Microsoft: Mystery Group zielt auf Telekommunikationsunternehmen ab, die mit chinesischen APTs in Verbindung stehen

Häufige Malware hat eine Gruppe von Forschern dazu veranlasst, die einst mysteriöse Sandman-Bedrohungsgruppe, die für Cyberangriffe gegen Telekommunikationsanbieter auf der ganzen Welt bekannt ist, mit einem wachsenden Netz von von der chinesischen Regierung unterstützten Advanced Persistent Threat (APT)-Gruppen in Verbindung zu bringen.

Das Bewertung von Bedrohungsinformationen ist das Ergebnis einer Zusammenarbeit zwischen Microsoft, SentinelLabs und PwC und bietet nur einen kleinen Einblick in die allgemeine Komplexität und Breite des Chinesisches APT Bedrohungslandschaft, so die Forscher.

Sandman wurde erstmals im August nach einer Reihe von Fällen identifiziert Cyberangriffe auf Telekommunikationsunternehmen im Nahen Osten, Westeuropa und Südasien, die insbesondere eine Hintertür namens „LuaDream“ nutzten, die auf der Programmiersprache Lua basiert, sowie eine Hintertür namens „Keyplug“, die in C++ implementiert wurde.

SentinelOne sagte jedoch, seine Analysten seien nicht in der Lage gewesen, die Ursprünge der Bedrohungsgruppe zu identifizieren – bis jetzt.

„Die von uns analysierten Proben weisen keine eindeutigen Indikatoren auf, die sie sicher als eng verwandt oder aus derselben Quelle stammend klassifizieren würden, wie etwa die Verwendung identischer Verschlüsselungsschlüssel oder direkte Überschneidungen bei der Implementierung“, heißt es in der neuen Studie. „Wir haben jedoch Anzeichen für gemeinsame Entwicklungspraktiken und einige Überschneidungen bei Funktionalitäten und Design beobachtet, was auf gemeinsame funktionale Anforderungen der Betreiber schließen lässt.“ Das ist in der chinesischen Malware-Landschaft keine Seltenheit.“

Dem neuen Bericht zufolge wurden die Lua-Entwicklungspraktiken sowie die Einführung der Keyplug-Hintertür offenbar mit dem in China ansässigen Bedrohungsakteur STORM-08/Red Dev 40 geteilt, der ebenfalls dafür bekannt ist, Telekommunikationsunternehmen im Nahen Osten und Südasien ins Visier zu nehmen.

Chinesische APT-Links

Der Bericht fügte hinzu, dass ein Mandiant-Team dies zuerst gemeldet habe Keyplug-Hintertür wird verwendet von dem bekannte chinesische Gruppe APT41 bereits im März 2022. Darüber hinaus stellten Microsoft- und PwC-Teams fest, dass die Keyplug-Hintertür an mehrere weitere in China ansässige Bedrohungsgruppen weitergegeben wurde, fügte der Bericht hinzu.

Die neueste Keyplug-Malware verschafft der Gruppe den Forschern zufolge mit neuen Verschleierungstools einen neuen Vorteil.

„Sie unterscheiden STORM-0866/Red Dev 40 von den anderen Clustern aufgrund spezifischer Malware-Merkmale, wie z. B. einzigartiger Verschlüsselungsschlüssel für die KEYPLUG Command-and-Control (C2)-Kommunikation und einem höheren Gefühl der Betriebssicherheit, wie z. B. der Abhängigkeit von der Cloud.“ -basierte Reverse-Proxy-Infrastruktur, um die wahren Hosting-Standorte ihrer C2-Server zu verbergen“, heißt es in dem Bericht.

Die Analyse des C2-Setups und der Malware-Stämme LuaDream und Keyplug ergab Überschneidungen, „was auf gemeinsame Funktionsanforderungen ihrer Betreiber hindeutet“, fügten die Forscher hinzu.

Wachsende, effektive Zusammenarbeit zwischen einem wachsendes Labyrinth chinesischer APT-Gruppen erfordert einen ähnlichen Wissensaustausch innerhalb der Cybersicherheitsgemeinschaft, fügte der Bericht hinzu.

„Die beteiligten Bedrohungsakteure werden mit ziemlicher Sicherheit weiterhin zusammenarbeiten und sich koordinieren und neue Ansätze erkunden, um die Funktionalität, Flexibilität und Heimlichkeit ihrer Malware zu verbessern“, heißt es in dem Bericht. „Die Übernahme des Lua-Entwicklungsparadigmas ist ein überzeugendes Beispiel dafür. Die Bewältigung der Bedrohungslandschaft erfordert eine kontinuierliche Zusammenarbeit und den Informationsaustausch innerhalb der Forschungsgemeinschaft für Bedrohungsinformationen.“

• SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
• PlatoData.Network Vertikale generative KI. Motiviere dich selbst. Hier zugreifen.
• PlatoAiStream. Web3-Intelligenz. Wissen verstärkt. Hier zugreifen.
• PlatoESG. Kohlenstoff, CleanTech, Energie, Umwelt, Solar, Abfallwirtschaft. Hier zugreifen.
• PlatoHealth. Informationen zu Biotechnologie und klinischen Studien. Hier zugreifen.
• Quelle: https://www.darkreading.com/threat-intelligence/microsoft-mystery-group-targeting-telcos-chinese-apts