Bij een spionagecampagne die tegen militaire doelen in Israël en Europa was gericht hebben de aanvallers commerciële beveiligingssoftware ingezet. Dat lieten onderzoekers van beveiligingsbedrijven CrowdStrike en Cymmetria gisteren tijdens de CCC hackerconferentie in Hamburg weten.

Het gaat om de penetratietestsoftware van het Amerikaanse Core Security, waarmee op allerlei beveiligingslekken kan worden getest. Het bedrijf beweert dat de software 25% meer unieke beveiligingslekken kan testen dan de concurrentie. Het is al jaren bekend dat cybercriminelen penetratietestsoftware zoals Metasploit gebruiken. Bij meer gerichte spionagecampagnes wordt vaak zelfontwikkelde malware ingezet, aangevuld met allerlei gratis en bekende software. Het gebruik van commerciële software werd meestal vermeden omdat het tot een bepaalde klant is terug te traceren.

Het gebruik van zelfontwikkelde malware en tools die door de jaren heen bij allerlei campagnes werden aangetroffen maken het echter eenvoudiger voor onderzoekers om deze activiteiten aan een bepaald land toe te schrijven. Door de software van Core Security te gebruiken, die tussen de 10.000 en 20.000 dollar kost, zouden de aanvallers hun sporen kunnen verbergen. Daarnaast zou het landen die nog niet over uitgebreide cyberspionagemogelijkheden beschikken helpen om hun arsenaal te vergroten. "Het meest waarschijnlijke antwoord is dat ze niet de mogelijkheid hadden om het zelf te doen", zegt analist Tillmann Werner tegenover Reuters.

Spreadsheet

Bij de aangevallen organisaties werd er in de meeste gevallen een e-mail met een Excel-spreadsheet naar de topmanagers gestuurd. De spreadsheets waren voorzien van een kwaadaardige macro. Als de gebruiker toestemming gaf om de macro uit te voeren, iets wat standaard door Office wordt geblokkeerd, werd er malware geïnstalleerd. Deze malware downloadde vervolgens een deel van Core's Core Impact tool. Core Security laat weten dat het niet toegestaan is om de software tegen derden te gebruiken. Ook is het niet bekend met misbruik van de tool in de afgelopen vijf jaar. Mochten er echter aanwijzingen zijn dan zal het bedrijf meewerken aan een onderzoek.