Die Cyberlandschaft ist derzeit ein Schmelztiegel aus Bedrohungen und Herausforderungen. Inmitten dieser komplexen Umgebung hat eine APT-Gruppe, die unter den Namen „Librarian Ghouls“, „Rare Werewolf“ und „Rezet“ bekannt ist, die Aufmerksamkeit von Sicherheitsexperten auf sich gezogen. Diese Gruppe führt eine umfassende Malware-Kampagne durch und hat sich insbesondere Organisationen in Russland und den GUS-Staaten zum Ziel gesetzt. Bis Mai 2025 werden sie mit ihren Angriffen weitermachen, und es sieht nicht so aus, als ob sie aufhören wollen. Ihre Methoden sind raffiniert und oft schwer zu durchschauen, da sie legitime Drittanbieter-Software nutzen, um ihre schädlichen Absichten zu tarnen.

Ein besonders perfider Trick, den sie anwenden, sind Phishing-Kampagnen, die sich als legitime Geschäftskommunikation ausgeben. Die Angreifer verschicken passwortgeschützte RAR-Archive, oft als angebliche Zahlungsaufforderungen getarnt. Wer die E-Mail öffnet, hat das Nachsehen: Beim Entpacken dieser Archive wird eine portable Version von AnyDesk installiert, die dann für einen unbemerkten Zugriff konfiguriert wird. Um im System zu bleiben, wird eine geplante Aufgabe angelegt – ganz im Stil von „Auto update“. Die Angreifer sind zudem sehr gründlich und löschen alle Spuren, die auf ihre Aktivitäten hindeuten könnten.

Die Gefahren der Fernwartungssoftware

Die Sicherheitsfirma Unit 42 hat sogar eine zweite Kampagne festgestellt, die Phishing-E-Mails mit betrügerischen Microsoft-Teams-Anrufen kombiniert. Hier wird der Mitarbeiter dazu gebracht, die Bildschirmsteuerung freizugeben – und schon ist der Weg für die Installation von Fernwartungs-Tools wie HopToDesk und AnyDesk geebnet. Diese Software wird dann als Sprungbrett genutzt, um einen schädlichen MSI-Loader zu installieren, der die Malware EtherRAT in Gang setzt. EtherRAT ist besonders tückisch, denn es nutzt Ethereum-Smart-Contracts für seine Kommando- und Kontrollinfrastruktur. Das macht es herkömmlichen Abwehrmaßnahmen schwer, die Oberhand zu gewinnen.

Die Vorliebe der Angreifer, legitime Software wie AnyDesk zu verwenden, stellt eine große Herausforderung für die Sicherheit in Unternehmen dar. Diese Art von Missbrauch ist nicht nur lästig, sondern kann auch schwerwiegende Folgen für die betroffenen Organisationen haben. Die Gruppe Cavern Manticore, die mit dem Iran in Verbindung gebracht wird, hat ähnliche Methoden angewandt, um auf israelische Regierungs- und IT-Organisationen zuzugreifen.

Ein Blick auf die Hintergründe

Die Cyberangriffe auf strategische Ziele, insbesondere in Deutschland, werden zunehmend von langfristig operierenden Gruppen durchgeführt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verfolgt diese Bedrohungen genau und dokumentiert die Aktivitäten diverser Angreifergruppen. Die Liste umfasst nicht nur die Namen und Alias-Bezeichnungen, sondern auch die betroffenen Sektoren und besondere Eigenschaften, die die Erkennung erschweren könnten. So zeigt sich, dass die APT-Gruppe „Rezet“ (Rare Werewolf / Librarian Ghouls) gezielt Sektoren wie Auswärtige Angelegenheiten, Verteidigung und öffentliche Sicherheit ins Visier nimmt.

Werbung
Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Diese Entwicklungen sind alarmierend, denn sie verdeutlichen, dass die Bedrohungen in der Cyberwelt nicht stagnieren. Die Angriffe, die sich gegen industrielle Unternehmen und Bildungseinrichtungen richten, sind oft mehrsprachig und nutzen ausgeklügelte Täuschungsmethoden, um möglichst viele Opfer zu erreichen. Das BSI warnt, dass solche Angriffe nicht nur in Deutschland, sondern auch im benachbarten EU-Ausland zunehmen. Die Cyberlandschaft ist ein dynamisches Feld, in dem sich die Strategien der Angreifer ständig weiterentwickeln.