Cyberwar

Cyberspionage Gruppe Sofacy erweitert Aktivitäten in Richtung Fernost

Cyberspionage Gruppe Sofacy erweitert Aktivitäten in Richtung Fernost

APT28/Fancy Bear fokusiert sich auf Asien

Die Security Experten von Kaspersky Lab beobachten in jüngster Zeit eine Verlagerung des Operationsgebiets von Sofacy . Der russischsprachige Bedrohungsakteur, der auch unter den Namen APT28 oder Fancy Bear bekannt ist, nimmt neben Zielen im Kontext der NATO jetzt weitere Ziele in Fernost ins Visier – mit starkem Interesse an diplomatischen, militärischen und Verteidigungs-Einrichtungen. Die Kaspersky-Experten beobachten dabei gelegentliche Übereinstimmungen mit den Zielen anderer Bedrohungsakteure, etwa mit der russischsprachigen Turla- und der chinesischsprachigen Danti-Gruppe. Besonders auffällig waren allerdings Sofacy-Backdoor-Programme, die sich auf einem Server befanden, der bereits vom englischsprachigen Bedrohungsakteur Lamberts kompromittiert war. Der Server gehörte zu einem chinesischen Mischkonzern für Rüstung und Luftfahrt.

Sofacy ist eine sehr aktive Cyberspionagegruppe, deren Aktivitäten Kaspersky Lab bereits seit vielen Jahren beobachtet. Erst im Februar 2018 veröffentlichte Kaspersky Lab eine Zusammenstellung der Sofacy-Aktivitäten im Jahr 2017. Sie zeigt die allmähliche Verlagerung weg von NATO-bezogenen Zielen in Richtung Naher Osten, Zentralasien und Fernost.

Sofacy operiert mit Spear-Phishing- und gelegentlich auch mit Wasserloch-Methoden. Zu den gestohlenen Informationen gehören Zugangsdaten, sensible Kommunikationsdaten und Dokumente. Die Gruppe wird verdächtigt, auch zerstörerische Payloads zu verbreiten.

Die Opfer von Sofacy wurden oftmals bereits von anderen Cyberspionagegruppen angegriffen

Neue Erkenntnisse zeigen nun, dass Sofacy nicht der einzige Akteur ist, der in den genannten Regionen aktiv ist. Dabei kam es auch zu Überschneidungen mit anderen Bedrohungsakteuren. So konkurrierte die zu Sofacy gehörende Zebrocy-Malware bereits mit dem russischsprachigen Mosquito Turla Cluster, oder seine SPLM Backdoor mit Angriffen der klassischen Turla-Gruppe und dem chinesischsprachigen Akteur Danti. Zu den von mehreren Akteuren attackierten Zielen gehörten staatliche Stellen sowie Organisationen aus Technik, Wissenschaft und Verteidigung in oder aus Zentralasien.

Die außergewöhnlichste Überlappung ist aber wahrscheinlich jene zwischen Sofacy und dem englischsprachigen Bedrohungsakteur, der hinter Lamberts steckt. Die Kaspersky-Experten stießen auf diese Verbindung, als sie Sofacy auf einem Server entdeckten, der bereits von der Grey-Lamberts-Malware befallen worden war. Der Server gehört zu einem chinesischen Mischkonzern, der im Bereich ziviler und militärischer Luftfahrttechnologie tätig ist.

Die Forschungsarbeiten zu diesem Fall laufen noch. Aktuell kann noch nicht ausgeschlossen werden, dass Sofacy einen neuen, bislang unentdeckten Exploit nutzt, dass Sofacy für den Malware-Download Kommunikationskanäle von Grey Lamberts gekapert hat, oder dass es sich bei den Sofacy-Hinweisen um falsche Flaggen (False Flag) handelt.

„Manchmal wird Sofacy als wild und ungestüm dargestellt. Wir sehen aber, dass die Gruppe auch pragmatisch, bedächtig und flexibel sein kann“, erklärt Kurt Baumgartner, Principal Security Researcher bei Kaspersky Lab. „Über die Sofacy-Aktivitäten in Asien wird wenig berichtet, doch ist es sicher nicht der einzige Bedrohungsakteur, der an dieser Region Interesse gefunden hat – sogar an ein und denselben Zielen. Die Bedrohungslandschaft wird immer komplexer, und so werden wir noch weitere Beispiele für die Wahl identischer Ziele sehen. Das würde erklären, warum viele Bedrohungsakteure zunächst die Präsenz anderer Eindringlinge prüfen, bevor sie mit ihren Angriffen vollständig loslegen.“

Die Kaspersky-Experten haben auch herausgefunden, dass Sofacy jetzt getrennte Abteilungen für jedes seiner wichtigsten Tools unterhält. Gebündelt werden dabei das Coding, die Entwicklung und das Targeting von SPLM (auch bekannt unter CHOPSTICK und Xagent), von GAMEFISH und von Zebrocy. Dabei ist SPLM das bevorzugte und am häufigsten verwendete Second Stage Tool, während Zebrocy für Massenangriffe eingesetzt wird. Die Security-Experten gehen davon aus, dass Sofacy zu Beginn des Jahres 2018 SPLM bei Großunternehmen der Luftverteidigung in China eingesetzt hat, während Zebrocy größere Verbreitung in Armenien, der Türkei, in Kasachstan, Tadschikistan, Afghanistan, der Mongolei, in China und in Japan fand.