Neue Angriffsmethoden der chinesischen Hackergruppe Earth Preta

In einem neuen Blogbeitrag widmet sich Trend Micro Earth Preta (auch Mustang Panda). Die Hackergruppe setzt in einer neuen Angriffswelle auf selbstverbreitende Malware, die sich über Wechseldatenträger ausbreitet, sowie auf Spear-Phishing-Kampagnen.

Ziel der Angriffe sind derzeit hauptsächlich Regierungsbehörden in der Asien-Pazifik-Region (APAC). Die Gruppe nutzt Wechseldatenträger als Infektionsvektor und verfolgt Cyber-Spionage, um Systeme zu kontrollieren und Daten zu stehlen. Trend Micro berichtete kürzlich über eine Zunahme der Aktivitäten chinesischer Bedrohungsakteure, zu denen auch Earth Preta gehört.

Richard Werner, Security Advisor bei bei Trend Micro, ordnet die Aktivitäten der Gruppe ein:

„Würmer – in diesem Fall die eingesetzte selbstverbreitende Software – sind ein wenig aus der Mode gekommen. Eine Infektion über sie ist typischerweise sehr schnell und damit im Verhältnis zu anderen Angriffsmethoden deutlich wahrnehmbarer. Würmer sind auch nicht selektiv, sondern greifen im Prinzip alles an, was verwundbar ist. Das heißt, dass beispielsweise ein staatlicher Angreifer das Risiko hat, ebenfalls Schaden an der eigenen Infrastruktur anzurichten. Um dieses Risiko zu mindern, verwenden die Täter hier die Propagierungsmethode „Wechseldatenträger“ (z.B. USB-Sticks). Das verkompliziert die Sache und birgt andere Risiken.

Zum einen muss der Angreifer es schaffen, dass die Schadroutine auch im gewünschten Ziel ankommt – was nur funktioniert, wenn das Opfer auch diese Art Datenträger verwendet. Zum anderen steigt die Wahrscheinlichkeit mit jeder weiteren – durch den Angreifer nicht mehr kontrollierbaren – Kompromittierung, dass er entdeckt wird und seine komplette Operation auffliegt. Auch bei Wechseldatenträgerinfektionen besteht die Möglichkeit, dass sie außerhalb des gewünschten Einsatzbereiches verwendet werden. Die Schadvariante „Stuxxnet“ sollte beispielsweise über die USB-Sticks von Servicetechnikern das iranische Atomprogramm sabotieren. Sie wurde allerdings auch außerhalb des Irans nachgewiesen, da dieselben USB-Sticks von den nicht eingeweihten Servicetechnikern international eingesetzt wurden.

Eine unmittelbare Bedrohung für Deutschland sehe ich nur insofern, als dass es ein großes Interesse an sensiblen Daten gibt und der Datenhunger der chinesischen Regierung bemerkenswert ist. Dass wir auch in Deutschland offen über beispielsweise Vorratsdatenspeicherung diskutieren, zeigt mir, dass in demokratischen Rechtsstaaten Verwendungszwecke relevant wären.“