Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.
APT39 wurde geschaffen, um frühere Cyber-Aktivitäten und methodische Vorgehensweisen dieses Akteurs zu bündeln. Die Aktivitäten orientieren sich weitgehend an der Vorgehensweise einer als „Chafer“ bereits bekannten Gruppe. Durch unterschiedliche Vorgehensweisen, wie Organisationen Cyber-Aktivitäten verfolgen, gibt es jedoch Abweichungen in der öffentlichen Berichterstattung über Chafer. APT39 nutzt in erster Linie die Hintertüren SEAWEED und CACHEMONEY sowie eine spezielle Variante der POWBAT-Hintertür. Während der Zielbereich von APT39 global ist, konzentrieren sich die Aktivitäten auf den Mittleren Osten. APT39 hat den Telekommunikationssektor im Fokus, mit einer zusätzlichen Ausrichtung auf die Reisebranche und IT-Unternehmen, die diese Firmen unterstützen. Weiterhin zielt man auf die Hightech-Industrie ab. Die von APT39 anvisierten Länder und Branchen sind in Abbildung 1 dargestellt.
Operative Zielsetzung
Der Fokus von APT39 auf die Telekommunikations- und Reisebranche legt drei Intentionen nahe: Die Absicht, Überwachungs- und Verfolgungsoperationen gegen einzelne Personen durchzuführen, die Sammlung von proprietären und Kundendaten für kommerzielle oder nationale strategische Zwecke sowie die Schaffung zusätzlicher Zugangspunkte und Vektoren für zukünftige Kampagnen. Das Anvisieren von Regierungsstellen suggeriert eine weitere Absicht, geopolitische Daten zur Entscheidungsfindung auf nationalstaatlicher Ebene zu sammeln. Das Targeting von Daten unterstützt die Ansicht, dass die Hauptaufgabe von APT39 darin besteht, wichtige Ziele zu verfolgen oder zu überwachen, persönliche Informationen, einschließlich Reiserouten, zu sammeln und Kundendaten von Telekommunikationsunternehmen zu erlangen.
Iran-Nexus Indikatoren
FireEye geht vorläufig davon aus, dass APT39-Operationen den nationalen Interessen des Irans dienen. Diese Annahme basiert auf Mustern im regionalen Targeting auf den Mittleren Osten, Infrastruktur, Timing und Gemeinsamkeiten mit APT34, eine Gruppe die lose im Zusammenhang mit Aktivitäten steht, die öffentlich als „OilRig“ bekannt sind. Zwar haben APT39 und APT34 Gemeinsamkeiten wie die Methoden zur Malware-Distribution, Nutzung der Backdoor POWBAT, Namensgebung in der Infrastruktur und Überlappung in ihren Zielen, doch aufgrund der Nutzung einer anderen POWBAT-Variante geht FireEye bei APT39 von einer anderen Gruppe als APT34 aus. Es ist möglich, dass diese Gruppen zusammenarbeiten oder eventuell auf gemeinsame Ressourcen zurückgreifen.
Angriffszyklen
APT39 nutzt eine Vielfalt eigens erstellter und öffentlich zugänglicher Malware und Tools in allen Phasen des Angriffszyklus.
Initialer Angriff: Für den ersten Angriff beobachtete FireEye Intelligence die Nutzung von APT39 Spear Phishing-E-Mails mit bösartigen Anhängen und/oder Hyperlinks, die typischerweise zu einer POWBAT-Infektion führen. APT39 registriert und nutzt häufig Domains, die sich als legitime Webservices und Organisationen ausgeben, die für das beabsichtigte Ziel relevant sind. Darüber hinaus hat diese Gruppe routinemäßig anfällige Webserver von Zielunternehmen identifiziert und ausgenutzt, um Web-Shells wie ANTAK und ASPXSPY zu installieren, und gestohlene Anmeldeinformationen verwendet, um externe Outlook Web Access (OWA)-Ressourcen zu kompromittieren.
Festsetzen, Zugriffsrechte erlangen und innere Aufklärung: Nach erfolgreicher Infiltration nutzt APT39 maßgeschneiderte Hintertüren wie SEAWEED, CACHEMONEY und eine einzigartige Variante von POWBAT, um in einer Zielumgebung Fuß zu fassen. Bei der Erlangung von Zugriffsrechten wurden frei verfügbare Tools wie Mimikatz und Ncrack beobachtet, zusätzlich zu legitimen Tools wie Windows Credential Editor und ProcDump. Die interne Aufklärung erfolgte dann mit Hilfe von benutzerdefinierten Skripten und sowohl frei verfügbaren als auch angepassten Tools wie dem Portscanner BLUETORCH.
Ausbreitung, Präsenz aufrechterhalten und Mission abschließen: APT39 gelingt die Ausbreitung durch zahlreiche Tools wie Remote Desktop Protocol (RDP), Secure Shell (SSH), PsExec, RemCom und xCmdSvc. Anpassbare Tools wie REDTRIP, PINKTRIP und BLUETRIP wurden zusätzlich genutzt um SOCKS5-Proxys zwischen infizierten Hosts zu erstellen. Zusätzlich zur Ausbreitung nutzt APT39 das Protokoll RDP um in der angegriffenen Umgebung eine Präsenz aufrecht zu erhalten. Zum Abschluss der Mission archiviert APT39 die gestohlenen Daten in der Regel mit Kompressionstools wie WinRAR oder 7-Zip.
Es gibt Anzeichen, dass APT39 eine Präferenz aufweist, durch operative Sicherheit die Bedrohungserkennungen in Netzwerken zu umgehen. In einem Fall wurde eine Version von Mimikatz modifiziert, um dem Virenschutz auszuweichen, und in einem anderen Fall hat APT39 nach Erlangen des ersten Zugriffs das Abgreifen der Zugangsdaten außerhalb der kompromittierten Umgebung durchgeführt, um so einer Erkennung auszuweichen.
Ausblick
FireEye ist der Ansicht, dass das maßgebliche Targeting der Telekommunikations- und Reisebranchen die Intention verfolgt, persönliche- und Kundendaten von „interessanten und wichtigen Zielen“ für Überwachungszwecke zu sammeln und zukünftige Operationen zu ermöglichen. Telekommunikationsfirmen sind attraktive Ziele, da sie große Mengen an persönlichen- und Kundendaten speichern, Zugriff zu kritischen Infrastrukturen zur Kommunikation gewähren, und zu einer großen Auswahl potenzieller Ziele in verschiedenen Märkten führen können. Das Targeting von APT39 ist nicht nur eine Bedrohung für die uns bekannten Branchen, sondern erstreckt sich auf die Kundschaft jener Organisationen, zu der eine Vielfalt an Sektoren und Einzelpersonen auf globaler Ebene gehören. Die Aktivitäten von APT39 zeigen die potenzielle, weltweit operierende Reichweite des Irans auf, und wie Cyber-Operationen als kostengünstiges und effektives Werkzeug dienen, um Schlüsseldaten über Bedrohungen iranischer, nationaler Sicherheit zu sammeln und einen Vorteil gegen regionale und globale Rivalen zu erlangen.
#Netzpalaver #FireEye
