In der sich ständig entwickelnden Welt der Cyberkriminalität sind Ransomware-Gangs immer auf der Suche nach innovativen Wegen, um ihre Opfer zur Zahlung von Lösegeld zu zwingen. Die Ransomware-Gang ALPHV, auch bekannt als BlackCat, hat kürzlich eine neue Taktik eingeführt, um den Druck auf ihre Opfer zu erhöhen: die Leaking-API.

Laut Berichten von Bleepingcomputer.com, basierend auf Untersuchungen von VX-Underground, hat die ALPHV-Gang eine Leaking-API eingeführt, die es Dritten ermöglicht, von der Gang erbeutete Firmendaten zu veröffentlichen. Mit dieser API synchronisiert die Gang neu erbeutete Firmendaten automatisch und fast in Echtzeit mit ihrer Leaking-Website, wodurch die Daten schneller und weitflächiger verbreitet werden können.

E-Mail ist eine der ältesten und gleichzeitig am weitesten verbreiteten digitalen Kommunikationsformen. Sie bietet Nutzern einen hohen Komfort, birgt jedoch auch Risiken. Eines dieser Risiken ist die Möglichkeit, bösartige HTML-Dateien in E-Mails zu versenden. Nach Angaben der Online-Publikation CSO haben Sicherheitsexperten des Unternehmens Barracuda eine steigende Tendenz festgestellt, dass Cyberkriminelle zunehmend bösartige HTML-Dateien verwenden. Diese Art von Dateien macht nun 50% aller per E-Mail verschickten HTML-Anhänge aus und kann von Kriminellen zur Phishing-Attacke auf Login-Daten oder zum unsichtbaren Download von Malware missbraucht werden.

Im Folgenden werden wir dieses Thema daher genauer untersuchen und einige Maßnahmen erläutern, wie man sich vor dieser Art von Bedrohung schützen kann.

Was sind bösartige HTML-Dateien?

HTML (HyperText Markup Language) ist die Standardauszeichnungssprache, mit der Webseiten erstellt werden. Leider kann sie auch von Cyberkriminellen verwendet werden, um schädliche Inhalte in E-Mails zu integrieren. Diese bösartigen HTML-Dateien können verschiedene Funktionen haben, von der Einbettung schädlicher Skripte, die auf den Computer des Empfängers abzielen, bis hin zur Umleitung auf Phishing-Seiten, die darauf abzielen, persönliche Informationen zu stehlen.

Das Bundesamt für Verfassungsschutz (BfV) und der südkoreanische National Intelligence Service (NIS) haben vor Cyberangriffen durch die Bedrohungsakteure namens Kimsuky gewarnt. Die Angriffe nutzen Rogue-Browser-Erweiterungen, um Gmail-Posteingänge von Nutzern zu stehlen. Das Hauptziel der Angriffe sind Experten auf der Koreanischen Halbinsel und in Nordkorea. Kimsuky sammelt strategische Informationen zu geopolitischen Ereignissen und Verhandlungen, die die Interessen Nordkoreas betreffen.

Betroffen sind vor allem Unternehmen und Organisationen in den USA und Südkorea, insbesondere Einzelpersonen, die innerhalb der Regierung, des Militärs, der Fertigung, der Akademie und der Think-Tank-Organisationen tätig sind.

Kimsuky nutzt Chromium-basierte Browser-Erweiterungen für Cyber-Spionage-Zwecke. Es ist bekannt, dass diese Bedrohungsakteure Daten speziell aus der akademischen, Herstellungs- und nationalen Sicherheitsindustrie in Südkorea sammeln.

Die jüngsten Angriffe der Gruppe zeigen eine Ausweitung ihrer Cyberaktivitäten, um Android-Malware-Stämme wie FastFire, FastSpy, FastViewer und RambleOn zu umfassen.

Um sich vor diesen Bedrohungen zu schützen, können Unternehmen auf die Netzwerksicherheitslösungen von WatchGuard zurückgreifen. WatchGuard ist ein führendes Unternehmen in der Netzwerksicherheitsbranche und bietet fortschrittliche Bedrohungserkennung und -abwehr sowie eine integrierte Sicherheitsplattform, die Unternehmen hilft, sich gegen die zunehmende Bedrohung durch Cyberangriffe zu schützen. DIGITALWEHR als Watchguard Gold-Partner kann beratend zur Hilfe herangezogen werden. 

Es wird vermutet, dass Kimsuky auf den Google-Konten seiner Opfer bereits im Voraus durch Phishing-Taktiken erlangte Zugangsdaten verwendet, um sich in die Konten einzuloggen. Anschließend wird eine bösartige App auf den mit dem Konto verknüpften Geräten installiert.

Die Rogue-Erweiterungen nutzen die DevTools-API des Browsers, um Inhalte aus Gmail-Konten zu stehlen. Der Verdacht liegt nahe, dass die Apps, die FastFire und FastViewer enthalten, mithilfe eines Google-Play-Features namens „Interne Tests“ verteilt werden.

Die Warnung vor den Angriffen durch Kimsuky erfolgt zeitgleich mit der Verbindung des nordkoreanischen Advanced Persistent Threat (APT) Actors ScarCruft zu verschiedenen Angriffsvektoren, die verwendet werden, um PowerShell-basierte Backdoors auf kompromittierten Hosts bereitzustellen.