Iran-gestützte Cyberangriffe: BladedFeline nutzt Whisper und Spearal Malware gegen irakische und kurdische Ziele

Im Bereich der Cyberkriegsführung hat sich 2024 ein neuer Schwerpunkt auf die Aktivitäten iranisch ausgerichteter Hackergruppen gelegt, die sich auf die gezielte Infiltration und Überwachung staatlicher Stellen in Nahost konzentrieren. Besonders die Gruppe BladedFeline steht im Mittelpunkt der Aufmerksamkeit, da sie mit spezifisch entwickelten Malware-Werkzeugen wie Whisper und Spearal gezielt Regierungsbehörden im Irak und der Kurdistan-Region angreift. Diese Kampagnen verdeutlichen nicht nur die zunehmende Cyberbedrohung für kritische Infrastrukturen und politische Institutionen, sondern werfen auch Fragen zu den geopolitischen Spannungen und strategischen Zielen der beteiligten Akteure auf. BladedFeline wird von Sicherheitsforschern mit mittlerer Sicherheit als Untergruppe der bekannten iranischen Cyberoperativgruppe OilRig eingestuft, die seit 2017 aktiv ist. Der Fokus liegt darauf, langfristigen Zugang zu hochrangigen Regierungsvertretern zu erhalten, insbesondere im Irak und der kurdischen Regionalregierung (KRG).

Diese Vorgehensweise zeigt die strategische Bedeutung dieser Regionen für iranische Interessen sowie den Wunsch, politische und finanzielle Informationen zu sammeln und zu manipulieren. Die Malware-Werkzeuge, die von BladedFeline verwendet werden, zeigen eine bemerkenswerte technische Vielfalt und Raffinesse. Whisper, ein in C#/.NET geschriebenes Backdoor-Programm, arbeitet über Microsoft Exchange-Konten, um über E-Mail-Anhänge mit seinen Kontrollservern zu kommunizieren. Diese Methode nutzt sogenannte legitime Kommunikationskanäle, was die Erkennung erheblich erschwert.

Spearal hingegen setzt auf DNS-Tunneling, eine Technik, bei der DNS-Anfragen zum Transport von Befehlen und Daten missbraucht werden. Dieses Vorgehen hilft den Angreifern, Firewall-Regeln zu umgehen und verdeckt ihre Kommunikationswege effektiv. Der Nachfolger von Spearal, Optimizer, bringt zwar kaum funktionale Neuerungen mit sich, zeigt jedoch, dass die Gruppe laufend an der Anpassung und Verbesserung ihrer Tools arbeitet, um der jeweils aktuellen Sicherheitslage voraus zu sein. Neben diesen Backdoors wurden auch Python-basierte Implantate wie Slippery Snakelet entdeckt, die begrenzte, aber gezielte Funktionen besitzen, wie das Ausführen von Kommandos, das Herunterladen und Hochladen von Dateien. Zusätzlich setzen die Angreifer Tunneling-Tools namens Laret und Pinar ein, um persistenten Zugang zu den Zielnetzwerken sicherzustellen.

Ein besonders raffinierter Ansatz ist die Verwendung eines schadhaften IIS-Moduls namens PrimeCache, das als passiver Backdoor fungiert. Es überwacht HTTP-Anfragen auf bestimmte Cookie-Header und exfiltriert bei passender Identifikation Informationen automatisiert an die Angreifer. Die Kombination dieser vielfältigen Werkzeuge zeigt einen hohen Grad an technischer Expertise und Engagement seitens der Angreifer, die kontinuierlich neue Methoden entwickeln, um ihre Aktivitäten zu verschleiern und aufrechterhalten. Die Erstentdeckung dieser Gruppe geht zurück auf Angriffe 2023, bei denen ein einfach gehaltenes Trojaner-Backdoor namens Shahmaran gegen kurdische diplomatische Vertreter eingesetzt wurde. Im Verlauf des Jahres 2024 intensivierten sich die Angriffe, sowohl gegen Regierungsinstitutionen in Irak und Kurdistan als auch gegen einen Telekommunikationsanbieter in Usbekistan, was die regionale Ausdehnung der Operationen unterstreicht.

Die Vermutung, dass der initiale Einbruch auf Schwachstellen in öffentlich zugänglichen Applikationen zurückgeht, zielt besonders auf gut platzierte Web-Schnittstellen, deren Absicherung von den Angreifern systematisch ausgenutzt wird. Nach dem Eindringen wird häufig der Flog-Webshell eingesetzt, die dauerhaften Fernzugriff gewährleistet und eine einfache Steuerung durch die Hacker ermöglicht. Im Zusammenhang mit BladedFeline ist auch das Malware-Artefakt Hawking Listener aufgetaucht, das auf VirusTotal im Jahr 2024 hochgeladen wurde. Dieses Werkzeug agiert als früher Entwicklungs-Stadium von Implantaten und ermöglicht Fernsteuerung über die Windows-Kommandozeile. Die strategischen Ziele dieser Cyberoffensive sind vielfältig und unterstreichen die geopolitische Brisanz der betroffenen Regionen.

Die Kurdistan-Region verfügt über bedeutende Erdölreserven und unterhält enge diplomatische Beziehungen zu westlichen Staaten, was sie zu einem lukrativen Ziel für Spionage und Einflussnahme macht. Im Irak selbst verfolgen die Akteure offenbar das Ziel, westlichen Einfluss nach der US-geführten Invasion und Besatzung zu minimieren und stattdessen die eigenen politischen Interessen durchzusetzen. Dabei werden sensible diplomatische und finanzielle Informationen gesammelt, mit denen sich politische Entscheidungen beeinflussen oder sogar erpressen lassen. Die besonderen Angriffsmethoden von BladedFeline verdeutlichen den Wandel im Bereich der Cyberspionage vom einmaligen Hack hin zu langfristig angelegten und gut organisierten Operationen. Statt oberflächlicher Einbrüche setzen die Angreifer auf breit gefächerte Werkzeuge, die taktisch aufeinander abgestimmt sind, um die eigene Präsenz im Zielnetzwerk über Monate oder sogar Jahre hinweg zu sichern.

Die Verbindung zur Gruppe OilRig bekräftigt das Bild einer iranisch gelenkten Cyberkampagne, die seit Jahren beständig ausgebaut wird. Der Vergleich mit anderen Untergruppen wie Lyceum hilft dabei, unterschiedliche Taktiken und Werkzeuge zu kategorisieren und besser zu verstehen. Die im Jahr 2024 veröffentlichte Analyse von Check Point bestätigt, dass die Verbreitung von Whisper und Spearal häufig über Social-Engineering-Techniken erfolgt, die gezielt Mitarbeiter und Entscheidungsträger in die Falle locken. Phishing-Mails und manipulierte elektronische Dokumente gehören zu den bevorzugten Methoden, um initialen Zugang zu erlangen. Für Sicherheitsverantwortliche in der Region und weltweit steigt damit die Dringlichkeit, Abwehrmechanismen und Überwachungssysteme anzupassen.

Ein besonderer Fokus muss auf die Absicherung von Kommunikationsservern wie Microsoft Exchange und die Überwachung verdächtiger DNS-Anfragen gelegt werden. Zudem gilt es, die Mitarbeitenden für Social-Engineering-Attacken zu sensibilisieren und regelmäßige Sicherheitsupdates durchzuführen, um bekannte Schwachstellen zu schließen. Die Erkennung komplexer Backdoors wie Whisper und Spearal stellt eine Herausforderung dar, da diese Tools legitime Protokolle und Kommunikationswege nutzen. Moderne Sicherheitstechnologien, wie Verhaltensanalysen, intelligente Erkennungsmethoden und Threat-Hunting-Strategien, sind unerlässlich, um versteckte Angriffe aufzudecken und zu verhindern. Die Erkenntnisse rund um BladedFeline verdeutlichen auch allgemein die zunehmende Bedeutung von Cyberespionage als Instrument staatlicher Machtpolitik.

Über digitale Angriffstechniken lassen sich Informationen gewinnen, Entscheidungen beeinflussen und strategische Vorteile erlangen, ohne konventionelle militärische Mittel einsetzen zu müssen. Somit ist die Cyberabwehr längst zu einem zentralen Element der nationalen Sicherheit geworden. Die Situation im Mittleren Osten spiegelt dies exemplarisch wider, da verschiedene Akteure versuchen, über digitale Mittel ihren Einfluss auszubauen und geopolitische Ambitionen durchzusetzen. Die kontinuierlichen Angriffe auf Regierungsstellen und kritische Infrastrukturen im Irak und Kurdistan zeigen, wie verletzlich diese Strukturen gegenüber gut organisierten und technisch versierten Bedrohungen sind. Umso wichtiger ist eine internationale Zusammenarbeit im Bereich der Cybersicherheit sowie der Austausch von Informationen zwischen Sicherheitsfirmen, Regierungsbehörden und betroffenen Organisationen.

Nur durch gebündelte Anstrengungen lassen sich Angriffe frühzeitig erkennen, ihre Auswirkungen minimieren und zukünftige Kampagnen effektiv verhindern. Zusammenfassend verdeutlicht der Fall BladedFeline eindrucksvoll, wie moderne Cyberkriminalität und Cyberkriegführung ineinandergreifen. Die hochentwickelten Malware-Tools Whisper und Spearal, die gezielte Auswahl hochrangiger Ziele und die enge Verbindung zu staatlichen Akteuren zeigen, dass Cyberspionage ein zentrales Element im geopolitischen Machtkampf geworden ist. Unternehmen und Regierungen sind daher gefordert, ihre Schutzstrategien kontinuierlich zu verbessern, um dieser dynamischen Bedrohungslage gewachsen zu sein und die digitale Souveränität ihrer Nationen und Organisationen zu sichern.