
Komplexes Spionage-Tool in neuem Gewand + Der russischsprachige Bedrohungsakteur ,Turla‘ hat sein Portfolio an Bedrohungswerkzeugen umfassend modifiziert, wie Kaspersky-Forscher jetzt herausfanden [1].
Die Gruppe erweiterte ihre bekannte JavaScript-KopiLuwak-Malware um einen neuen Dropper [2] namens ,Topinambour‘, der von den Cybersecurity-Experten in zwei ähnlichen Versionen und in anderen Sprachen identifiziert wurde. Die Malware wird jetzt unter anderem über infizierte Software-Installationspakete zur Umgehung von Internetzensur verbreitet. Die Sicherheitsexperten glauben, dass diese Maßnahmen darauf abzielen, das Erkennungsrisiko ihrer Schadprogramme zu minimieren und die Auswahl idealer Zielopfer zu präzisieren. Topinambour wurde Anfang 2019 bei einer Kompromittierungsaktion gegen Regierungsstellen entdeckt.
Bei Turla handelt es sich um einen bekannten russischsprachigen Bedrohungsakteur, der sich auf Cyberspionageaktivitäten gegen staatliche und diplomatische Ziele spezialisiert hat. Die Gruppe gilt als äußerst innovativ und wurde durch ihre charakteristische KopiLuwak-Malware – erstmals Ende 2016 beobachtet [3] – bekannt. In diesem Jahr entdeckten die Kaspersky-Forscher neue – von Turla entwickelte – Tools und Techniken, mit denen der Tarnungsgrad ihrer Malware erhöht und infolgedessen die Erkennungswahrscheinlichkeit minimiert wird.
Topinambour (benannt nach dem Gemüse Topinambur) ist eine neue, von Turla verwendete .NET-Datei‘, mit denen das JavaScript KopiLuwak mittels infizierter Installationspakete für legitime Softwareprogramme (etwa VPNs zur Umgehung von Internetzensur) zu streuen.
Cyberkriminelle reduzieren Erkennungsrisiko
KopiLuwak wurde zum Zwecke der Cyberspionage konzipiert und Turlas neu entwickelter Infektionsprozess beinhaltet Funktionalitäten, die der Malware helfen, eine Erkennung zu vermeiden. So verfügt etwa die Command-and-Control-Infrastruktur über IPs, die gewöhnliche LAN-Adressen imitieren. Darüber hinaus agiert die Malware fast vollständig „fileless“. Die letzte Phase des Infektionsprozesses, bei der ein verschlüsselter Trojaner die Fernverwaltung übernimmt, ist komplett in die Registry des Computers eingebettet. Die Malware kann, sobald sie bereit ist, auf diese zugreifen.
Die beiden neu entdeckten KopiLuwak-Versionen: der .NET-RocketMan‘-Trojaner und der ,PowerShell-MiamiBeach‘-Trojaner sind ebenfalls für Cyberspionage konzipiert. Die Kaspersky-Forscher sind der Meinung, dass diese Varianten gegen Ziele mit installierter Sicherheitssoftware eingesetzt werden, die in der Lage ist, KopiLuwak-Trojaner zu erkennen. Nach erfolgreicher Installation sind alle drei Versionen in der Lage:
• Die individuellen Spezifika (Fingerprint targets) infizierter Zielrechner umfassend zu analysieren;
• Gespeicherte Informationen über System- und Netzwerkadapter zu sammeln;
• Daten zu stehlen;
• Zusätzliche Malware herunter zu laden und auszuführen.
Der Typ MiamiBeach ist darüber hinaus fähig, Screenshots zu machen.
„In diesem Jahr zeigt sich Turla mit überarbeitetem Toolset an Schadprogrammen und mit mit einer Reihe neuer Funktionen, die eine Erkennung durch Sicherheitslösungen und Forscher erschweren. Dazu gehören eine Reduzierung des digitalen Fingerabdrucks der Malware und zwei neue, nach ähnlichem Design konzipierte Versionen der bekannten KopiLuwak-Malware“, betont Kurt Baumgartner, leitender Sicherheitsforscher bei Kaspersky. „Der Missbrauch von Installationspaketen für VPN-Software, die Internetzensur umgehen können, deutet darauf hin, dass sich die Angreifer klar definierte Cyberspionageziele für diese Tools gesetzt haben. Die kontinuierliche Weiterentwicklung des Turla-Portfolios unterstreicht die Notwendigkeit, Threat Intelligence-Lösungen und geeignete Sicherheitssoftware einzusetzen, die vor den neuesten Tools und Techniken von APTs (Advanced Persistence Threats) schützen. Beispielsweise würde ein Endpunktschutz und die Überprüfung von Datei-Hashes nach dem Herunterladen von Installationssoftware helfen, um sich vor Bedrohungen wie Topinambour entsprechend zu schützen.“
Kaspersky-Tipps für mehr Sicherheit vor komplexen Gefahren
Um das Risiko zu verringern, Opfer komplexer Cyberspionageoperationen zu werden, empfiehlt Kaspersky folgende Maßnahmen:
• IT-Security-Schulungen für Unternehmensmitarbeiter, um das Sicherheitsbewusstsein zu stärken und potenziell schädliche Anwendungen oder Dateien zu erkennen und zu vermeiden [4]. So sollten Mitarbeiter beispielsweise keine Anwendungen oder Programme aus nicht vertrauenswürdigen oder unbekannten Quellen herunterladen und starten.
• Implementierung einer EDR-Lösung wie Kaspersky Endpoint Detection and Response [5] zur Erkennung, Untersuchung und rechtzeitigen Behebung von Vorfällen auf Endpoint-Ebene.
• Integration einer unternehmensweiten Sicherheitslösung, die komplexe Bedrohungen auf Netzwerkebene frühzeitig erkennt – etwa die Kaspersky Anti Targeted Attack Platform [6].
• Permanenter Zugang des Security Operation Center (SOC) auf aktuelle Bedrohungsinformationen, um über die neuen und aufkommenden Tools, Techniken und Taktiken von Cyberkriminellen auf dem Laufenden zu bleiben.
Den vollständigen Kaspersky-Bericht finden Sie unter securelist.com/turla-renews-its-arsenal-with-topinambour/91687/
[1] securelist.com/turla-renews-its-arsenal-with-topinambour/91687/
[2] https://de.wikipedia.org/wiki/Dropper
[3]
securelist.com/kopiluwak-a-new-javascript-payload-from-turla/77429/
[4] https://www.kaspersky.de/enterprise-security/security-awareness
[5]
https://www.kaspersky.de/enterprise-security/endpoint-detection-response-edr
[6]
https://www.kaspersky.de/enterprise-security/anti-targeted-attack-platform
Nützliche Links:
• Informationen über Turla:
securelist.com/kopiluwak-a-new-javascript-payload-from-turla/77429/
Fachartikel

Forscher entdecken universellen Trick zur Umgehung von Sicherheitsvorgaben bei KI-Chatbots

Phishing-Angriffe über OAuth: Russische Hacker zielen auf Microsoft 365 ab

Ransomware-Banden setzen auf professionelle Geschäftsmodelle

Zehn Dinge, die Sie gestern hätten tun müssen, um die NIS2-Vorschriften einzuhalten

Pentera API-Sicherheitsautomatisierung: Erweiterte Anwendungsfälle für Cybersicherheit
Studien

DefTech-Startups: Deutschland kann sich derzeit kaum verteidigen

Gartner-Umfrage: 85 % der CEOs geben an, dass Cybersicherheit für das Unternehmenswachstum entscheidend ist

Studie: Mehrheit der beliebten Chrome-Erweiterungen mit riskanten Berechtigungen

Kubernetes etabliert sich in der Wirtschaft – Neue Studie liefert überraschende Details

Studie zu Cyberangriffen auf Versorgungsunternehmen
Whitepaper

Internet unter Beschuss: Über 1.000 bösartige Domains pro Tag

Google warnt vor zunehmender Raffinesse bei Cyberangriffen: Angreifer nutzen verstärkt Zero-Day-Exploits zur Kompromittierung von Systemen

FBI: USA verlieren 2024 Rekordbetrag von 16,6 Milliarden US-Dollar durch Cyberkriminalität

EMEA-Region im Fokus: Systemangriffe laut Verizon-Report 2025 verdoppelt

IBM X-Force Threat Index 2025: Groß angelegter Diebstahl von Zugangsdaten eskaliert, Angreifer wenden sich heimtückischeren Taktiken zu
Hamsterrad-Rebell

Cybersicherheit im Mittelstand: Kostenfreie Hilfe für Unternehmen

Anmeldeinformationen und credential-basierte Angriffe

Vermeiden Sie, dass unbekannte Apps unnötige Gefahren für Ihre Organisation verursachen

Data Security Posture Management – Warum ist DSPM wichtig?
