-» McAfee: Angriffe auf Südkorea waren Teil einer Kampagne

SÜDKOREA

Seitens McAfee, ein US-amerikanischer Hersteller von Antivirus- und Computersicherheitssoftware, hatte man kürzlich einen Bericht ("Dissecting Operation Troy: Cyberespionage in South Korea") bezgl. jahrelanger Cyberangriffe auf Südkorea veröffentlicht. Darin kam man zu dem Schluss, dass zwischen den Jahren 2009 und bis in 2013 entsprechende Attacken einer "langfristigen Spionagekampagne" zuzuordnen wären.

Die Kampagne hätte demnach vor allem auf den Diebstahl sensibler militärischer Daten gezielt. Jene Kampagne bezog dabei wohl auch die äußerst massive Angriffswelle im März 2013 auf Südkorea mit ein. Jene war unter dem Titel "Dark Seoul" bekanntgeworden. Laut offiziellen Darstellungen wurden dadurch über 30.000 Systeme "beeinträchtigt", welche Regierungsbehörden, Banken und TV-Sendern zuzuordnen sind.

Dem Bericht zufolge konnte man übereinstimmende Infektionswege, Dateibezeichnungen, Programmpfade und Verschleierungsmethoden feststellen. Daraus hatte das Sicherheitsteam von McAfee geschlossen, dass die angeblichen Gruppierungen "New Romanic Cyber Army Team" und "Whois Hacking Team" nur als Vorwand galten. In Wirklichkeit soll es sich um eine "einzelne [hinter gelagerte] Struktur" gehandelt haben.

Deren Aufgabe/direkte Zielsetzung konnte wohl aber noch nicht "eindeutig" identifiziert werden. Man hatte etwa auch die Malware 3Rat unter die Lupe genommen. Diese war demnach dazu in der Lage, befallene Systeme automatisch mit militärischen Schlüsselbegriffen in englischer und koreanischer Sprache zu durchforsten - um etwa entsprechende Dokumente zu finden. Nach solchen Vorgängen hätte die Schadsoftware die gefundenen Dateien verschlüsselt und auf externe Server übertragen.

In dem Bericht heißt es, dass sich die Fähigkeit besonders stark auswirke, sofern dabei militärische Netzwerke gelöscht werden. Dies schien wohl teils der Fall gewesen zu sein, was etwa Dark Seoul betrifft. Die Schadsoftware 3Rat hatte sich Zugriff verschafft und anschließend den Master Boot Record (MBR) gelöscht.

Die Angriffe wurden zu einer wohl vorgelagerten Struktur zurückverfolgt, welche unter der Bezeichnung APT zu sehen ist. Dies beschreibt eine "Advanced Persistent Threat" (zu deutsch "fortgeschrittene, andauernde Bedrohung"). Ein Begriff welcher im Bereich der Cyber Bedrohung (Cyber-Attacke) Verwendung findet. Er beschreibt komplexe, zielgerichtete und effektive Angriffstechniken auf kritische IT-Infrastrukturen oder vertrauliche Daten von Behörden, Groß- und Mittelstandsunternehmen aller Branchen, welche aufgrund ihres Technologievorsprungs potenzielle Opfer darstellen. Dazu könnten etwa auch Unterfangen wie Operation Aurora, Operation Shady RAT, Stuxnet gezählt werden.

Beobachter gehen bei der Dark Seoul Attacke davon aus, dass hier ebenfalls staatliche Strukturen mitgemischt haben könnten, was auch die für die Angriffswelle genutzten ausgelagerten Ressourcen und weitere Aspekte zeigen würden. Unter anderem McAfee hatte festgestellt, dass ein wohl mehrfach kaskadiertes, wohl aber ineinandergreifendes, ausgeklügeltes und verschlüsseltes Netzwerk entwickelt worden war - um abgegraste Daten über jene Ebenen zum „Zielort“ zu transportieren.