Entwendete NSA-Hacking-Tools: DoublePulsar offenbar gefährlicher als WannaCry-Einfallstor EternalBlue

Malware (Bild: Shutterstock/Blue Island

Bei einem Angriff auf IDT Telecom, einen US-amerikanischen Payment- und Telekommunikationsanbieter, wurde neben der durch WannaCry bekannt gewordenen Sicherheitslücke EternalBlue auch die Schwachstelle DoublePulsar ausgenutzt. Der Kernel-Exploit erlaubt Angreifern unbemerkt in Systeme einzudringen, Anmeldedaten abzugreifen und Hintertüren einzurichten.

Allmählich werden die Folgen des Diebstahls von bevorrateten Sicherheitslücken bei der NSA und deren Veröffentlichung durch die Hackergruppe ShadowBrokers deutlich. Wie von Experten schon direkt im Anschluss an die Veröffentlichung befürchtet, kommen sie bei diversen Angriffen Dritter zum Einsatz. Während die Hintermänner der Ransomware WannaCry die EternalBlue gennante Lücke ausnutzen und damit für viel Aufsehen sorgten, agieren andere verhaltener und stärker im Hintergrund. Sie sind aber deswegen nicht ungefährlicher. Das zeigt eine jetzt bekannt gewordene Attacke auf den US-amerikanischen Payment- und Telekommunikationsanbieter IDT Telecom.

(Bild: Maksim Kabakou/Shutterstock)

Der Angriff wurde bereits im April, also schon kurz nach Veröffentlichung der NSA-Tools durchgeführt. Dabei kam zwar die WannaCry-Ransomware ebenfalls schon zum Einsatz, aber sie diente möglicherweise eher als Ablenkungsmanöver, um die wahren, mit Doublepulsar verfolgten Ziele der Angreifer zu kaschieren. Hinweise auf den Missbrauch von Doublepulsar gab es bereits Ende April. Damals stritten sich Experten aber über die Anzahl der infizierten Rechner und die Zählmethode.

Kurz darauf, am 29. April, wurde IDT Telecom damit angegriffen. Über den Angriff sprach die New York Times allerdings erst jetzt mit Golan Ben-Oni, bei IDT als Chief Information Officer für Sicherheit verantwortlich. Bei Doublepulsar handelt es sich um einen Kernel-Exploit. Er ermöglicht das verdeckte Eindringen in fremde Computersysteme und das Einrichten einer Hintertür. Laut Ben-Oni stiehlt Doublepulsar Anmeldedaten, verbirgt sich hervorragend und wird von nahezu keiner der bekannten Antivirenlösungen erkannt.

Ausgewähltes Webinar

Praxisleitfaden für den Schutz von Unternehmen vor Ransomware

Helge Husemann, Product Marketing Manager EMEA von Malwarebytes, stellt in diesem 60-minütigen Webinar (Aufzeichnung) die neue Sicherheitslösung Malwarebytes Endpoint Protection vor. Sie enthält ein mehrstufiges Sicherheitskonzept und bietet damit einen effektiven Schutz vor modernen Bedrohungen wie WannaCry, Petya und anderen.

Bereits Mitte Mai hatte der Sicherheitsforscher Kafeine darauf hingewiesen, dass eine von ihm als “Adylkuzz” bezeichnete Krypto-Mining-Malware die von WannaCry als Einfallstor verwendete Lücke, den auf die SMB-Lücke ausgerichteten Exploit EternalBlue, ausnutzt und offenbar mit der Backdoor Doublepulsar kombiniert. Der Analyse des IT-Sicherheitsunternehmens Proofpoint zufolge, bei dem Kafein inzwischen arbeitet, war die Malware bei der Infektion ungepatchter Windows-Rechner außergewöhnlich effektiv.

Mehr zum Thema

Wie man gefährliche E-Mails identifiziert

Gefälschte E-Mails enthalten häufig Viren oder andere Angreifer. Oft sollen auch private und sensible Daten gestohlen werden. Anhand weniger Kriterien lassen sich gefährliche E-Mails jedoch schnell erkennen.

Allerdings bietet Microsoft für unterstützte Betriebssysteme bereits seit März einen Patch für die ausgenutzte Sicherheitslücke in SMB an. Im Mai schob es dann sogar einen Patch für eigentlich nicht mehr unterstützte Betriebssysteme nach. Zu seiner Verteidigung griff der Konzern kurz darauf dann noch NSA und CIA verbal an: Sie seien für die derzeit laufenden Angriffe mitverantwortlich, weil sie von ihnen entdeckte Sicherheitslücken für die eigene Verwendung gehortet hätten, anstatt sie den Herstellern zu melden. Diese Praxis wird von Sicherheitsexperten schon seit langem kritisiert.

[mit Material von Bernd Kling, ZDNet.de]