Grootschalige spionagecampagne valt bedrijven aan

Cybercriminelen hebben een grootschalige spionagecampagne opgezet gericht op bedrijven. Operatie TooHash heeft als doel gevoelige bedrijfsinformatie te stelen. Met name bedrijven in Taiwan zijn op dit moment doelwit van de aanvallen.

De spionagecampagne is ontdekt door G DATA SecurityLab. Het bedrijf waarschuwt van de gevolgen van uitgelekte bedrijfsdata. Het is zeer schadelijke om waardevolle bouwplannen, klantgegevens, business-plannen, e-mails en andere gevoelige bedrijfsinformatie aan spionnen te verliezen, vooral als bedrijf. Kopers van dit soort gestolen gegevens zijn over het algemeen snel gevonden, bijvoorbeeld concurrenten van het getroffen bedrijf of geheime diensten. Datadiefstal kan een bedrijf commercieel en financieel ten gronde richten.

Spear phishing

De aanval maakt gebruik van spear phishing, waarbij phishingmails worden verstuurd die geheel zijn gefinetuned en gepersonaliseerd voor specifieke ontvangers. De kans dat de ontvanger de bijgevoegde malafide Microsoft Office-documenten in zo'n e-mailbericht openen is hierdoor aanzienlijk groter dan bij een 'normale' phishingaanval.

In de meeste gevallen zijn de geïnfecteerde documenten vermomd als sollicatiebrieven. De spear phishing-mails worden in dit geval verstuurd naar de afdeling Personeelszaken, die vaker dergelijke e-mailberichten ontvangt. De meeste geïnfecteerde bestanden lijken afkomstig te zijn uit Taiwan. Na analyse van de documenten is het vermoeden ontstaan dat ook andere doelwitten in en rondom China zijn benaderd, aangezien sommige documenten zijn opgesteld in het Chinees dat op het vasteland wordt gebruikt.

Beveiligingslek in Microsoft Office

“De malware in de bijlagen maakt misbruik van een beveiligingslek in Microsoft Office en downloadt na activatie een remote access tool op de gecompromitteerde pc,” legt Ralf Benzmüller, hoofd van het G DATA SecurityLab uit. “We hebben in deze cyberaanval twee typen malware gevonden. Beide bevatten bekende cyberspionagecomponenten zoals automatic code execution, file listing en datadiefstal.”

In totaal hebben onderzoekers van G DATA SecurityLab ruim 75 control servers gevonden die worden gebruikt om geïnfecteerde PC's te besturen. De meeste van deze servers staan in Hong Kong en de Verenigde Staten. Het programma dat de aanvallers gebruiken om de geïnfecteerde pc’s te besturen is deels Chinees, deels Engels.