Chinesische Spionagekampagne greift Telekommunikationsanbieter mit neuer Linux- und Windows-Malware an

Zusammenfassung

Eine chinesische Cyber-Spionagekampagne nimmt seit mindestens Mitte 2022 Telekommunikationsanbieter ins Visier und setzt dabei zwei neu entdeckte Schadprogramme ein: die Linux-Malware Showboat und das Windows-Implantat JFMBackdoor. Betroffen sind Organisationen im asiatisch-pazifischen Raum sowie in Teilen des Nahen Ostens. Forscher von Lumens Black Lotus Labs und PwC Threat Intelligence schreiben die Operation der Bedrohungsgruppe Calypso zu, die auch unter dem Namen Red Lamassu geführt wird. Für ihre Angriffe richteten die Täter mehrere Domains mit Telekommunikationsbezug ein, um ihre Ziele zu imitieren. Der ursprüngliche Infektionsweg von Showboat ist bislang unbekannt. Das Linux-Implantat ist ein modulares Post-Exploitation-Framework, das auf dauerhafte Persistenz nach der Erstkompromittierung ausgelegt ist. Sobald es auf einem Zielsystem aktiv ist, sammelt es Informationen über den Host und übermittelt sie an einen Command-and-Control-Server. Die Analyse der Angriffsinfrastruktur deutet darauf hin, dass die Werkzeuge wahrscheinlich von mehreren China-nahen Gruppen gemeinsam genutzt werden, die jeweils unterschiedliche Regionen anvisieren und auf dasselbe Malware-Ökosystem zurückgreifen.

Nach Angaben von Black Lotus Labs handelt es sich bei Showboat – auch als kworker bezeichnet – um ein modulares Post-Exploitation-Framework, das nach einer erfolgreichen Erstkompromittierung für langfristige Persistenz sorgen soll. Wie die Angreifer ursprünglich in die Systeme eindringen, ist nicht bekannt.

Ist die Malware einmal installiert, beginnt sie mit dem Sammeln von Host-Informationen und sendet diese an einen Command-and-Control-Server. Showboat kann außerdem Dateien hoch- und herunterladen, den eigenen Prozess verbergen und sich über einen neu angelegten Dienst dauerhaft im System verankern.

Eine bemerkenswerte Funktion ist laut den Forschern von Black Lotus Labs der Befehl „hide": Damit kann sich ein Prozess auf dem Rechner tarnen, indem er Code von externen Webseiten wie Pastebin oder Online-Foren abruft und diese als sogenannten „toten Briefkasten" nutzt.

Die zentrale Funktion von Showboat besteht jedoch darin, als SOCKS5-Proxy und Pivot-Punkt für Port-Weiterleitung zu dienen. So verschafft sich die Malware einen Brückenkopf auf kompromittierten Endpunkten und ermöglicht es den Angreifern, sich seitlich auf andere Systeme im internen Netzwerk zu bewegen.

Die Infektionskette unter Windows analysierten Forscher von PwC Threat Intelligence. Sie beginnt mit der Ausführung eines Batch-Skripts, das Schadkomponenten ablegt und so ein DLL-Sideloading vorbereitet (fltMC.exe und FLTLIB.dll). Am Ende dieser Kette wird das eigentliche Schadprogramm JFMBackdoor geladen – laut den Forschern ein voll ausgestattetes Windows-Implantat für Spionagezwecke.

Die Untersuchung der Angriffsinfrastruktur legt nahe, dass die Täter nach einem teilweise dezentralen Modell arbeiten: Mehrere Cluster teilen ähnliche Muster bei der Zertifikatserzeugung sowie dasselbe Werkzeugarsenal, greifen aber jeweils unterschiedliche Opfergruppen an. Lumen schlussfolgert daraus, dass das Werkzeugset wahrscheinlich von mehreren China-nahen Bedrohungsgruppen gemeinsam genutzt wird, die jeweils verschiedene Regionen anvisieren und auf dasselbe Malware-Ökosystem zurückgreifen.

Chinesische Spionagekampagne greift Telekommunikationsanbieter mit neuer Linux- und Windows-Malware an

Ähnliche Artikel

Neueste Artikel