Wenn der Steuerbescheid vom Hacker kommt

Eine gezielte Angriffswelle trifft derzeit Steuerberater, Finanzabteilungen und Steuerpflichtige in Indien. Fachleute des IT-Sicherheitsunternehmens Seqrite Labs verzeichnen die Kampagne unter der Bezeichnung Operation DragonReturn. Die Hintermänner werden in China vermutet.

Ausgewählte Ziele im Finanzsegment

Angegriffen werden vor allem jene Berufsgruppen, die täglich mit sensiblen Finanzunterlagen arbeiten. Die Angreifer haben es auf Bankabstimmungen, Umsatz- und Vorsteueraufzeichnungen, Steuererklärungen sowie interne Dokumente zu Fusionen, Übernahmen und Finanzprognosen abgesehen. Wer die Kontrolle über solche Unterlagen erlangt, kann daraus sowohl wirtschaftlichen als auch strategischen Nutzen ziehen.

Der Weg ins System

Zum Einsatz kommt eine als DcRAT bekannte Schadsoftware. Der Zugang zu den Rechnern der Opfer läuft über gezielte E-Mails, die seit Mai im Umlauf sind. Absender geben sich als Vertreter der indischen Steuerbehörde aus und drohen den Empfängern mit Konsequenzen wegen vermeintlicher Verstöße. Ein Link führt auf eine gefälschte Behördenseite, auf der ein ZIP-Archiv als vermeintliches Steuerprogramm zum Herunterladen bereitsteht. Anschließend greift eine mehrstufige Infektion, bei der ein an sich harmloses Programm eine manipulierte Bibliothek nachlädt. Diese Technik gilt als besonders unauffällig gegenüber gängigen Schutzlösungen.

Hinweise auf chinesische Herkunft

Für die geografische Zuordnung liefern die untersuchten Kommando- und Kontrollserver mehrere Anhaltspunkte. Die zugehörigen Adressen stammen aus dem Netz des chinesischen Anbieters ChinaNet, das administrative Bedienfeld ist in chinesischer Sprache gehalten. Zudem weisen die verwendeten Werkzeuge Ähnlichkeiten mit dem Vorgehen der Gruppe Silver Fox auf, die in der Vergangenheit bereits die Schadsoftware ValleyRAT verbreitet hatte.