Nach der Analyse von Kaspersky verfolgt HeartlessSoul ein klar umrissenes Ziel: „Die Untersuchung der Aktivitäten der Gruppe zeigt ein gezieltes Interesse der Angreifer an Unternehmen der russischen Industrie mit dem Ziel, vertrauliche Daten zu erlangen, insbesondere Geoinformationen“, erklärten die Forscher.
Für die Erstinfektion setzen die Angreifer mehrere Wege parallel ein. Neben Phishing-Mails mit infizierten Archiven betreiben sie Schadwerbekampagnen, die Seiten für Software aus Luftfahrtsystemen imitieren und Opfer zum Download manipulierter Installationsprogramme verleiten. In einigen Fällen richteten die Täter Domains ein, die luftfahrtbezogene Angebote nachahmten, und verteilten darüber Schadsoftware, die als legitime Programme getarnt war. Nach dem Download startet der Infektionsprozess automatisch.
Auch die legitime Software-Plattform SourceForge nutzte die Gruppe zur Verbreitung. Dort luden die Angreifer eine gefälschte Version von GearUP hoch, einem Dienst zur Verbesserung der Verbindungsqualität in Online-Spielen. Wer nach dem Werkzeug suchte, lud stattdessen ein schädliches Archiv herunter, das Spyware installierte.
Ist die Schadsoftware erst auf einem Gerät, kann sie umfangreiche Daten sammeln: Bildschirmfotos, Tastatureingaben, Browserdaten und auf dem System gespeicherte Dateien. Zudem kann sie Zugangsdaten aus dem Messengerdienst Telegram auslesen und den Standort des Geräts bestimmen.
Im Zuge der Untersuchung stießen die Kaspersky-Forscher auf Verbindungen zwischen HeartlessSoul und der Gruppe Goffee, die zuvor russische Systeme angegriffen hatte und dafür bekannt war, sensible Dateien von an infizierten Rechnern angeschlossenen USB-Sticks zu stehlen. Die Überschneidungen könnten laut Kaspersky auf koordinierte oder verwandte Operationen hindeuten.
Während Kaspersky die Luftfahrtbranche als Hauptziel der jüngsten Kampagne nennt, weist der unabhängige russische Sicherheitsanalyst Oleg Schakirow auf einen weiteren Verbreitungsweg hin. Die beschriebene Schadsoftware sei demnach auch über Dateien verteilt worden, die als FPV-Drohnensimulatoren sowie als Werkzeuge zur Umgehung von Beschränkungen des Satelliteninternetdienstes Starlink getarnt waren.
Sollte sich das bestätigen, könnten die Angriffe nicht nur auf Luftfahrtunternehmen, sondern auch auf Drohnenpiloten, Kommunikationsspezialisten oder anderes militärisches Personal gerichtet sein, schrieb Schakirow auf seinem Telegram-Kanal.