Russische Hackergruppe hinter SolarWinds-Angriff, taucht wieder auf

Die Warnung kommt von Microsoft. Nobelium, die Gruppe, die für die Angriffe auf die Kunden von SolarWinds verantwortlich ist, führte diese Woche einen weiteren Phishing-Angriff durch, diesmal gegen US-amerikanische und ausländische Regierungsbehörden, Nichtregierungsorganisationen und Denkfabriken unter Verwendung eines E-Mail-Marketing-Kontos der US Agency for International Development (USAID).

Die Reihe von Angriffen zielte auf etwa 3.000 E-Mail-Konten in mehr als 150 verschiedenen Organisationen in 24 Ländern ab, die meisten davon in den USA. Microsoft zufolge scheinen diese Angriffe die Bestrebungen der Hackergruppe fortzusetzen, Regierungsbehörden ins Visier zu nehmen, um geheimdienstliche Informationen zu sammeln.

Die von Nobelium versendeten Phishing-E-Mails enthielten einen Link, der, sobald er angeklickt wurde, eine Datei zur Verbreitung einer Backdoor mit dem Namen NativeZone ausführte. Über diesen Zugang wurden Aktionen wie Datendiebstahl und die Kontaminierung anderer im Netzwerk ausgeführt. Laut Microsoft unterscheidet sich dieser Angriff stark von den Nobelium-Operationen, die zwischen September 2019 und Januar 2021 durchgeführt wurden. Weitere Details dazu sind in einem Blog des Microsoft Threat Intelligence Center (MSTIC) verfügbar.

Aus Sicht von Microsoft steht fest, dass die Nobelium-Gruppe das Ziel verfolgt, sich Zugang zu großen Technologieunternehmen zu verschaffen, deren Kunden zu infizieren und so das Vertrauen in das Technologie-System zu untergraben. Im Fall von SolarWinds hatten die Hacker Software-Updates ausgenutzt; jetzt greifen sie mit Massen-E-Mails humanitäre Organisationen und Menschenrechtsorganisationen an.

Microsoft gibt an, dass viele gezielte Angriffe automatisch blockiert worden seien. Da bei der Vorgehensweise von Nobelium ein hohes Volumen an E-Mails versendet wurde, wurden die meisten Nachrichten mit bösartigen Inhalten als Spam markiert. Außerdem weist Microsoft darauf hin, dass der Windows Defender in der Lage sei, die Malware dieses Angriffes zu blockieren. Das Unternehmen gibt jedoch auch im MSTIC Blog Empfehlungen zu Maßnahmen, um den Auswirkungen dieses Angriffs entgegenzuwirken.