In ihrem Vortrag „Tropic Trooper Reloaded: Unraveling the Invisible Supply Chain Mystery" schilderten die Itochu-Forscher Suguru Ishimaru und Satoshi Kamekawa einen Lieferketten-Angriff, bei dem die Malware ohne erkennbare Herkunft ausgeliefert wurde.

„Wir fanden eine komplexe Infektionskette, die einen Cobalt-Strike-Beacon mit dem Wasserzeichen 520 auslieferte – das Tropic Trooper seit 2024 verwendet und das daher als Kennzeichen für die Aktivität der Gruppe dienen kann", erklärte Ishimaru. Das Opfer schien eine legitime ausführbare Datei (youdaodict.exe) heruntergeladen zu haben, um eine bekannte Wörterbuch-App zu aktualisieren. In dem Update steckten jedoch zwei sehr kleine Dateien, darunter eine verdächtige .xml-Datei als Quelle der Infektion. Zunächst blieb unklar, wie das Update überhaupt kompromittiert worden war.

Eine Nachuntersuchung ergab, dass unbefugte Änderungen am Heimrouter des Ziels vorgenommen worden waren. Als derselbe Rechner ein Jahr später erneut mit identischer Routine infiziert wurde, nahmen die Forscher die Ermittlungen wieder auf und entdeckten eine Manipulation des DNS für das Software-Update: Domain und ausführbare Datei waren echt, doch die tatsächliche IP-Adresse war geändert. Der kompromittierte Heimrouter leitete die DNS-Einstellungen auf einen Server der Angreifer um – ein sogenannter „Evil Twin"-Angriff. Damit zeige Tropic Trooper Interesse an persönlichen Geräten außerhalb des Büroumfelds, so Ishimaru.

Kamekawa berichtete von weiteren Funden: Die Forscher stießen auf einen offen zugänglichen Amazon-S3-Speicher mit 48 Dateien, darunter neue Malware-Sätze und Phishing-Seiten, die Anmeldeseiten von Signal und anderen Apps nachahmten. „Es ist klar, dass Tropic Trooper hochkarätige Einzelpersonen mit maßgeschneiderten Köderdateien in Japan, Taiwan und Südkorea ins Visier nimmt", sagte er.

Da die Gruppe mitunter IP-Adressen und Dateinamen wiederverwendet, erzwang das Team per Brute-Force die Dateinamen der Befehls- und Kontrollserver (C2) und legte so weitere Schadsoftware frei. Aus fünf verschlüsselten .dat-Dateien entschlüsselten die Forscher neue Malware: die quelloffenen Loader DaveShell und Donut Loader, die erstmals bei Tropic Trooper beobachtet wurden, die Go-basierten Fernzugriffstrojaner Merlin Agent und Apollo Agent aus dem Open-Source-C2-Framework Mythic Agents sowie die einfache, in Go geschriebene Backdoor C6DOOR. Daneben nutzt die Gruppe weiterhin ältere, bekannte Werkzeuge wie die Backdoor EntryShell, stark verschleierte Varianten des Xiangoop-Loaders und den erwähnten Cobalt-Strike-Beacon.

Auch Zscaler ThreatLabz verfolgt die jüngsten Aktivitäten und beschrieb diese Woche ein bösartiges ZIP-Archiv mit militärisch gestalteten Köderdokumenten, das chinesischsprachige Personen in Japan und Südkorea ins Visier nahm. Die beobachtete Kampagne nutzte eine trojanisierte SumatraPDF-Datei, um einen AdaptixC2-Beacon und schließlich VS Code auf den Zielrechnern einzuschleusen. Der Zscaler-Blog enthält eine lange Liste von Kompromittierungsindikatoren (IoCs).