WindShift APT

Der Mythos, dass Mac-Computer keine Viren bekommen, ist genau das: ein Mythos. Die Realität ist, dass Mac-Viren nur seltener vorkommen. Sie existieren immer noch, aber Hacking-Gruppen machen ihre Erstellung nicht zu einer Priorität. Hin und wieder kommt jedoch eine Gruppe wie WindShift vorbei.

WindShift wird als APT (Advanced Persistent Threat) bezeichnet. Dies sind Gruppen, die Sicherheitsforscher kennen und verfolgen. Die Infrastruktur, Werkzeuge und Ziele eines APT sind allgemein bekannt, weil sie so genau unter die Lupe genommen werden. Einige Gruppen sind heimlicher und in der Lage, leise zu operieren, ohne verfolgt zu werden. Es ist schwieriger, diese Gruppen im Auge zu behalten. WindShift ist eine dieser Gruppen und laut Forschern frühestens seit 2017 in Betrieb.

Das WindShift APT konzentriert sich hauptsächlich auf Aufklärungsoperationen. Die Gruppe hat sich mit großen Zielen wie Regierungen und Organisationen beschäftigt, scheint aber auch bestimmte Ziele zu verfolgen, die im Voraus ausgewählt wurden. Das Interessante an ihren Zielen ist, dass sie völlig unabhängig zu sein scheinen. Cybersicherheitsforscher müssen noch ein einziges Verbindungsglied zwischen den Zielen finden. WindShift verfolgt auch einen anderen Ansatz als andere Gruppen. Die Gruppe verlässt sich nicht so stark auf Malware und Ransomware, um die gewünschten Informationen zu erhalten, wie es andere Gruppen tun. Stattdessen verwendet dieses APT ausgeklügeltes Social Engineering, um auf subtile Weise Daten von Zielen zu erhalten. Die meisten Opfer merken nicht einmal, dass etwas nicht stimmt, bis es zu spät ist.

Dank dieses Vertrauens auf Stealth kann die Gruppe Operationen über längere Zeiträume durchführen, ohne erwischt zu werden. Es ist bekannt, dass WindShift-Kampagnen Monate am Stück dauern. Experten gehen davon aus, dass einige der von WindShift getroffenen Ziele monatelang beobachtet wurden, bevor die Gruppe mit tatsächlichen Hacking-Operationen begann. WindShift tut dies durch die Verwendung gefälschter Social-Media-Konten, das Führen von Diskussionen mit Zielpersonen über relevante Themen und das Erstellen ansprechender Inhalte durch gefälschte Veröffentlichungen. Sie verbinden sich mit ihren Zielen, um Vertrauen zu gewinnen und die eigentliche Angriffsphase zu erleichtern.

Die Gruppe verwendet auch eine Reihe von Analysewerkzeugen, um Einzelpersonen zu untersuchen und zu beobachten, einschließlich ihrer Surfgewohnheiten und Interessen. Sie können diese Informationen nutzen, um ihre Social-Engineering-Kampagnen voranzutreiben und noch mehr Wissen zu erlangen. WindShift hat sowohl öffentlich verfügbare Tools als auch selbst erstellte Dienstprogramme verwendet. Eine Möglichkeit, wie die Gruppe Informationen darüber sammelt, was ihren Zielen gefällt, besteht darin, ihnen Links zu legitimen Webseiten zu senden.

Die Hacker versuchen, Anmeldeinformationen von einem Ziel zu erhalten, sobald sie über genügend Informationen verfügen, mit denen sie arbeiten können. Die Gruppe hat unter anderem Apple iCloud und Gmail verwendet, um Zugangsdaten von ihren Zielen zu erhalten. Die Gruppe sendet ihrem Ziel eine Nachricht, in der es darauf hingewiesen wird, dass es sein Passwort zurücksetzen muss. Das Ziel wird an eine Seite gesendet, die legitim erscheint, aber eine gefälschte Wiederherstellungsseite ist, die darauf ausgelegt ist, Informationen zu stehlen. Wenn das Ziel nicht auf den Trick hereinfällt, geht WindShift zu Hacking-Tools über, um die gewünschten Informationen zu erhalten.

Abgesehen von der Verwendung öffentlich verfügbarer Tools hat Windshift mehrere benutzerdefinierte Hacking-Tools und Bedrohungen entwickelt, darunter die folgenden:

• WindDrop – Ein für Windows-Systeme entwickelter Trojaner-Downloader, der erstmals 2018 entdeckt wurde.
• WindTail – Eine für OSX-Systeme entwickelte Malware, die bestimmte Dateitypen oder Dateien mit bestimmten Namen sammelt, die ihren Kriterien entsprechen. Es ist auch in der Lage, zusätzliche Malware auf dem kompromittierten System zu platzieren.
• WindTape – Ein Backdoor-Trojaner, der für OSX-Systeme entwickelt wurde und Screenshots machen kann.

Diese Tools verfügen über einige erweiterte Funktionen, z. B. die Möglichkeit, DNS-Einstellungen zu manipulieren und Benutzer auf verschiedene Webseiten zu leiten. WindShift kann die Internetverbindungen kompromittierter Systeme kontrollieren und sie stattdessen an andere Websites senden. Diese Websites sind so gestaltet, dass sie genauso aussehen wie die echten und werden verwendet, um Anmeldeinformationen und zusätzliche Informationen von Zielen zu erhalten.

WindShift APT ist zweifellos eine der ungewöhnlicheren Hacking-Gruppen, die es gibt. Die Gruppe hat eine andere Herangehensweise an ihre Ziele und Angriffe als andere bekannte APTs. Die Gruppe verlässt sich stark auf Social Engineering und zielt hauptsächlich auf Mac-Computer ab. Das macht sie zu einem Rätsel in der Hacking-Welt. Sicherheitsforscher versuchen immer noch, ihre operativen Verfahren und Motivationen herauszuarbeiten. Dennoch beweist die Gruppe definitiv, dass Ihr Mac nicht so immun gegen Viren ist, wie Sie denken.