Sicherheitsforscher von Eset haben Angriffe einer Hackergruppe auf Fintech-Unternehmen in der EU und Grossbritannien
analysiert. Die APT-Gruppe greift offenbar schon seit 2018 Fintechs mit ihrer Malware Evilnum an. Bisher war laut Eset aber kaum etwas über die Gruppe und ihre Vorgehensweise bekannt. Klar ist heute, dass sich die Tools und Infrastruktur der Hacker deutlich weiterentwickelt haben, so
Eset. Sie setzen eigens entwickelte Malware und eingekauft Tools ein, die sie von Golden Chickens erhalten, einem Anbieter von Malware-as-a-Service (MaaS).
Angegriffen werden vornehmlich Fintech-Firmen, die Plattformen und Tools für den Online-Handel von Aktien anbieten. Die Hacker haben es auf sensible Unternehmens- und Kundendaten abgesehen, wie Tabellenkalkulationen und Dokumente mit Kundendaten, Investitionen oder Handelsgeschäften, interne Präsentationen, Softwarelizenzen und Zugangsdaten für Handels-Software oder -Plattformen, Cookies und Session-Informationen von Browsern, E-Mail-Zugangsdaten sowie Kreditkarteninformationen, Adressnachweise und Ausweisdokumente von Kunden.
Mitarbeiter der angegriffenen Unternehmen werden mittels Spearphishing-E-Mails kontaktiert. Diese richten sich an Support-Mitarbeiter und Kundenbetreuer, die regelmässig Ausweispapiere oder Kreditkarten von ihren Kunden erhalten. Im Anhang der E-Mails befindet sich ein Link zu einer ZIP-Datei, die auf Google Drive gespeichert ist. Darin befinden sich mehrere Verknüpfungen, die eine präparierte Javascript-Komponente ausführen, die wiederum die Malware installiert. Gleichzeitig werden echt wirkende Dokumente zu Täuschung angezeigt, wie etwa Fotos von Kreditkarten, Ausweisdokumenten oder Rechnungen mit Adressnachweis.
Die Hacker können direkt Befehle an die Evilnum-Malware senden, beispielsweise Befehle zum Sammeln und Senden von Passwörtern, zum Erstellen von Screenshots, zum Stoppen oder zur Selbstlöschung der Malware sowie zum Sammeln und Senden von Cookies an einen Server der Angreifer.
(luc)
