Die Sicherheitsexperten von Palo Alto Networks’ Unit 42 haben Details zu einer umfangreichen Cyberespionagekampagne gegen militärische Einrichtungen in Südostasien veröffentlicht. Die Kampagne, intern als CL-STA-1087 bezeichnet, wurde erstmals durch verdächtige PowerShell-Aktivitäten in einem Netzwerk entdeckt, die von neu installierten Agenten der Cortex-XDR-Plattform registriert wurden.
Die Analyse ergab, dass die Angreifer mindestens seit 2020 unentdeckten Zugriff hatten. Besonders bemerkenswert ist der technische Aufwand, den die Attackanten betrieben: Sie entwickelten neuartige Backdoor-Malware und ein spezialisiertes Credential-Stealing-Tool namens Getpass. Zwei Backdoors erhielten die Forscher die Namen “AppleChris” und “MemFun” — beide nutzen sogenannte Dead-Drop-Resolver (DDRs), eine Technik, die auch andere Staatsakteure einsetzen.
Zentral für die Kommunikation war ein cleveres Schema: Die Angreifer nutzten ein gemeinsames Pastebin-Repository mit verschlüsselten Command-and-Control-Adressen, die nur durch einen zweistufigen Entschlüsselungsprozess zugänglich wurden. Zusätzlich setzten sie Dropbox-Konten als DDRs ein und erhielten dadurch sichere, schwer nachzuverfolgbare Kommunikationskanäle über Monate und Jahre hinweg.
Lior Rochberger von Palo Alto Networks betont, dass die Angreifer nicht nur technisch versiert sind, sondern vor allem beeindruckende Geduld zeigten: Sie hielten sich monatelang unbemerkt in Netzwerken auf, gingen bei Bedarf in den Ruhemodus und führten präzise Intelligenzoperationen durch. Dies unterscheide sie grundlegend von Cyberkriminellen mit ihrem “Smash-and-Grab”-Ansatz.
Ein kritischer Aspekt ist die Missbrauchsmöglichkeit legitimer Dienste. Die Angreifer nutzten bekannte Cloud- und Web-Services wie Pastebin und Dropbox — gerade weil diese im normalen Datenverkehr untertauchen und von Sicherheitsteams oft übersehen werden. Palo Alto Networks beobachtet einen Trend zur verstärkten Missbrauchung solcher Services, beschleunigt durch KI-Tools und anonyme Cloud-Dienste.
Rochberger empfiehlt Organisationen daher, den Zugriff auf nicht-autorisierte Content-Hosting-Services strikt zu kontrollieren und verdächtigen Traffic zu diesen Plattformen genau zu überwachen. Für Deutsche Behörden und Unternehmen der kritischen Infrastruktur ist dies eine wichtige Warnung: Auch vermeintlich sichere Kanäle können für Hochrisiko-Operationen missbraucht werden.