Mimikatz schlägt wieder zu – diesmal ist die Industrie betroffen

Der russische Sicherheitsanbieter Kaspersky warnt derzeit vor Hackerangriffen, die sich die Malware Mimikatz zu Nutze machen. Ziele sind demnach Industrieunternehmen in Japan, England und Deutschland. Das Problem dieser Attacken ist, dass sie nur schwer zu identifizieren sind.

Offizielle Warnung vor Malware “Mimikatz”

Bereist im Jahr 2017 hatte das Unternehmen eine ähnliche Dimension entdeckt, die damals schon zu grosser Besorgnis und Aufregung führte. In über 40 Ländern wurde Schadsoftware auf Arbeitsspeichern entdeckt. Diese hat seinerzeit weder Spuren noch Dateien auf den Festplatten hinterlassen. Mimikatz trat neben PowerShell und Metasploit schon in Erscheinung.

Eigentlich besass Mimikatz ursprünglich eine gute Idee und Funktion. Sie sollte nämlich Schwachstellen in Authentifizierungsprotokollen von Microsoft aufdecken. Doch diese Fähigkeit wurde letztendlich missbraucht. Denn diese „negative Effizienz“ haben sich nun die Hacker zu Nutze gemacht. Damals waren es noch Banken, Behörden und Unternehmen, die attackiert wurden. Bei dem aktuellen Angriff sind es vorwiegend Industrieunternehmen aus den zuvor genannten Ländern. Ob es Zusammenhänge gibt oder ob es dieselben Hacker sind, ist unklar.

Die Funktionsweise

Die Installation von Mimikatz funktioniert über Phishing-E-Mails, um schliesslich die Malware zu installieren. Die E-Mails enthalten Anhänge in Form von Word-Dokumenten mit schädlichen Makros, die lediglich durch eine Handlungsanweisung aktiv werden. Es funktioniert allerdings nur in dem Fall, wenn das infiltrierte Betriebssystem mit der Sprache der E-Mails übereinstimmt.

Das schädliche Programm Mimikatz zeigt im Erfolgsfall dann beispielsweise Kerberos-Tickets an, mit denen die Hacker Unternehmensnetzwerke befallen und sich dieselben Zugriffsrechte wie Administratoren verschaffen können. Die Installation bleibt meist längere Zeit unerkannt. Denn die Sichtbarkeit der Downloads wird durch Stenographie-Methoden verborgen.

Das ist möglich, wenn innerhalb der angehängten Daten ein sogenanntes Rauschen beziehungsweise eine Variation besteht. Das ist beispielsweise bei allen Anhängen wie Bilddaten, Audiodaten, Textdaten oder Dateisystem-Fragmentierungen gegeben.

Das macht gleichzeitig deutlich, mit welchen E-Mails mit angehängten Daten die Mitarbeiter eines Unternehmens besonders vorsichtig sein müssen. Im Zweifel ist anzuraten, die Dateien nicht zu öffnen, die E-Mails zu löschen und/oder den Systemadministratoren des Unternehmens zur Prüfung vorzulegen. Das sind die ersten Schutzmassnahmen, die Unternehmen selbst vollziehen können.