BfV warnt vor Cyberangriffen durch Ke3chang

Wer steckt hinter Ke3chang?

Die Gruppierung Ke3chang wurde vermutlich das erste Mal in 2010 aktiv und greift seither gleichermaßen politische und wirtschaftliche Ziele an. Das Bundesamt für Verfassungsschutz vermutet hinter den Angriffen eine langjährige und breit gefächerte Cyberspionagekampagne in Europa. Aktuell verwendet die Gruppierung eine Schadsoftware namens Ketrican, um IT-Infrastrukturen zu infiltrieren.

Wie geht Ke3chang vor?

Im Laufe der Zeit haben verschiedene Stellen und Security-Anbieter die Vorgehensweise von Ke3chang analysiert. Hier finden Sie die wichtigsten Eckdaten im Überblick:

• Nutzung des HTTP-Protokolls zur Kommunikation
• Einheitliche Muster in den Kommunikationsabständen (feste Zeitintervalle zwischen dem Beaconing)
• Schwächung des Internet Explorers durch Anpassung von Registry-Einträgen
• Intensive Nutzung von cmd.exe zur Ausführung von Befehlen
• Geringe Anzahl infizierter Maschinen
• Nutzung von Standard- bzw. OpenSource-Tools wie z. B. RAR-Datenkompression oder Mimikatz

Wie arbeitet die Schadsoftware Ketrican?

• Befehle werden zwischen Schlüsselwörtern in aufgerufenen Webseiten an den kompromittierten Client ausgeliefert: goodbad, whitepurple oder nicesay. Derzeit ist für diese Schlüsselwörter noch keine eindeutige Systematik erkennbar. Die Befehle sind verschlüsselt (AES128 oder XOR).
• Die technische Analyse von Ketrican-Samples hat ergeben, dass die Schadsoftware selbst keine Persistenz im System herstellt. Es wird daher eher davon ausgegangen, dass ein anderer Mechanismus (z. B. ein Dropper) eine Persistenz der Ketrican-Backdoor einrichtet.