Angreifer aus China haben es auf Baupläne und Produktzeichnungen abgesehen und greifen, laut der Sicherheitsfirma Forcepoint, gezielt Firmen an, um mit CAD-Software erstellte Dateien zu stehlen. Dafür kommt ein Trojaner zum Einsatz, der sich selbst als Anhang einer CAD-Datei ausgibt und auf infizierten Rechnern solche Dateien abgreift, um sie an die unbekannten Drahtzieher zu schicken.

Die Angreifer missbrauchen eine Möglichkeit des weit verbreiteten Programms AutoCAD, LISP-Skripte als Teile einer Projektdatei nachzuladen. Momentan werden vor allem Firmen in China, Indien und der Türkei, aber auch Deutschland angegriffen.

Die Angriffe sind besonders perfide, da die Täter CAD-Pläne einsetzen, die sie offensichtlich bei anderen Firmen kopiert haben. Ein Beispiel hierfür wären Baupläne von Werkzeugen oder großen, öffentlichen Bauvorhaben. Laut Forcepoint werden mit den Dateien binäre LISP-Skripte der von Autodesk verwendeten Variante Fast-Load AutoLISP (FAS) ausgeliefert. Diese verschleierten Skripte werden oft mit Windows-Dateiattributen oberflächlich versteckt. Das Opfer muss die Projektdateien an bestimmte Orte im Dateisystem kopieren und öffnen. Bei neueren AutoCAD-Versionen muss das Opfer eine Warnung wegklicken, die dem Dialogfenster ähnelt, mit dem Microsoft Office vor der Ausführung von Makros warnt.

Es scheint den Angreifern durchaus zu gelingen, Benutzer zum ausführen des Trojaners zu bringen, da es sich bei den infizierten Dateien um echte digitale Baupläne handelt. Forcepoint geht davon aus, dass dies vor allem dadurch gelingt, da Spearphishing-Mails sehr genau auf den Empfänger, die jeweilige Firma und deren Branche zugeschnitten sind. Der Trojaner kopiert nicht nur Firmengeheimnisse, er nistet sich auch selbsttätig in anderen CAD-Projekten auf dem System ein und wird so von Nutzern unbewusst in der Firma weiter verteilt und unter Umständen sogar an andere Firmen verschickt, mit denen das Opfer zusammenarbeitet.

Die Rafinesse der aktuellen Angreifer setzt neue Maßstäbe. Anwender, die mit entsprechender Software arbeiten, sollten deswegen ähnlich auf der Hut sein wie Nutzer von Office-Programmen, denen Angreifer nun schon seit Jahren – allerdings in weitaus größerem Stil – Trojaner unterschieben wollen.

(hv, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE