Russische APT-Gruppe Gamaredon verfeinert Malware-Bereitstellung und Verschleierung ihrer Infrastruktur

Die mit dem russischen Staat verbundene Bedrohungsgruppe Gamaredon hat offenbar sowohl das Laden schädlichen Codes als auch die Verschleierung der Server hinter ihren Operationen verbessert, wie aktuelle Berichte über die Kampagne zeigen.

Gamaredon wird von Sicherheitsforschern mit nachrichtendienstlichen Aktivitäten in Verbindung gebracht, die dem russischen Inlandsgeheimdienst FSB zugerechnet werden, und ist seit Langem für Angriffe auf Organisationen von strategischem Interesse bekannt. Die jüngsten Veränderungen deuten darauf hin, dass die Gruppe ihre Vorgehensweise weiterentwickelt, was die Erkennung und Unterbrechung ihrer Aktivitäten erschweren könnte.

Was sich geändert hat

Forscher berichten, dass die Operation ihre Malware nun effektiver bereitstellt. Dadurch sinkt wahrscheinlich die Wahrscheinlichkeit, dass Verteidiger die Schadsoftware untersuchen oder blockieren können, bevor sie ausgeführt wird. Gleichzeitig unternimmt die Gruppe weitere Schritte, um die von ihr für die Command-and-Control-Kommunikation genutzte Infrastruktur zu verschleiern. Dadurch wird es schwieriger, die beteiligten Systeme zu identifizieren und sie schnell vom Netz zu nehmen.

Diese Anpassungen stellen möglicherweise keine vollständige Überarbeitung der Kampagne dar, zeigen jedoch, dass die Gruppe kontinuierlich an deren Zuverlässigkeit und Überlebensfähigkeit arbeitet. Für Verteidiger bedeutet das in der Regel kürzere Reaktionszeiten und eine stärkere Abhängigkeit von mehrschichtigen Erkennungsmethoden statt ausschließlich von Signaturen.

Warum das wichtig ist

Die Verschleierung der Infrastruktur kann die Zuordnung und Abschaltungsmaßnahmen verzögern, während flexiblere Techniken zum Laden von Malware Angreifern helfen können, statische Abwehrmaßnahmen zu umgehen. Zusammengenommen können diese Veränderungen die Wahrscheinlichkeit erhöhen, dass ein Eindringling lange genug aktiv bleibt, um Daten zu sammeln, sich lateral im Netzwerk auszubreiten oder weitere Aktionen vorzubereiten.

Organisationen, die zum Zielbereich von Gamaredon gehören könnten, sollten ihre Überwachungs- und Eindämmungskontrollen überprüfen, insbesondere im Hinblick auf verdächtige Skriptausführung, ungewöhnliche ausgehende Verbindungen und wiederholte Versuche, Kontakt zu externen Servern aufzunehmen.

Prioritäten für die Abwehr

• Die Überwachung von Endgeräten verstärken, um ungewöhnliches Prozess- und Skriptverhalten zu erkennen.
• Den ausgehenden Datenverkehr auf Anomalien und unbekannte Ziele prüfen.
• Bedrohungsdaten nutzen, um mit der Kampagne verbundene Änderungen an der Infrastruktur zu verfolgen.
• Die Bewegungsfreiheit von Angreifern durch die Durchsetzung des Prinzips der geringsten Rechte und durch Netzwerksegmentierung einschränken.

Auch wenn die jüngsten Aktualisierungen der Gruppe nicht zwangsläufig ihre übergeordneten Ziele verändern, zeigen sie doch, dass sich der Angreifer weiter anpasst. Für Verteidiger ist die Botschaft eindeutig: Bestehende Schutzmaßnahmen müssen möglicherweise aktualisiert werden, um mit einer Operation Schritt zu halten, die sowohl bei der Bereitstellung als auch bei der Verschleierung immer besser wird.