Der russische Sicherheitsexperte Kaspersky Lab hat die Ergebnisse einer mehr als einjährigen Untersuchung der Aktivitäten der Lazarus-Gruppe vorgestellt. Die verbrecherische Gruppe wird für den Diebstahl von 81 Millionen US-Dollar von der Zentralbank in Bangladesch im Jahr 2016 verantwortlich gemacht.

Im Februar 2016 versuchte eine damals noch nicht identifizierte Gruppe von Hackern 851 Millionen US-Dollar zu stehlen. Es gelang ihr, eine Überweisung in Höhe von 81 Millionen US-Dollar von einem Konto der Zentralbank von Bangladesch zu tätigen – und damit einen Coup zu landen, der als einer der größten und erfolgreichsten Cyberüberfälle gilt. Die Experten mehrerer IT-Sicherheitsfirmen – darunter auch Kaspersky Lab – fanden heraus, dass hinter dem Angriff mit hoher Wahrscheinlichkeit die Gruppe Lazarus steckt; eine berüchtigte Cyberspionage- und Cybersabotage-Gruppe, die bereits seit 2009 weltweit für ganze Serien von wiederholten und verheerenden Angriffen auf Produktionsunternehmen, Medien und Finanzinstitute in mindestens 18 Ländern bekannt ist.

Die Untersuchung von Kaspersky hangelte sich an der forensischen Analyse von Artefakten entlang, die die Gruppe in den Systemen südostasiatischer und europäischer Banken hinterlassen hatte. Ziel der Gruppe waren auch Spielcasinos, Software-Entwickler für Anlagegesellschaften sowie Unternehmen im Kryptowährungsbereich. Laut den Erkenntnissen von Kaspersky Lab ist die Gruppe nach wie vor aktiv, obwohl sie sich nach dem Angriff in Bangladesch mehrere Monate bedeckt hielt.

Die Gruppe agiert laut Kaspersky nach der Vorgehensweise: Erstkompromittierung, Backdoor, Erkundung, Diebstahl.

Zunächst versuche die Gruppe also ein einzelnes System innerhalb der Bank anzugreifen, mit den üblichen Mitteln etwa Einschleusen von Code über eine Schwachstelle oder einem Exploit. Über diese Lücke versucht die Gruppe langlebige Backdoors zu installieren.

Anschließend untersuche die Gruppe über Tage und Wochen das Netzwerk und identifiziert die für den Diebstahl nötigen Ressourcen, etwa einen Backup-Server mit Authentifizierungsinformationen.

Über die Installation spezieller Malware, die die internen Sicherheitsfunktionen der Finanzsoftware umgeht werde dann versucht, betrügerische Transaktionen auszuführen.

Die Analyse eines Vorfalls in Südostasien habe gezeigt, dass die Angreifer das Netzwerk der Bank bereits sieben Monate vor jenem Tag attackiert hatten, an dem das Sicherheitsteam der Bank die Vorfallreaktion angefordert hatte.