Kaspersky deckt neues Schadsoftware-Set von Mirage Kitten auf

Das Global Research and Analysis Team (GReAT) von Kaspersky hat die Entdeckung eines bisher nicht dokumentierten Schadsoftware-Sets bekannt gegeben, das von der als „Mirage Kitten“ bekannten Advanced Persistent Threat (APT)-Gruppe verwendet wird.

Den Erkenntnissen zufolge, die auf dem jährlichen Cybersecurity Weekend des Unternehmens für die Region Naher Osten, Türkei und Afrika (META) geteilt wurden, wurde das Tool-Set bei gezielten Cyber-Spionageaktivitäten eingesetzt, um langfristigen Zugriff auf Opfernetzwerke zu erlangen und sensible Daten zu entwenden.

Die Forscher gaben an, dass die Kampagne verschiedene Institutionen und Sektoren im Nahen Osten und in Afrika ins Visier nahm. Zu den betroffenen Zielen gehörten Organisationen in Ägypten, KMU und öffentliche Einrichtungen in Jordanien und Tansania, Luftfahrtunternehmen in Pakistan, Telekommunikationsfirmen in Äthiopien sowie Finanzsektor-Organisationen in Burkina Faso.

WAS MACHT DAS NEUE TOOL-SET?

Laut Kaspersky besteht das Set aus drei speziellen Tools. Im Zentrum steht die neue Backdoor NightLedger, die auf Windows-Systeme abzielt. Aufgrund der Codestruktur und der Verhaltensmerkmale ordneten die Forscher dieses Tool Mirage Kitten zu.

NightLedger ermöglicht es Angreifern, kompromittierte Systeme aus der Ferne zu steuern. Auf diese Weise können Befehle ausgeführt, Dateien eingesehen und übertragen sowie Screenshots erstellt werden.

ArcBridge und BridgeHead, die ebenfalls Teil des Sets sind, werden als verdeckte Tunneling-Tools beschrieben. Diese Tools können den kompromittierten Computer als Zwischenknoten für den Datenverkehr der Angreifer nutzen, wodurch es so aussieht, als kämen die Aktivitäten aus dem Netzwerk des Opfers selbst. Diese Methode erleichtert es, Netzwerksicherheitskontrollen zu umgehen und den Zugriff über einen längeren Zeitraum zu verbergen.

Kaspersky teilte mit, dass eines der Tools im April 2026 während Aktivitäten entdeckt wurde, die auf Opfer im Nahen Osten abzielten. BridgeHead wurde in Opferumgebungen in Ägypten sowie in den Systemen einer Luft- und Raumfahrtorganisation in Pakistan bei Aktivitäten beobachtet, die nach der ersten Infiltration durchgeführt wurden.

Wie der Erstzugriff in vielen Fällen erfolgte, ist nicht abschließend geklärt. Die Forscher berichteten jedoch, dass bei einigen untersuchten Vorfällen Spuren von gezielten Phishing-Versuchen gefunden wurden, die mit den bekannten Methoden der Gruppe übereinstimmen. Bei diesen Versuchen standen Nachrichten mit Bezug zu Stellenangeboten, Inhalte, die vertrauenswürdige Marken und Plattformen imitierten, gefälschte Videokonferenzseiten sowie schädliche Archivdateien, die auf Drittanbieter-Dateifreigabediensten gehostet wurden, im Vordergrund.

Omar Amin, Senior Security Researcher bei Kaspersky GReAT, erklärte, dass die jüngsten Erkenntnisse zeigen, dass Mirage Kitten seine Schadsoftware-Kapazitäten kontinuierlich weiterentwickelt, um seine gezielten Operationen im Nahen Osten und in Afrika zu unterstützen. Amin wies darauf hin, dass Tunneling-Techniken es den Angreifern ermöglichen, Netzwerkkontrollen zu umgehen und ihre Entdeckung zu erschweren.

Das Unternehmen empfahl Institutionen, aktives Threat Hunting gegen solche Bedrohungen durchzuführen, Indikatoren für Backdoor- und Tunneling-Tools zu überwachen, Threat Intelligence zu nutzen und ihre Kapazitäten zur Erkennung und Reaktion zu stärken.

Nachrichtenquelle: 12punto