Een groep cyberspionnen met de naam Barium bouwt eerst een relatie met potentiële slachtoffers op voordat de uiteindelijke malware wordt verstuurd. Daarvoor waarschuwt Microsoft. Vorige maand werd bekend dat de Duitse staalgigant ThyssenKrupp het slachtoffer van cyberspionage was geworden.

De aanvallers gebruikten daarbij de Winnti-malware. Deze malware wordt al jaren bij gerichte aanvallen ingezet. Microsoft heeft nu twee groepen cyberspionnen genoemd die van de Winnti-malware gebruikmaken: Barium en Lead (Microsoft vernoemt aanvalsgroepen naar de periodieke tabel).

Barium begint de aanvallen door eerst op verschillende socialmediaplatformen een relatie op te bouwen, met name met mensen in Business Development of Human Resources. Zodra er een relatie tussen de aanvallers en het potentiële slachtoffer is wordt er een gerichte phishingaanval uitgevoerd. Hierbij maken de aanvallers gebruik van eenvoudige en basale technieken, zoals lnk- en chm-bestanden of Microsoft Office-documenten met kwaadaardige macro's. Uiteindelijk leidt dit tot een infectie met de Winnti-malware. Barium heeft het vooral op bedrijven in de gaming-, multimedia- en internetcontentsector voorzien, hoewel ook techbedrijven zijn aangevallen, aldus Microsoft.

Lead-groep

De Lead-groep, die bekend staat om het uitvoeren van industriële spionage, probeert niet eerst een band met het slachtoffer te scheppen. Slachtoffers krijgen meteen een e-mail met de Winnti-installar toegestuurd, waarbij via standaard social engineering wordt geprobeerd om het slachtoffer de bijlage te laten openen. In sommige gevallen probeert de Lead-groep via brute force, sql-injectie of ongepatchte webservers een organisatie binnen te dringen en daarvandaan de Winnti-malware op gehackte machines te plaatsen.

Het doel van de aanvallers is om gevoelige gegevens te stelen, zoals onderzoeksrapporteren, projectplannen en procesdocumenten. Ook maken de aanvallers certificaten buit om malware mee te signeren. De Lead-groep heeft het op farmaceutische bedrijven, multinationals, universiteiten, beveiligingsbedrijven en productiebedrijven voorzien. Microsoft zegt dat de meeste recente aanvallen van december dateren en zich in Azië, Europa en het Midden-Oosten voordeden.