauerte bis August 2021 an», fügt Faou hinzu.

MEDICA in Düsseldorf wurde ebenfalls angegriffen

Die Angreifer waren auch in Deutschland aktiv und fälschten eine zur MEDICA-Messe («World Forum for Medicine») gehörende Webseite. Dabei klonten sie die Original-Website und fügten ein kleines Stück JavaScript-Code hinzu. Es ist wahrscheinlich, dass die Angreifer die legitime Internetseite nicht kompromittieren konnten. So waren sie gezwungen, eine gefälschte Website einzurichten, um den bösartigen Code einzuschleusen.

Israelische Spywarefirma Candiru im Zwielicht

In einem Blogpost von Citizen Lab an der Universität Toronto über die israelische Firma Candiru wird im Abschnitt «A Saudi-Linked Cluster?» über ein Spearphishing-Dokument berichtet, das auf VirusTotal hochgeladen wurde. Ebenfalls erwähnt wurden mehrere von den Angreifern betriebene Domains. Bei den Domänennamen handelt es sich um Variationen echter URL-Shortener und Webanalyse-Webseiten. «Es handelt sich also um dieselbe Technik, die auch für die Domänen bei den Watering-Hole-Angriffen verwendet wird», erklärt der ESET-Forscher und stellt eine Verbindung zwischen den Angriffen und Candiru her.

Es gilt als nicht unwahrscheinlich, dass die Betreiber der Watering-Hole-Kampagnen Kunden von Candiru sein könnten. Das israelische Spionageunternehmen wurde kürzlich in die Entity List des US-Handelsministeriums aufgenommen. Dies kann jede in den USA ansässige Organisation daran hindern, mit Candiru Geschäfte zu machen, ohne zuvor eine Lizenz des Handelsministeriums einzuholen.

Aktueller Stand

Die Hintermänner der Watering-Hole-Attacken scheinen aktuell eine Pause einzulegen. Möglicherweise nutzen sie die Zeit, um ihre Kampagne umzurüsten und unauffälliger zu gestalten. ESET-Sicherheitsforscher gehen davon aus, dass sie in den kommenden Monaten wieder aktiv werden. Weitere technische Details zu diesen Watering Hole-Angriffen auf Websites im Nahen Osten finden Sie im Blogpost «Watering-Hole-Angriffe im Nahen Osten» auf WeLiveSecurity.de.

(fest/pte)

.
Digitaler Strukturwandel  Nach über 16 Jahren hat sich news.ch entschlossen, den Titel in seiner jetzigen Form einzustellen. Damit endet eine Ära medialer Pionierarbeit. mehr lesen 21
Auf Social Media-Kanälen sind Schuldner nicht mehr vor Inkassobüros sicher.
Auf Social Media-Kanälen sind Schuldner nicht mehr ...
Social Media Schuldeintreiber in der USA dürfen seit kurzem auch säumige Schuldner per Social Media kontaktieren. Ein entsprechendes Gesetz des Consumer Financial Protection Bureau ist diese Woche in Kraft getreten. Betroffen sind Millionen US-Bürger, einer Umfrage zufolge sollen im Jahre 2017 über 70 Mio. US-Amerikaner von Inkassobüros kontaktiert worden sein. mehr lesen  
Bern - Kriminellen Hackern ist es mutmasslich gelungen, eine Liste mit Namen von bis zu 130'000 Unternehmen zu entwenden, welche über die Plattform EasyGov im Jahr 2020 einen Covid-19-Kredit beantragt hatten. Weitere Daten ... mehr lesen
Die Angriffe auf Easygov.swiss erfolgten vom 10. bis 22. August 2021.
Homeoffice in der Pandemie begünstigte die Verbreitung von Malware.
Das Hauptangriffsziel für Cyber-Kriminelle bleibt weiterhin das E-Mail-Postfach ahnungsloser Nutzer oder Unternehmen. Der IT-Security-Anbieter Trend Micro hat allein im ersten Halbjahr 2021 fast 41 ... mehr lesen  
Fast vier Jahre nachdem der Darknet-Marktplatz AlphaBay abgeschaltet wurde, klagt das FBI auch jetzt noch Leute wegen krimineller Aktivitäten im Zusammenhang mit der illegalen Darknet-Plattform an. Nun wurde von der US-Börsenaufsichtsbehörde SEC und dem US-Justizministerium Anklage gegen den 30jährigen Griechen Apostolos Trovias aka «The Bull» erhoben. mehr lesen  
Viele Funktionen können zentral gesteuert werden. Warum? Weil's geht.
eGadgets Smart Home: Bequeme Steuerung der ganzen Wohnung Smart Home Technologien bieten Ihnen eine ...
Domain Namen registrieren
Domain Name Registration
Zur Domain Registration erhalten Sie: Weiterleitung auf bestehende Website, E-Mail Weiterleitung, Online Administration, freundlichen Support per Telefon oder E-Mail ...
Domainsuche starten:


 
Stellenmarkt.ch
Der Remoteserver hat einen Fehler zurückgegeben: (500) Interner Serverfehler.
Source: http://www.news.ch/ajax/top5.aspx?ID=0&col=COL_3_1
Kreditrechner
Wunschkredit in CHF
wetter.ch
Heute Di Mi
Zürich 0°C 3°C Schneeregenschauerleicht bewölkt, ueberwiegend sonnig wolkig, wenig Schnee starker Schneeregen
Basel 1°C 4°C Schneeregenschauerleicht bewölkt, ueberwiegend sonnig Schneeregenschauer starker Schneeregen
St. Gallen -1°C 1°C wechselnd bewölktleicht bewölkt, ueberwiegend sonnig wolkig, wenig Schnee starker Schneeregen
Bern 0°C 2°C wolkig, wenig Schneeleicht bewölkt, ueberwiegend sonnig wolkig, wenig Schnee starker Schneeregen
Luzern 0°C 3°C wolkig, wenig Schneeleicht bewölkt, ueberwiegend sonnig wolkig, wenig Schnee starker Schneeregen
Genf 0°C 4°C Schneeregenschauerleicht bewölkt, ueberwiegend sonnig Schneeregenschauer trüb und nass
Lugano 1°C 8°C sonnigleicht bewölkt, ueberwiegend sonnig recht sonnig starker Schneeregen
mehr Wetter von über 8 Millionen Orten