Eine ausgeklügelte Cyberangriffskampagne, die der Advanced Persistent Threat (APT)-Gruppe namens Librarian Ghouls (auch Rare Werewolf und Rezet) zugeschrieben wird, hat aktiv russische und GUS-Einheiten ins Visier genommen. Die Gruppe setzt legitime Drittanbieter-Software ein, um Fernzugriff herzustellen, Anmeldeinformationen zu stehlen und XMRig-Kryptowährungs-Miner zu installieren, was Hunderte von Industrieunternehmen und Ingenieurschulen betrifft.
Wichtige Erkenntnisse
-
Ausgeklügeltes Phishing: Librarian Ghouls setzt hochgradig überzeugende Phishing-E-Mails ein, die auf russischsprachige Ziele zugeschnitten sind.
-
Missbrauch legitimer Software: Ein prägendes Merkmal ist der umfangreiche Einsatz legitimer Drittanbieter-Tools, was die Erkennung und Zuordnung erschwert.
-
Verdeckte Operationen: Die geplanten Aufwach- und Abschaltzeiten sollen ihre Aktivitäten vor den Benutzern verbergen.
-
Doppeltes Ziel: Die Gruppe zielt sowohl auf Datendiebstahl (Anmeldeinformationen, Krypto-Wallets) als auch auf finanziellen Gewinn durch Kryptojacking ab.
-
Anhaltende Bedrohung: Die Kampagne bleibt aktiv, wobei Cybersicherheitsforscher eine kontinuierliche Verfeinerung von Taktiken und Tools beobachten.
Librarian Ghouls: Eine anhaltende Bedrohung
Rare Werewolf ist seit mindestens 2019 aktiv und konzentriert sich konsequent auf Organisationen in Russland und der Gemeinschaft Unabhängiger Staaten (GUS). Ihre Operationen, die bis Mai 2025 andauerten, zielen hauptsächlich auf Industrieunternehmen und Ingenieurschulen ab, wobei auch einige Opfer in Belarus und Kasachstan gemeldet wurden. Die Taktiken der Gruppe deuten auf eine mögliche hacktivistische Motivation hin, die sich durch ihre Abhängigkeit von leicht verfügbarer, legitimer Software anstelle von selbst entwickelter Malware auszeichnet.
Modus Operandi: Phishing und legitime Tools
Der anfängliche Infektionsvektor für Librarian Ghouls sind hochgradig zielgerichtete Phishing-E-Mails. Diese E-Mails, oft auf Russisch verfasst und mit russischsprachigen Dateinamen und Köder-Dokumenten versehen, sind als offizielle Mitteilungen oder Zahlungsaufträge getarnt. Sie enthalten passwortgeschützte Archive mit bösartigen ausführbaren Dateien. Sobald ein Opfer diese Dateien öffnet, wird eine komplexe Infektionskette initiiert:
-
Anfängliche Nutzlast: Ein Installationsprogramm, oft mit Smart Install Maker erstellt, installiert legitime Software wie 4t Tray Minimizer, um ihre Präsenz zu verschleiern.
-
Fernzugriff und Datenexfiltration: Zwischennutzlasten holen zusätzliche Tools von Remote-Servern ab, darunter:
-
AnyDesk: Zur Fernsteuerung kompromittierter Maschinen.
-
Blat: Ein Dienstprogramm zum Senden gestohlener Daten über SMTP.
-
Defender Control: Zum Deaktivieren von Windows Defender.
-
Angepasstes WinRAR 3.80: Zur Datenkomprimierung.
-
WebBrowserPassView: Zum Stehlen von im Browser gespeicherten Anmeldeinformationen.
-
Mipko Personal Monitor: Zur Überwachung von Opfern, einschließlich Screenshots und Tastatureingaben.
-
ngrok: Für sichere Netzwerkdienstverbindungen.
-
NirCmd: Zum verdeckten Ausführen von Skripten.
-
-
Geplante Operationen: Die Angreifer programmieren infizierte Geräte so, dass sie um 1 Uhr morgens aufwachen und um 5 Uhr morgens Ortszeit herunterfahren. Dieses vierstündige Zeitfenster ermöglicht es ihnen, ihre Aktivitäten, wie Datendiebstahl und Krypto-Mining, durchzuführen, während sie den Verdacht des Benutzers minimieren.
-
Datendiebstahl: Die Gruppe zielt speziell auf:
-
Anmeldeinformationen und Seed-Phrasen von Kryptowährungs-Wallets.
-
Dumps der HKLM\SAM- und HKLM\SYSTEM-Registrierungsschlüssel.
-
-
Kryptowährungs-Mining: Nach der Datenexfiltration wird der XMRig-Kryptowährungs-Miner installiert. Der Miner wird basierend auf den Systeminformationen des Opfers (CPU-Kerne, RAM, GPU) konfiguriert, um die Mining-Operationen zu optimieren.
Organisationen in Russland und den GUS-Ländern werden dringend aufgefordert, ihre Cybersicherheitsverteidigung zu verbessern, robuste E-Mail-Sicherheitsmaßnahmen zu implementieren und Mitarbeiter über Phishing-Bedrohungen aufzuklären, um die Risiken dieser sich entwickelnden APT-Gruppe zu mindern.
Quellen
-
Rare Werewolf APT Uses Legitimate Software in Attacks on Hundreds of Russian Enterprises, The Hacker News.
-
Cryptojacking Group Hacks Hundreds Of Devices To Mine Crypto, Cointelegraph.
-
'Librarian Ghouls' APT Group Targets Organizations, GBHackers News.
-
Librarian Ghouls APT carries out attacks with data theft and crypto miner deployment, Securelist.
-
Hacker group Rare Werewolf hijacks Russian devices to mine crypto and steal data, Crypto News.
Dieser Artikel wurde mit Unterstützung KI-gestützter Technologie erstellt und basiert auf mehreren renommierten Quellen. Der endgültige Inhalt wurde von der Redaktion von BlockzHub sorgfältig geprüft und bearbeitet, um Genauigkeit, Klarheit und Kohärenz sicherzustellen. Originalquellen werden, sofern erforderlich und angemessen, entsprechend gewürdigt. Die in diesem Artikel geäußerten Meinungen spiegeln nicht notwendigerweise die offiziellen Ansichten oder Positionen von BlockzHub wider. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Fachberatung dar. Investitionen bergen Risiken, und Sie sollten vor Anlageentscheidungen einen qualifizierten Finanzberater konsultieren.