Beveiligingsbedrijf onderzoekt cyberaanval op Duitse Bundestag

Volgens analyses die door het G DATA SecurityLab zijn uitgevoerd, hebben aanvallers een aanval uitgevoerd tegen het netwerk van de Duitse Bundestag.

Op dit moment is nog niet duidelijk of het een nieuwe criminele aanval betreft, of een voortzetting van de aanvallen die eind mei 2015 aan het licht kwamen. De analyses van G DATA tonen dat er gebruik is gemaakt van nieuwe varianten van de banktrojaan Swatbanker. Onderzoek naar de configuratiebestanden in de malware heeft duidelijk gemaakt dat de beheerders van het Swatbanker-botnet tussen 8 en 10 juni 2015 nieuwe filterfuncties hebben aangebracht voor het domein ‘bundestag.btg’. Dit is de URL van het intranet van de Bundestag. De onderzoekers van G DATA sluiten niet uit dat de malware, die bij deze aanval gebruikt is, de antivirusoplossing van de Bundestag heeft weten te omzeilen.

“Kijkend naar de eerste analyses, lijkt het hier om een aanval met crimineel oogmerk te gaan. Maar we kunnen niet uitsluiten dat er andere motieven spelen en dat de aanvallers de handelswijze van criminelen hebben gekopieerd om hun ware intenties te verhullen,” zegt Ralf Benzmüller, hoofd van het G DATA SecurityLab.

Wat gebeurt er in het geval van infectie?
Als een pc geïnfecteerd raakt met de Swatbanker banktrojaan en verbinding maakt met het Bundestag-intranet, kunnen alle gegevens die in formulieren worden ingevuld (zoals inloggegevens) en gegevens uit de browser (zoals recent bezochte websites) naar de aanvaller worden gestuurd. Serverreacties worden ook meegestuurd. Zo hebben de aanvallers een gedetailleerd overzicht van inloggegevens en de manier waarop de server reageert. “Dergelijke data kunnen worden gebruikt om de betreffende server rechtstreeks te benaderen,” licht Benzmüller toe. Banktrojanen staan erom bekend dat zij in aangepaste vorm kunnen worden verspreid. Zo kan in de schadelijke code van de banktrojaan rekening worden gehouden met de locatie van het slachtoffer. In het vervolgstadium kunnen de aanvallers aanvullende malware-programma’s naar de geïnfecteerde pc sturen. Die gaan vervolgens op zoek naar bepaalde specifieke informatie op het systeem, of voeren andere schadelijke opdrachten uit. 

Technische informatie over de aanval op de Bundestag en de bijbehorende analyse is te vinden in het G DATA SecurityBlog: https://secure.gd/bundestag.