Für Diamantengroßhändler zählen Diebstähle, Betrug und Lösegeldforderungen zu ihren täglichen Businessgefahren. Dass aber Cyberkriminelle lediglich auf die Zerstörung von digitalen Informationen aus sind und keinen finanziellen Profit schlagen wollen, überraschte die betroffenen Edelsteinhändler in Israel ebenso wie die Security-Experten von ESET. Diese konnten der APT-Gruppe Agrius eine Reihe von Cyberangriffen mit der Malware „Fantasy“ nachweisen, die ebenfalls ein israelisches Personalunternehmen und eine IT-Firma betrafen. Auch in Südafrika und Hongkong wurden Opfer beobachtet.
Die dem Iran nahestehenden Angreifer nutzten mit Fantasy einen sogenannten Wiper, der rein zerstörerisch agiert und nicht wie Ransomware auf das Erpressen von Geld aus ist. Um aber überhaupt in die Netzwerke der Opfer gelangen zu können, führte Agrius eine Supply-Chain-Attacke durch. Dabei wurde eine israelische Software-Suite missbraucht, die in der Diamantenindustrie sehr geläufig ist.
Weitere Details veröffentlichten die ESET-Forscher unter: https://www.welivesecurity.com/deutsch/2022/12/12/fantasy-neuer-agrius-wiper-kommt-per-lieferkette
Nach drei Stunden war der Spuk vorbei
Am 20. Februar 2022 setzte Agrius bei einer Organisation der südafrikanischen Diamantenindustrie Tools zum Sammeln von Anmeldeinformationen ein. Experten werten dies als Vorbereitung für die spätere Kampagne. Den eigentlichen Löschangriff startete Agrius am 12. März 2022, indem sie Fantasy und dessen Verbreitungstool „Sandals“ zuerst bei dem Opfer in Südafrika, dann bei weiteren in Israel und schließlich in Hongkong einsetzte.
Fantasy Wiper löschte entweder alle Dateien auf der Festplatte oder alle Dateien mit einer von 682 vordefinierten Erweiterungen, einschließlich Dateinamenerweiterungen für Microsoft 365-Anwendungen (zum Beispiel Microsoft Word, Microsoft PowerPoint und Microsoft Excel) sowie für gängige Video-, Audio- und Bilddateiformate. Auch wenn die Malware Maßnahmen ergriff, um die Wiederherstellung und forensische Analyse zu erschweren, ist es durchaus wahrscheinlich, dass eine Wiederherstellung des Windows-Betriebssystemlaufwerks möglich war. Es wurde beobachtet, dass die Opfer innerhalb weniger Stunden wieder einsatzbereit waren.
„Die Kampagne dauerte weniger als drei Stunden. Innerhalb dieses Zeitraums waren ESET-Kunden bereits durch Erkennungen geschützt, die Fantasy als Wiper identifizierten und seine Ausführung blockierten. Wir haben beobachtet, dass der Entwickler der Spezialsoftware für die Diamantenindustrie innerhalb weniger Stunden nach dem Angriff saubere Updates herausgegeben hat", sagt Adam Burgher, ESET Senior Threat Intelligence Analyst.
Iran-nahe APT Gruppe Agrius fokussiert Israel
Agrius ist eine neuere, mit dem Iran verbundene Gruppe, die seit 2020 Ziele in Israel und den Vereinigten Arabischen Emiraten angreift. Die Gruppe setzte ursprünglich den Wiper „Apostle“ ein, der sich als angebliche Ransomware tarnte. Später wurde sie tatsächlich zu einer vollwertigen Ransomware weiterentwickelt. Die APT-Gruppe nutzt bekannte Schwachstellen in Internetanwendungen aus, um Webshells zu installieren. Dann führt sie interne Erkundungen durch, bevor der Wiper sich ausbreitet und seine bösartigen Fähigkeiten einsetzt.
Seit seiner Entdeckung im Jahr 2021 hat sich Agrius ausschließlich auf zerstörerische Operationen konzentriert. Fantasy ähnelt in vielerlei Hinsicht dem vorherigen Wiper Apostle. Es gibt nur ein paar kleine Änderungen zwischen vielen der ursprünglichen Funktionen in Apostle und der Implementierung von Fantasy.
https://www.welivesecurity.com/deutsch/2022/12/12/fantasy-neuer-agrius-wiper-kommt-per-lieferkette