Angesichts der enormen Zahl von mehr als 2.800 Schadensfällen in 101 als betroffenen Unternehmen und Organisationen – auch aus Deutschland und der Schweiz – hat Kaspersky Lab die noch laufende Cyberkampagne „Crouching Yeti“/„Energetic Bear“  analysiert.

Die Kampagne, die bereits auf das Ende des Jahres 2010 zurückgeht, ist immer noch aktiv und sucht sich täglich neue Opfer. Sie richtet sich gegen ein breites Spektrum an Unternehmen, doch die meisten Geschädigten kommen aus den Branchen wie Pharma, Baugewerbe, Bildung, Automation und IT-Technologien. Die meisten bisher bekannten Opfer kommen aus den USA, Spanien, Japan, Deutschland, Frankreich und Italien.

Dabei geht die Cyberkampagne nicht gerade raffiniert vor und nutzt zum Beispiel keine Zero-Day Exploits, sondern im Internet verfügbare Exploit-Codes für bekannte Schwachstellen. Dennoch ist es „Crouching Yeti“ gelungen, jahrelang unentdeckt zu bleiben.

Für ihre Steuerung sind die Schadprogramme von „Crouching Yeti“ mit einem breiten Netzwerk aus gehackten Webseiten verbunden. Diese sammeln Informationen über die Geschädigten und schicken entsprechende Befehle oder weitere Schadmodule an die bereits infizierten Systeme. Dazu gehören Module für den Diebstahl von Passwörtern und Outlook-Kontaktdaten, Module zur Anfertigung von Screenshots und solche, mit denen nach bestimmten Dateitypen gesucht werden kann, um diese zu entwenden. Textdateien, Kalkulationstabellen, Datenbanken und PDF-Dokumente sind genauso betroffen wie virtuelle Laufwerke, Passwort-geschützte Dateien und PGP-Schlüssel.

Im Rahmen ihrer Recherche entdeckten die Experten von Kaspersky Lab zahlreiche Hinweise auf die Herkunft der Hintermänner der Cyberkampagne. Eine Auswertung der Zeitstempel von 154 Dateien ergab Kompilierungszeiten zwischen 8 Uhr und 16 Uhr (Weltzeit). Das deutet darauf hin, dass die Täter irgendwo in West- oder Osteuropa sitzen.