Transparent Tribe modernisiert Malware für Spionageangriffe in Afghanistan

Transparent Tribe zählt laut dem Bericht zu den aktivsten APT-Gruppen Pakistans. Die Gruppe wurde in der Vergangenheit wiederholt bei Spionage gegen Regierungen und Militärs im benachbarten Indien und Afghanistan beobachtet. Die Art dieser Operationen hat Forscher seit längerem zu der Einschätzung geführt, dass die Gruppe für den pakistanischen Staat arbeitet.

Acronis beobachtete in diesem Jahr eine technisch erneuerte Angriffskampagne mit den neuen Backdoors Patchcord und Sheetcord. Patchcord, ein neu dokumentiertes Implantat in C++, beherrscht grundlegende Funktionen wie Host-Fingerprinting und die Auflistung laufender Prozesse. Besonders wichtig ist laut Acronis jedoch, dass die Malware beliebigen Code direkt im Arbeitsspeicher ausführen kann. Eine erstmals im März gesehene Variante prüfte zudem, ob sie in einer virtuellen Maschine oder einer Sandbox läuft.

Auffällig ist dabei ein Widerspruch im Aufbau von Patchcord. Einerseits setzt die Malware auf In-Memory-Ausführung und Schutz vor Analyse, was auf den Wunsch nach möglichst unbemerktem Betrieb hindeutet. Andererseits verwendet sie als zentrales Persistenzverfahren eine alte und weithin bekannte Methode: das Kapern von Browser-Verknüpfungen auf dem Desktop. Dabei verändert die Malware die Verknüpfung so, dass beim Klick zunächst Patchcord und erst danach der gewünschte Browser gestartet wird. Für den Nutzer bleibt das unauffällig, weil Symbol und Browserstart unverändert erscheinen.

Nach Einschätzung von Acronis-Senior-Researcher Subhajeet Singha ist genau diese Technik vergleichsweise leicht abzuwehren. Wenn Malware versuche, Verknüpfungen zu verändern, würden viele Endpoint-Produkte das erkennen. Es handele sich um eine verbreitete und alte Methode.

Wenn Transparent Tribe mit solchen einfachen Tricks womöglich nicht durchkommt, setzt die Gruppe laut Acronis auf Sheetcord und den Remote-Access-Trojaner Sheetcreep. Sheetcord ist eine in Go geschriebene Weiterentwicklung von Patchcord. Anders als Patchcord nutzt sie einen konventionelleren Persistenzmechanismus über einen Windows-Startprozess und tarnt ihren Command-and-Control-Verkehr, indem sie ihn über Google Sheets leitet.

Zu den jüngsten Zielen in Afghanistan zählten laut Acronis große Regierungs- und Telekommunikationsorganisationen, aber auch ein kleines Unternehmen und eine nicht identifizierte Einzelperson. Die Phishing-Köder gaben sich unter anderem als Netzwerk- und Logistikwerkzeuge eines großen afghanischen Telekommunikationsunternehmens aus. Auch die C2-Domains ahmten große indische Regierungsorganisationen und afghanische Telekommunikationsanbieter nach.

Dark Reading bestätigte konkret, dass Transparent Tribe ein afghanisches Tochterunternehmen eines internationalen Konzerns sowie einen IT-Beauftragten der Khost-Niederlassung von Afghan Telecom (AFTEL) erfolgreich infizierte. Laut Singha stahl der Angreifer Daten von dessen Desktop und sichtete WhatsApp- und private Daten. Diese Informationen nutze die Gruppe demnach, um weitere Phishing-Köder, etwa Excel-Dateien, für zusätzliche Mitarbeiter zu entwerfen und sich anschließend lateral im gesamten Unternehmen auszubreiten.

Auch in Indien bereitete Transparent Tribe laut Acronis gezielt Phishing-Material für mehrere Behörden vor, darunter die Verteidigungs- und Außenministerien, das National Informatics Centre als Teil des Ministry of Electronics and Information Technology sowie die Indian Air Force. Hinweise auf erfolgreiche Kompromittierungen liegen dort jedoch nicht vor. Singha berichtete zudem, CERT-In reagiere auf die Angriffe vor allem durch ein breites Blockieren der inzwischen sehr bekannten Infrastruktur der Gruppe.

Als drittes Framework entdeckte Acronis schließlich HackerAI. Diese Malware wurde den Forschern zufolge wahrscheinlich mit Unterstützung eines KI-Codierwerkzeugs erstellt und nutzt GitHub Gist für Command-and-Control. Singha verwies dabei auf die geringere Cybersicherheitsreife in Afghanistan: In diesem Umfeld könne die Gruppe auch mit rasch zusammengebauter Malware ihre Ziele erreichen.