Operation Groundbait: Cyber-Attacke im Ukraine Krieg

ESET entdeckte Cyber-Spionage-Kampagne Groundbait

Bereits in der Vergangenheit war die Ukraine das Ziel von Cyber-Attacken. So bei der Operation Potato Express, die hochrangige Ziele wie die Regierung, Militäreinrichtungen und eine der größten Nachrichtenagenturen im Visier hatte. Daneben gab es auch den Trojaner Black Energie, der die Ursache dafür war, dass hunderttausende ukrainische Haushalte keinen Strom mehr hatten.

Nun hat ESET mit Groundbait eine neue Cyber-Kampagne entdeckt, wie welivesecurity.com berichtete. Die Angriffe richten sich in diesem Fall hauptsächlich gegen separatistische Anti-Regierungsgruppen aus den selbsterklärten Volksrepubliken Donetsk und Luhansk. Daneben befinden sich aber offensichtlich auch noch andere Ziele wie Abgeordnete der ukrainischen Regierung, ukrainische Politiker und Journalisten im Visier der Kriminellen.

Was verbirgt sich hinter Groundbait?

Die ESET-Spezialisten hatten die Schadsoftware bereits vor 2008 im Visier. Die neuen Aktivitäten ordneten sie der  Malware-Familie Win32/Prikormka zu. Für gezielte Angriffe wird die Malware über Spear-Phishing-E-Mails verbreitet. Diese E-Mails hatten jeweils eine eigene Kampagnen-ID. Inhaltlich ging es in den Anhängen um die geopolitische Situation bzw. um den Donbass-Krieg, um gezielt Interesse zu wecken.

Wie es von den Experten heißt haben sie den Namen Groundbait (Fischköder) – die Übersetzung aus dem russischen Wort Prikormka (Прикормка) aufgrund einer unkonventionellen E-Mail-Kampagne gewählt. Der Anhang enthielt die Malware prikormka.exe und beinhaltete eine Preisliste für Fischköder, ein äußerst ungewöhnliches Thema in diesem Zusammenhang. In einem White Paper sind die  technischen Details der Malware ausführlich beschrieben, darunter die Groundbait Kampagne und technischen Details der Prikormka Malware. Indikatoren der Kompromittierung (IOC) können im White Paper oder auf github gefunden werden, um eine Infektion zu identifizieren.

Wer verbirgt sich hinter Groundbait?

Die ESET –Forscher gehen davon aus, dass die meisten der Angriffe ihren Ursprung in der Ukraine haben. Höchstwahrscheinlich gelten die Angriffe den Separatisten aus den selbsternannten Volksrepubliken Donetsk und Luhansk. Wie verlautet sind auch ukrainische Regierungsabgeordnete, Politiker und Journalisten ins Visier der Angreifer geraten. Dabei soll es sich möglicherweise aber lediglich um eine Verschleierungsstrategie handeln.