Noch treibt der Bedrohungsakteur CeranaKeeper nur Datendiebstahl in Asien. Dort nutzt er Dienste wie Pastebin, Dropbox, OneDrive und GitHub für den Datendiebstahl. ESET hat erkannt, dass der Angreifer modifizierte Komponenten der chinesischen APT-Gruppe Mustang Panda bzw. Earth Preta nutzt.
In einem neuen Bericht schreiben die Forscher des ESET Research-Team die Tools und Aktivitäten eines neuen Bedrohungsakteurs namens CeranaKeeper, der mit China in Verbindung steht. Dieser konzentriert sich auf die massive Exfiltration von Daten in Südostasien. Aktuell ist die Gruppe am meisten in Thailand aktiv.
Die Forscher von ESET beobachteten ab 2023 mehrere Kampagnen gegen thailändische Regierungseinrichtungen. Die Angriffe nutzten modifizierte Komponenten, die zuvor der chinesischen APT-Gruppe Mustang Panda zugeschrieben wurden. Später kamen neue Tools hinzu, die Dienste wie Pastebin, Dropbox, OneDrive und GitHub missbrauchten. Diese führen Befehle auf kompromittierten Computern aus und exfiltrieren sensible Dokumente.
Wichtige Erkenntnisse zu CeranaKeeper
- Die Gruppe aktualisiert ständig ihre Backdoor, um der Entdeckung zu entgehen, und variiert ihre Methoden, um eine massive Datenexfiltration zu unterstützen.
- CeranaKeeper missbraucht beliebte, legitime Cloud- und File-Sharing-Dienste wie Dropbox und OneDrive, um benutzerdefinierte Backdoors und Extraktions-Tools zu implementieren.
- Die Gruppe nutzt die Pull-Request- und Issue-Comment-Funktionen von GitHub, um eine getarnte Reverse Shell zu erstellen. GitHub, eine beliebte Online-Plattform für den Austausch und die gemeinsame Arbeit an Code, dient dabei als C&C-Server.
CeranaKeeper ist seit mindestens Anfang 2022 aktiv. Die Gruppe zielt vor allem auf staatliche Einrichtungen in asiatischen Ländern wie Thailand, Myanmar, Philippinen, Japan und Taiwan. ESET vermutet eine Ausrichtung auf chinesische Interessen. Bemerkenswert ist die unermüdliche Datenjagd der Gruppe. Die Angreifer setzen eine Vielzahl von Werkzeugen ein, um möglichst viele Informationen aus kompromittierten Netzwerken zu extrahieren.
Angreifer entwickeln neue Techniken
In der analysierten Operation verwandelte die Gruppe kompromittierte Maschinen in Update-Server. Sie entwickelte eine neue Technik für eine versteckte Reverse Shell unter Verwendung von GitHub-Funktionen. Außerdem verwendete sie Einwegkomponenten, um ganze Dateistrukturen zu sammeln.
Die Forscher haben CeranaKeeper kurz im ESET APT Activity Report Q4 2023-Q1 2024 vorgestellt, der im Mai 2024 veröffentlicht wurde. In einem gesonderten Bericht beschreiben die Experten die bisher undokumentierten, maßgeschneiderten Tools von CeranaKeeper.
Mehr bei ESET.com
Über ESET ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu genießen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Jena, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.de oder folgen uns auf LinkedIn, Facebook und Twitter.