Thought Leadership
Die Forscher des IT-Sicherheitsherstellers ESET haben eine neue raffinierte Kampagne der APT (Advanced Persistent Threat)-Gruppe Evasive Panda aufgedeckt. Diese hackte die Update-Kanäle legitimer chinesischer Apps, um darüber den Installer der MgBot-Malware zu verbreiten. Chinesische Nutzer standen dabei im Mittelpunkt dieser Aktivität, die laut der ESET-Telemetrie bereits im Jahr 2020 begann.
Die betroffenen Anwender befanden sich in den Provinzen Gansu, Guangdong und Jiangsu und waren Mitglieder einer internationalen Nichtregierungsorganisation (NGO). Detaillierte Forschungsergebnisse veröffentlichten die ESET-Experten auf Welivesecurity.de.
„Evasive Panda verwendet eine Backdoor namens MgBot, die seit ihrer Entdeckung im Jahr 2014 kaum weiterentwickelt wurde. Soweit wir wissen, wurde dieses Schadprogramm bisher von keiner anderen Gruppe verwendet. Daher können wir diese Aktivität mit großer Sicherheit Evasive Panda zuschreiben“, sagt ESET-Forscher Facundo Muñoz, der die jüngste Kampagne entdeckt hat. „Während unserer Untersuchung haben wir festgestellt, dass durch die Ausführung automatischer Updates von legitimer Software auch MgBot-Backdoor-Installer von einwandfreien URLs und IP-Adressen heruntergeladen wurden.“
Aufgrund seiner modularen Architektur kann MgBot seine Funktionalität erweitern, sobald der Schadcode auf dem kompromittierten Computer installiert ist. Zu den Funktionen der Backdoor gehören das Aufzeichnen von Tastatureingaben, das Stehlen von Dateien, Anmeldedaten und Inhalten aus den Tencent Messaging-Apps QQ und WeChat sowie das Aufzeichnen von Audiostreams und in die Zwischenablage kopierten Text.
Wie es den Angreifern gelang, Malware über legitime Updates einzuschleusen, steht nicht hundertprozentig fest. Die ESET-Forscher vermuten mit hoher Warscheinlichkeit entweder eine Kompromittierung der Lieferkette oder sogenannte AitM-Angriffe (Adversary-in-the-Middle).
„Aufgrund des gezielten Charakters der Attacken gehen wir davon aus, dass die Hacker die QQ-Updateserver kompromittierten. Nur so konnten sie einen Mechanismus implementieren, mit dem Benutzer gezielt identifiziert und die Malware ausgeliefert werden konnte. Wir haben in der Tat Fälle registriert, in denen legitime Updates über dieselben missbrauchten Protokolle heruntergeladen wurden“, sagt Muñoz. „Auf der anderen Seite wären AitM-Ansätze zum Abfangen möglich. Das setzt aber voraus, dass die Angreifer anfällige Geräte wie Router oder Gateways manipuliert und Zugang zur ISP-Infrastruktur gehabt hätten.“
Über Evasive Panda
Evasive Panda (auch bekannt als BRONZE HIGHLAND und Daggerfly) ist eine chinesischsprachige APT-Gruppe, die seit mindestens 2012 aktiv ist. Sie betreibt umfangreiche Cyberspionage gegen Einzelpersonen auf dem chinesischen Festland, in Hongkong, Macau und Nigeria. Ein Opfer der aktuellen Kampagne befand sich nachweislich in Nigeria und wurde über die chinesische Software Mail Master von NetEase kompromittiert.
Weitere Informationen:
Zusätzliche technische Informationen über den Evasive Panda-Angriff finden Sie im Blogpost „APT Gruppe Evasive Panda verteilt Malware als Updates beliebter chinesischer Software“ auf WeLiveSecurity.de.
www.eset.com/de
