Wie die MURKYTOUR-Hintertür Arbeitssuchende ins Visier nimmt

Im Oktober 2024 tauchte eine hochgradig zielgerichtete und geschickt getarnte Cyber-Kampagne auf, die den Einsatz einer versteckten Hintertür namens MURKYTOUR enthüllte. Die Operation, die vom Threat-Intelligence-Unternehmen Mandiant aufgedeckt wurde, verdeutlicht die sich ständig weiterentwickelnden Taktiken staatlich verbündeter Akteure und ihren Fokus auf Täuschung als zentrales Mittel im digitalen Kampfgeschehen.

Die Kampagne wurde einer Gruppe namens UNC2428 zugeschrieben, einem Cyber-Bedrohungsakteur mit iranischen Interessen. Ihr Ansatz war nicht nur eine weitere Phishing-E-Mail, sondern eine raffinierte und äußerst irreführende Social-Engineering-Strategie. Sie präsentierte ein gefälschtes Jobangebot, um ahnungslose Personen, insbesondere in Israel, anzulocken.

Was ist MURKYTOUR?

MURKYTOUR ist eine Backdoor – eine Art Schadsoftware, die unbefugten Zugriff und die Steuerung eines Geräts ohne Wissen des Nutzers ermöglicht. In diesem Fall wurde sie unbemerkt installiert, nachdem die Opfer scheinbar einen legitimen Bewerbungsprozess durchlaufen hatten. Die Angreifer gaben sich als das renommierte israelische Verteidigungsunternehmen Rafael aus und forderten Arbeitssuchende auf, ihre Qualifikationen über eine gefälschte Online-Plattform einzureichen.

Als die Opfer das Installationsprogramm – getarnt als „RafaelConnect.exe“ – herunterluden und starteten, wurde ihnen eine professionell gestaltete Benutzeroberfläche angezeigt, die ihr Vertrauen gewinnen sollte. Diese Anwendung, in Wirklichkeit ein Täuschungs-Installationsprogramm namens LONEFLEET , forderte die Nutzer auf, persönliche Daten einzugeben und einen Lebenslauf hochzuladen. Hinter den Kulissen löste jedoch ein anderes Tool namens LEAFPILE die heimliche Installation von MURKYTOUR aus und verschaffte den Angreifern so langfristigen Zugriff auf den Computer des Opfers.

Warum ist das wichtig?

Die MURKYTOUR-Backdoor ist nicht einfach nur eine weitere Malware – sie ist ein Symbol dafür, wie Cyberspionage psychologisch immer raffinierter geworden ist. Anstatt rohe Gewalt anzuwenden, nutzen Akteure wie UNC2428 Social Engineering – sie manipulieren Menschen zu Handlungen, die sie normalerweise nicht ausführen würden –, um unbemerkt in Systeme einzudringen.

Die Auswirkungen solcher Taktiken sind weitreichend. Indem sie gezielt Einzelpersonen mit Job-Ködern ansprechen, können Angreifer in sensible Organisationen eindringen, indem sie Mitarbeiter oder Arbeitssuchende, die mit diesen Netzwerken verbunden sind, täuschen. Sobald sie Zugriff haben, können böswillige Akteure Informationen sammeln, vertrauliche Daten stehlen oder weitere Infiltrationen vorbereiten.

Eine umfassendere Strategie im Spiel

MURKYTOUR wurde nicht isoliert eingesetzt. Es ist eine von über 20 Malware-Varianten, die Mandiant im Jahr 2024 als von mit dem Iran verbundenen Bedrohungsakteuren eingesetzt identifiziert hat. Zu dieser breiteren Kampagne gehören Gruppen wie UNC3313 und APT42 , die sich ebenfalls auf Social Engineering, Spear-Phishing und den Missbrauch legitimer Software-Tools konzentrieren, um unentdeckt zu bleiben.

So nutzte beispielsweise UNC3313 Schulungs- und Webinarthemen, um Opfer anzulocken, und verbreitete Malware über bekannte Filesharing-Plattformen. APT42 hingegen konzentrierte sich darauf, große Webdienste wie Google und Microsoft zu imitieren, um Anmeldeinformationen zu sammeln. Diese Taktiken lassen ein Muster erkennen: Mit dem Iran verbündete Cyberkriminelle nutzen realistische und überzeugende Identitätsdiebstahle, um traditionelle Sicherheitsvorkehrungen zu umgehen.

Darüber hinaus hat sich die Cloud-Infrastruktur zu einer bevorzugten Umgebung für Command-and-Control-Operationen entwickelt. Indem Angreifer ihre Aktivitäten auf von Unternehmen häufig genutzten Plattformen verbergen, erschweren sie es Sicherheitsteams, ungewöhnliches Verhalten zu erkennen.

Auswirkungen auf Einzelpersonen und Organisationen

Der MURKYTOUR-Vorfall zeigt eindringlich, wie wichtig Wachsamkeit ist, insbesondere in scheinbar alltäglichen Situationen – wie etwa bei einer Bewerbung. Cyber-Angreifer zielen zunehmend auf die menschliche Sicherheitsebene ab, da sie wissen, dass diese oft das schwächste Glied in der Kette ist.

Für Unternehmen bedeutet dies mehr als nur den Einsatz von Antivirensoftware oder Firewalls. Es erfordert kontinuierliche Schulungen und Sensibilisierungsmaßnahmen für die Mitarbeiter, insbesondere in Sektoren, die häufig im Visier staatlicher Akteure stehen, wie etwa Verteidigung, Gesundheitswesen, Finanzen und Technologie.

Auch Rekrutierungs- und HR-Prozesse werden zu einer unerwarteten Frontlinie der Cyberabwehr. Unternehmen müssen die Authentizität von Jobplattformen Dritter überprüfen und auf Identitätsbetrugsversuche achten. Potenzielle Bewerber sollten bei unerwarteten Stellenausschreibungen vorsichtig sein und Stellenausschreibungen auf offiziellen Unternehmenswebsites prüfen.

Abschließende Gedanken

Die MURKYTOUR-Kampagne ist ein Paradebeispiel moderner Cyber-Spionage. Sie kombiniert technisches Können mit psychologischer Manipulation und nutzt Vertrauen und Routineprozesse aus, um Fuß zu fassen. Da sich Cyber-Bedrohungen ständig weiterentwickeln, ist das Verständnis solcher Kampagnen unerlässlich, um den nächsten Schritt von Bedrohungsakteuren, die im Auftrag von Nationalstaaten agieren, vorherzusehen.

Die beste Verteidigung? Aufmerksamkeit, Wachsamkeit und eine gesunde Portion Skepsis – insbesondere, wenn das Angebot zu gut scheint, um wahr zu sein.