Gezielte Angriffe mit präparierten PDF-Dateien

[Christoph]

Geht es um gezielte Angriffe gegen Unternehmen, sind selten Hobby-Hacker im Spiel, meist geht es um Wirtschaftsspionage. Die Angriffe erfolgen per Mail mit präparierten PDF-Dateien, die Malware einschleusen.

Der finnische Antivirushersteller F-Secure hat eine weiteres Beispiel für laufende Angriffe gegen die US-Rüstungsindustrie entdeckt. In einer speziell präparierten PDF-Datei, die als Anhang an einen Mitarbeiter des Zielunternehmens geschickt worden ist, steckt ein Trojanisches Pferd, das Kontakt zum Angreifer aufnimmt.

Wird die PDF-Datei in einer anfälligen Version des Adobe Reader geöffnet, nutzt der eingebettete Javascript-Code eine bekannte Sicherheitslücke in dem PDF-Betrachter aus, wie F-Secures CTO Mikko Hypponen im Blog des Unternehmens berichtet. Eine Datei namens "lsmm.exe" wird auf dem PC ablegt und ausgeführt. Dieser Schädling öffnet eine Hintertür ins System und nimmt Kontakt zum Angreifer auf. Dieser wartet hinter zwei südkoreanischen IP-Adressen.

Anschließend, binnen Sekundenbruchteilen, wird im Adobe Reader eine harmlose PDF-Datei angezeigt. Diese enthält einen Aufruf zum Einsenden von Beiträgen für eine als geheim eingestufte Rüstungskonferenz, die "2012 AIAA Strategic and Tactical Missile Systems Conference".

Wer Ziel dieses Angriffs war, gibt Hypponen nicht an, er wisse es nicht. Fest steht jedoch, dass es sich um ein US-Rüstungsunternehmen handeln muss. Die US-Rüstungsindustrie ist seit einiger Zeit im Visier nicht bekannter Angreifer. So sind bereits Angriffe auf Lockheed Martin, Northrop Grumman sowie das Pentagon bekannt geworden.

Wahrscheinlich sind die selben Angreifer auch im März bei dem Sicherheitsunternehmen RSA eingedrungen, um interne Informationen über dessen SecureID-Technik zu stehlen. Diese RSA-Token dienen als Zugangsschlüssel zu Rechnersystemen in sehr sicherheitsbewussten Unternehmen und Organisationen. Und dazu dürften auch Rüstungsfirmen und das US-Verteidigungsministerium zählen.

Quelle: http://www.pc-magazin.de/news/geziel...n-1162610.html