Slingshot schon seit Jahren aktiv
Der Spion, der aus dem Router kam
von
Jens
Stark - 12.03.2018
Foto: xiaoliangge / Fotolia
Der IT-Security-Spezialist Kaspersky Lab hat eine Cyberspionage-Malware entdeckt, die bereits seit 2012 Router infiziert. Die Malware "Slingshot" sei in der Lage, kompromittierte Geräte vollständig zu übernehmen.
Vor einer hochentwickelten Form der Cyberspionage, die mindestens seit 2012 im Nahen Osten sowie in Afrika ihr Unwesen treibt, warnt derzeit der IT-Security-Spezialist Kaspersky Lab. Ausgangspunkt ist die Malware "Slingshot", die ihre Opfer über kompromittierte Router attackiert und infiziert.
Slingshot ist in der Lage, im Kernel-Modus zu laufen und erhält somit vollständige Kontrolle über infizierte Geräte. Laut den Kaspersky-Experten nutzt der Bedrohungsakteur einige einzigartige Techniken. So werden Informationen heimlich und effektiv ausgespäht, indem der entsprechende Netzwerkverkehr in markierten Datenpaketen versteckt und ohne Spuren zu hinterlassen wieder aus dem regulären Datenstrom ausgelesen werden kann.
Die Security-Experten kamen der Operation Slingshot über den Fund eines verdächtigen Keylogger-Programms auf die Spur. Sie erzeugten eine Signatur zur Verhaltenserkennung, um eine weitere Existenz des Codes zu überprüfen. So konnte ein infizierter Rechner ausgemacht werden, der in einem Systemordner eine verdächtige Datei mit dem Namen "scesrv.dll" aufwies. Die weitere Untersuchung dieser Datei ergab, dass schädlicher Code in dieses Modul eingebettet war. Da die Bibliothek von "services.exe", einem Prozess mit Systemrechten, geladen wird, verfügt auch sie über die entsprechenden Berechtigungen.
Das Resultat: Die Experten waren auf einen hochentwickelten Eindringling gestoßen, der seinen Weg in das Innerste des Rechners gefunden hatte.
Ungewöhnlicher Angriffsweg
Slingshot ist vermutlich schon seit 2012 aktiv.
(Quelle: Kaspersky )
Die hinter Slingshot stehende Gruppe hatte anscheinend die Router mit einer schädlichen Dynamic Link Library (DLL) kompromittiert, die zum Download anderer schädlicher Komponenten diente. Loggt sich ein Administrator zur Konfiguration des Routers ein, lädt dessen Management-Software schädliche Module auf den Administratorrechner und bringt sie dort zur Ausführung. Der ursprüngliche Infektionsweg der Router selbst bleibt bislang allerdings unklar.
Nach der Infektion lädt Slingshot mehrere Module auf die Geräte seiner Opfer. Dazu gehören auch "Cahnadr" und "GollumApp". Die beiden Module sind miteinander verbunden und unterstützen sich gegenseitig bei der Sammlung von Informationen und deren Exfiltration sowie der möglichst langen Überdauerung auf den Rechnern.