Nur eine Handvoll Opfer der jüngsten Turla-Kampagne sind bislang bekannt: ein Außenministerium in Osteuropa, eine diplomatische Einrichtung im Nahen Osten und eine nicht näher bekannte Organisation in Brasilien. Das klingt auf den ersten Blick unspektakulär, die Kampagne ist aber trotzdem brisant - denn es kann gut sein, dass noch weitere Organisationen infiziert sind, ohne dass es dort jemand gemerkt hat.

Die Art und Weise, mit der die vom russischen Staat instruierten Hacker durch Missbrauch legitimer Funktionen von Microsoft-Exchange-Servern Daten aus den betroffenen Organisationen schleusten, ist nämlich einzigartig.

Die Entwickler der Gruppe Turla, die auch unter den Codenamen Snake und Uruburos bekannt ist, programmierten laut den Antivirenforschern von Eset einen sogenannten Transport Agent für Microsoft Exchange. Diese Exchange-Erweiterungen dienen üblicherweise zum Filtern von Spam und Malware oder zum automatischen Hinzufügen von E-Mail-Signaturen. Sie sind an zentraler Stelle installiert und kommen so mit sämtlichen ein- und ausgehenden E-Mails in Berührung.

Eine bislang unbekannte Methode

Die von Eset LightNeuron getaufte Malware klinkt sich als solcher Transport Agent ein, sodass die Hintermänner den kompletten E-Mail-Strom unter ihre Kontrolle bringen können - laut Eset gab es diese Methode in der Welt der Datendiebe bislang noch nicht.

Mittels ihrer Backdoor können die Angreifer nicht nur perfekte Spear-Phishing-Nachrichten verfassen, da der Absender der E-Mail auch bei genauerem Hinsehen legitim scheint. Die Hacker können beispielsweise auch Links in ausgehende E-Mails einfügen, Betreffzeilen ändern - und sich selbst beliebige, aus den betroffenen Organisationen geklaute Dateien schicken. Aufgrund der von den Hackern zum Versand verwendeten Exchange-Methode umgehen diese ausgehenden Nachrichten sämtliche eventuell vorhandenen Sicherheitsmechanismen.

Wie Thomas Uhlemann, Security Specialist bei Eset, dem SPIEGEL erklärt, wurden die Funktionen zur Manipulation von E-Mails auch in der Praxis eingesetzt und lenkten so das Augenmerk der Sicherheitsforscher auf den E-Mail-Server. Es heißt, Turla verwende die Methode mindestens seit dem Jahr 2014 aktiv.

Zur Kontrolle der Backdoor müssen sich die Hacker nicht direkt mit dem infizierten Server verbinden. So vermeiden sie unnötiges Aufsehen. Vielmehr lässt sich LightNeuron durch Kommandos steuern, die per Steganografie in JPG- und PDF-Dateien versteckt sind. Die Dateien sind Anhänge von E-Mails an einen beliebigen Empfänger in der jeweiligen Organisation.

Nach dem Auslesen der Kommandos löscht die Malware die Mails, sodass sie nie im Empfängerpostfach landen. Eine ähnliche Methode verwendete Turla beim Angriff auf die Netzwerke der Bundesregierung in den Jahren 2016 und Jahr 2017.

Zwei-Faktor-Authentifizierung senkt das Risiko

In ihrem Report erklären die Forscher von Eset, woran sich eine Infektion durch LightNeuron erkennen lässt. Sie warnen auch davor, die beiden zur Malware gehörenden Dateien einfach zu löschen - dies brächte den Exchange-Server zum Stillstand.

Zwar gibt es kein Sicherheitsupdate, das eine Infektion durch die Backdoor verhindert - schließlich wird ja keine Sicherheitslücke missbraucht, sondern ein herkömmliches Feature der Software. Da zur erstmaligen Installation von LightNeuron aber Adminrechte auf dem Exchange-Server nötig sind, können Organisationen sich dennoch schützen: Das Aktivieren der Zwei-Faktor-Authentifizierung für die Nutzerkonten der Administratoren senkt das Risiko immens.