Das Sicherheitsunternehmen WithSecure hat eine bislang unbekannte Schadsoftware entdeckt, die eine virtuelle Hintertür in bestimmte Windows-Systeme einbaut und für Cyberangriffe verwundbar macht.
Die Schadsoftware mit dem Codenamen «Kapeka» könne mit der russischen Bedrohungsgruppe «Sandworm» in Verbindung gebracht werden. Diese Gruppe werde von der Hauptdirektion des Generalstabs der Streitkräfte der Russischen Föderation (GRU) betrieben, erklärte das finnische Unternehmen.
watson konnte den entsprechenden Untersuchungsbericht noch vor der Veröffentlichung einsehen. Darin heisst es, Kapeka sei «Teil des neuesten Arsenals von Sandworm» und diene als flexible Hintertür, die wahrscheinlich im Rahmen umfassenderer Spionagekampagnen eingesetzt werde. Darauf basierend könne es auch zu Sabotageakten kommen.
Sandworm ist unter anderem für seine zerstörerischen Cyberangriffe gegen ukrainische Infrastruktur und Attacken auf westliche Unterstützungsländer berüchtigt. Ende 2022 wurde die Backdoor offenbar genutzt, um die Ransomware «Prestige» gegen das NATO-Land Polen einzusetzen.
Die Erkenntnisse von WithSecure wurden von Microsoft bestätigt. Beim US-Softwarekonzern wird die Schadsoftware unter dem Namen «KnuckleTouch» geführt. Rüdiger Trost, Sicherheitsexperte bei WithSecure, wertete die Entdeckung als «grossen Schlag gegen Russland, das diese Hintertür in der Ukraine und in Osteuropa eingesetzt hat.»
Russland verliere damit an Schlagkraft im Cyberkrieg, der den konventionellen Russland-Ukraine-Krieg begleite, sagte Trost.
Kapeka heisst auf Russisch «kleiner Storch».
Nach weiteren Angaben von WithSecure tarnt sich die Schadsoftware als Erweiterung («Add-in») für die Microsoft-Textverarbeitung Word. Die Hintertür werde nicht massenhaft verbreitet, sondern sehr zielgerichtet.
«Bei der Kapeka-Backdoor (...) handelt es sich vermutlich um ein massgeschneidertes Tool, das bei Angriffen mit begrenztem Umfang eingesetzt wird», sagte Mohammad Kazem Hassan Nejad, Sicherheitsforscher bei WithSecure Intelligence. Das Angriffswerkzeug sei seit Mitte 2022 in Osteuropa verwendet worden.
(dsc/sda/dpa)
Aus meiner Sicht sind das kriegerische Handlungen, denen mit Konsequenzen begegnet werden muss.
Wenn solche Konfig-Löcher in den Systemen schon hier nicht generell geblockt werden, um User vor fatalen Fehler durch unbedarftes Klicken zu schützen, wird klar, wie schlimm die Situation in weit weniger professionell betriebenen Umgebungen sein dürfte.
App-Stores, ob für ganze Pakete oder Addins, gehören schlicht generell blockiert. Und nur Admins können/dürfen/müssen eine Installation freigeben.