Kaspersky konnte nach eigenen Angaben nicht abschließend klären, wie GhostContainer ursprünglich auf die Exchange-Server gelangte. Die Forscher gehen jedoch davon aus, dass die Angreifer eine bereits zuvor beobachtete Technik nutzten: das Auslesen von Verschlüsselungsschlüsseln aus Exchange und die Manipulation von Microsofts Webanwendungs-Framework, um die Backdoor direkt im Arbeitsspeicher des Servers auszuführen.
Auffällig ist der Umgang der Gruppe mit ihrer Werkzeugsammlung: Archive mit Hacking-Tools legte NightEagle laut Kaspersky auf GitHub ab. Repositories und Dateien erhielten dabei Namen, die legitimer Software ähneln sollten – genannt werden unter anderem AdobeSync und TrueConf.
Nach dem ersten Zugriff nutzten die Angreifer Schwächen im Active Directory aus, also in Microsofts System zur Verwaltung von Nutzern, Rechnern und Berechtigungen in Unternehmensnetzen. Auf diesem Weg erlangten sie höhere Privilegien und bewegten sich zwischen Systemen. So konnten sie den Zugang aufrechterhalten, Zugangsdaten stehlen und sich als legitime Nutzer ausgeben. Letztlich versuchten die Angreifer, Domänencontroller zu kompromittieren – jene Server, die für die Zugriffsverwaltung im gesamten Netzwerk eine zentrale Rolle spielen.
“Um den geografischen Zielbereich ihrer Ziele auszuweiten, aktualisiert NightEagle seine Methoden und setzt neue Techniken für Persistenz und laterale Bewegung ein”, fassten die Kaspersky-Forscher zusammen.
Die öffentliche Bekanntheit der Gruppe reicht bis Juli 2025 zurück. Damals beschrieben Forscher des chinesischen Sicherheitsunternehmens QiAnXin eine Operation, die sie als APT-Q-95 verfolgten. Sie ordneten die Aktivität als Cyberspionage ein und berichteten von Angriffen auf Microsoft-Exchange-Server, bei denen nach damaliger Einschätzung möglicherweise eine bis dahin unbekannte Schwachstelle zum Einsatz kam. Betroffen waren Organisationen in China aus Verteidigung, Halbleiterfertigung, künstlicher Intelligenz und Quantentechnologie.
Den Namen NightEagle wählten die Forscher, weil die Operatoren ihre Angriffe typischerweise während der Nachtstunden in China ausführten und die genutzte Infrastruktur häufig wechselten.
Chinesische Sicherheitsforscher brachten die Gruppe zuvor mit Nordamerika in Verbindung. Diese Behauptungen wurden von anderen Forschern nicht unabhängig bestätigt; die Zuordnung der Gruppe bleibt unsicher.