APT-Gruppe nimmt mit Zero Day-Sicherheitslücke EU-Organisationen ins Visier

Jena (pts013/25.10.2023/13:00) - Regierungsstellen und ein Think Tank in Europa wurden von der APT-Gruppe Winter Vivern attackiert. Hierbei nutzen die Hacker mit sogenannten Cross-Site-Scripting-Angriffen eine Zero Day- Schwachstelle in den eingesetzten Roundcube Webmail Servern aus, um anschließend (vertrauliche) E-Mails auszulesen. Roundcube ist eine Open Source Webmail-Software, die von vielen Regierungsstellen und Organisationen wie Universitäten oder Forschungseinrichtungen genutzt wird. ESET empfiehlt Nutzern, so schnell wie möglich auf die neueste verfügbare Version der Software zu aktualisieren.

ESET entdeckte die Sicherheitslücke am 12. Oktober 2023 und meldete sie sofort an das Roundcube-Team, das die Schwachstelle zwei Tage später mit einem Sicherheitsupdate schloss. "Wir möchten den Roundcube-Entwicklern für ihre schnelle Antwort und für das Patchen der Schwachstelle in so kurzer Zeit danken", sagt ESET-Forscher Matthieu Faou, der die Sicherheitslücke und die Winter-Vivern-Angriffe entdeckt hat.

"Winter Vivern ist eine immense Bedrohung für Regierungen in Europa. Diese Gruppe agiert äußerst hartnäckig, um ans Ziel zu gelangen. Bei ihren Aktivitäten setzen sie auf Phishing-Kampagnen und das Ausnutzen von Sicherheitslücken, da viele Anwendungen nicht regelmäßig aktualisiert werden", erklärt Faou weiter.

Sicherheitslücke kann aus der Ferne ausgenutzt werden

Die XSS-Schwachstelle CVE-2023-5631 auf dem Zielserver wird mit einer speziell entworfenen E-Mail angegriffen. "Auf den ersten Blick scheint die E-Mail nicht bösartig zu sein - aber bei der Untersuchung des HTML-Quellcodes fällt auf, dass am Ende ein Tag für SVG-Grafiken enthalten ist, der einen schadhaften Inhalt enthält", sagt Faou. Durch den Versand einer solchen Nachricht können Angreifer beliebigen JavaScript-Code im geöffneten Browserfenster des Roundcube-Benutzers laden. Für die Ausführung des Schadcodes ist keine Interaktion des Anwenders notwendig. Die nachgeladene Schadsoftware kann E-Mails herausfiltern und an den Befehls- und Kontrollserver der Gruppe senden.

Über Winter Vivern
Winter Vivern ist eine Cyberspionagegruppe, die vermutlich seit mindestens 2020 Regierungen in Europa und Zentralasien attackiert. Dabei setzt sie vor allem bösartige Dokumente, Phishing-Websites und eine benutzerdefinierte PowerShell-Backdoor ein. Vermutlich seit 2022 nimmt Winter Vivern Roundcube-E-Mail-Server von Regierungsbehörden ins Visier. ESET geht davon aus, dass Winter Vivern mit der weißrussischen Hackerbande MoustachedBouncer in Verbindung steht. Letztere machte im August 2023 mit dem Ausspionieren von Botschaften in Belarus auf sich aufmerksam.

Weitere technische Informationen über die aktuelle Kampagne und Winter Vivern gibt es WeLiveSecurity: https://www.welivesecurity.com/en/eset-research/winter-vivern-exploits-zero-day-vulnerability-roundcube-webmail-servers/

(Ende)