Die APT-Gruppe Evasive Panda hat Update-Kanäle legitimer chinesischer Apps gehackt und dann gezielt Mitglieder einer NGO – Nichtregierungsorganisation – ausspioniert. Über automatische Aktualisierung gelangte die Backdoor MgBot in das Netzwerk, so ESET.
Die Forscher des IT-Sicherheitsherstellers ESET haben eine neue raffinierte Kampagne der APT (Advanced Persistent Threat)-Gruppe Evasive Panda aufgedeckt. Diese hackte die Update-Kanäle legitimer chinesischer Apps, um darüber den Installer der MgBot-Malware zu verbreiten. Chinesische Nutzer standen dabei im Mittelpunkt dieser Aktivität, die laut der ESET Telemetrie bereits im Jahr 2020 begann. Die betroffenen Anwender befanden sich in den Provinzen Gansu, Guangdong und Jiangsu und waren Mitglieder einer internationalen Nichtregierungsorganisation (NGO).
Backdoor namens MgBot seit 2014 bekannt
„Evasive Panda verwendet eine Backdoor namens MgBot, die seit ihrer Entdeckung im Jahr 2014 kaum weiterentwickelt wurde. Soweit wir wissen, wurde dieses Schadprogramm bisher von keiner anderen Gruppe verwendet. Daher können wir diese Aktivität mit großer Sicherheit Evasive Panda zuschreiben“, sagt ESET-Forscher Facundo Muñoz, der die jüngste Kampagne entdeckt hat. „Während unserer Untersuchung haben wir festgestellt, dass durch die Ausführung automatischer Updates von legitimer Software auch MgBot-Backdoor-Installer von einwandfreien URLs und IP-Adressen heruntergeladen wurden.“
Aufgrund seiner modularen Architektur kann MgBot seine Funktionalität erweitern, sobald der Schadcode auf dem kompromittierten Computer installiert ist. Zu den Funktionen der Backdoor gehören das Aufzeichnen von Tastatureingaben, das Stehlen von Dateien, Anmeldedaten und Inhalten aus den Tencent Messaging-Apps QQ und WeChat sowie das Aufzeichnen von Audiostreams und in die Zwischenablage kopierten Text.
Angriffskette noch nicht ganz klar
Wie es den Angreifern gelang, Malware über legitime Updates einzuschleusen, steht nicht hundertprozentig fest. Die ESET Forscher vermuten mit hoher Wahrscheinlichkeit entweder eine Kompromittierung der Lieferkette oder sogenannte AitM-Angriffe (Adversary-in-the-Middle).
„Aufgrund des gezielten Charakters der Attacken gehen wir davon aus, dass die Hacker die QQ-Updateserver kompromittierten. Nur so konnten sie einen Mechanismus implementieren, mit dem Benutzer gezielt identifiziert und die Malware ausgeliefert werden konnte. Wir haben in der Tat Fälle registriert, in denen legitime Updates über dieselben missbrauchten Protokolle heruntergeladen wurden“, sagt Muñoz. „Auf der anderen Seite wären AitM-Ansätze zum Abfangen möglich. Das setzt aber voraus, dass die Angreifer anfällige Geräte wie Router oder Gateways manipuliert und Zugang zur ISP-Infrastruktur gehabt hätten.“
Über die APT-Gruppe Evasive Panda
Evasive Panda (auch bekannt als BRONZE HIGHLAND und Daggerfly) ist eine chinesischsprachige APT-Gruppe, die seit mindestens 2012 aktiv ist. Sie betreibt umfangreiche Cyberspionage gegen Einzelpersonen auf dem chinesischen Festland, in Hongkong, Macau und Nigeria. Ein Opfer der aktuellen Kampagne befand sich nachweislich in Nigeria und wurde über die chinesische Software Mail Master von NetEase kompromittiert.
Mehr bei ESET.com
Über ESET ESET ist ein europäisches Unternehmen mit Hauptsitz in Bratislava (Slowakei). Seit 1987 entwickelt ESET preisgekrönte Sicherheits-Software, die bereits über 100 Millionen Benutzern hilft, sichere Technologien zu genießen. Das breite Portfolio an Sicherheitsprodukten deckt alle gängigen Plattformen ab und bietet Unternehmen und Verbrauchern weltweit die perfekte Balance zwischen Leistung und proaktivem Schutz. Das Unternehmen verfügt über ein globales Vertriebsnetz in über 180 Ländern und Niederlassungen in Jena, San Diego, Singapur und Buenos Aires. Für weitere Informationen besuchen Sie www.eset.de oder folgen uns auf LinkedIn, Facebook und Twitter.