TL;DR: Das Wichtigste
- Das US-Justizministerium und das FBI haben sieben Domains beschlagnahmt, die von Cyber-Söldnern genutzt wurden. Über diese Adressen wurden die Programme „Microscan“ und „FishHub“ gesteuert, die dazu dienten, kritische Infrastrukturen weltweit auszuspionieren.
- Das Unternehmen Integrity Technology Group verwaltete diese Tools im Auftrag des mit Peking verbundenen Kollektivs Flax Typhoon. Diese private Organisation verkaufte schlüsselfertige Dienstleistungen im Bereich der Computer-Einbrüche an staatliche Akteure.
- Um seine Spuren zu verwischen, stützte sich der Microscan-Scanner auf ein Netzwerk aus vernetzten Geräten, die über den Mirai-Virus gehackt worden waren. Er testete automatisch mehr als 1.300 bekannte Sicherheitslücken auf nicht aktualisierten Servern.
- Sieben verbündete Regierungen haben eine gemeinsame Warnung veröffentlicht, um diese Auslagerung von Cyberspionage anzuprangern. Die Behörden weisen darauf hin, dass das Abschalten von Servern nicht ausreicht, um Teams zu stoppen, die in der Lage sind, ihre Angriffswerkzeuge neu zu entwickeln.
Das FBI und die US-Justiz haben sieben Internetdomains beschlagnahmt, die von der Gruppe „Flax Typhoon“ genutzt wurden, um ihre Cyberspionage-Tools gegen kritische Infrastrukturen weltweit einzusetzen. Die in Pennsylvania durchgeführte Operation hat den Zugriff auf die Plattformen Microscan und FishHub unterbunden, wie aus den von CyberScoop eingesehenen Gerichtsunterlagen hervorgeht. Diese Massnahme rückt die Aktivitäten eines chinesischen Privatunternehmens ins Rampenlicht, das staatlichen Spionagebehörden schlüsselfertige Hacking-Dienstleistungen verkauft.
Cyber-Söldner liefern Peking Werkzeuge für die Cyberspionage
Die Angreifer setzen Cyberspionage-Tools ein, die darauf ausgelegt sind, die Erkennung von Sicherheitslücken und den Datendiebstahl zu automatisieren. Das Pekinger Unternehmen Integrity Technology Group lieferte diese Programme an die Spionagegruppe „Flax Typhoon“, die auch unter den Namen „Ethereal Panda“ und „RedJuliett“ bekannt ist. Den von SecurityAffairs veröffentlichten Details zufolge waren diese Cyber-Söldner für die technische Entwicklung und das Hosting der Angriffsserver im Auftrag ihrer staatlichen Kunden zuständig.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Um ihre Angriffe unbemerkt starten zu können, stützten sich diese Spezialisten auf eine Armee von vernetzten Geräten, die mithilfe der Malware „Mirai“ gehackt worden waren. Im Juni 2024 umfasste ihr Netzwerk mehr als 1,2 Millionen infizierte Router und Kameras, davon über 385.000 in den Vereinigten Staaten. Etwa 260.000 Geräte waren ununterbrochen in Betrieb und dienten als anonyme Relaisstationen, um den tatsächlichen Standort der chinesischen Hacker zu verschleiern.
Microscan und FishHub durchsuchen Netzwerke und plündern E-Mails
Die erste Software, Microscan, funktionierte als in Python programmierter Schwachstellenscanner. Sie war direkt über das Internet zugänglich und führte mehr als 1.300 Testskripte aus, um ungepatchte Schwachstellen in Software wie Apache Struts, Jenkins oder Oracle WebLogic aufzuspüren. Die Ermittler stellten fest, dass das Tool einen Stromversorger in South Carolina, Flughäfen in Japan und Polen sowie taiwanesische Universitäten ins Visier nahm, bei denen bestätigte Einbrüche festgestellt wurden.
Das zweite Tool, FishHub, übernahm nach dem Versand der betrügerischen E-Mails die Aufgabe, Spyware zu installieren. Die Hacker nutzten fünf gefälschte Domainnamen, die beliebte Dienste imitierten, um die Wachsamkeit der Opfer zu täuschen, wie BleepingComputer berichtet. Nach der Installation extrahierte die Malware vertrauliche Dokumente und ermöglichte es den Hackern, die gehackten E-Mail-Konten direkt in einem Webbrowser einzusehen.
Analyse
Der Kampf gegen Cyberspionage und Cyberangriffe gleicht einem endlosen Wettlauf. Diese von der US-Justiz und dem FBI durchgeführte Beschlagnahme gegen „Flax Typhoon“ verdeutlicht das Ausmass des Problems. Auch wenn zwei wichtige Angriffsmethoden – die Kombination aus Botnetzen und manuellen Hackerangriffen – unschädlich gemacht wurden, verfügen diese Gruppen weiterhin über die Fähigkeit, ihre Werkzeuge rasch wieder aufzubauen, um sensible Daten ins Visier zu nehmen.
Die Staaten haben Schwierigkeiten, ausgelagerte Angriffe dauerhaft zu unterbinden
Diese Methode der ausgelagerten Spionage bereitet den westlichen Geheimdiensten derzeit Sorge. Eine koordinierte Warnmeldung aus sieben Ländern, darunter die Vereinigten Staaten, das Vereinigte Königreich, Kanada und Spanien, weist darauf hin, dass diese Akteure automatisierte Scans, manuelle Auswertungen und das Ausprobieren gängiger Passwörter mithilfe der Software EBurst kombinieren, wie The Register berichtet.
Die Behörden hatten bereits im September 2024 ein Netzwerk aus 200.000 Rechnern dieser Firma zerschlagen, doch die Angreifer haben ihre Flotte rasch wieder aufgebaut. Laut Hackread nutzte die Gruppe zudem die Software „SoftEther VPN“ auf der Domain 98aiblog.com, um sich einen verborgenen und dauerhaften Zugriff auf die Netzwerke der Opfer zu sichern.
Die Schliessung dieser sieben Domains bremst zwar die laufenden Vorgänge, löst jedoch nicht das eigentliche Problem. Angesichts von Akteuren, die in der Lage sind, grosse Mengen an Kommunikationsdaten abzufangen, weisen die Experten von Europol darauf hin, dass der Schutz sensibler Daten bereits heute vorausschauend gewährleistet werden muss, da Angriffsinfrastrukturen letztendlich immer wieder in anderer Form auftauchen.
Häufig gestellte Fragen zu den Tools von Flax Typhoon
Was ist die von Flax Typhoon verwendete Microscan-Software?
Microscan ist ein von der chinesischen Firma Integrity Technology Group entwickelter Schwachstellenscanner. Er testet automatisch mehr als 1.300 bekannte Sicherheitslücken, um Einfallstore in die Server von Unternehmen oder Institutionen zu finden.
Wie stiehlt das Programm „FishHub“ Informationen?
FishHub wird auf einem Computer installiert, nachdem eine gefälschte Phishing-E-Mail geöffnet wurde. Das Programm sucht nach Arbeitsdateien, komprimiert diese und überträgt sie auf die Server der Hacker, wobei es diesen zudem ermöglicht, die E-Mails der Opfer zu lesen.
Wozu diente das Netzwerk aus mit Mirai gehackten Routern?
Dieses Netzwerk verband Hunderttausende vernetzter Geräte und gehackter Heimrouter miteinander. Die Angreifer leiteten ihre Angriffe über diese Geräte weiter, um ihre tatsächliche Internetadresse zu verschleiern.
Warum reicht diese Polizeiaktion nicht aus, um die Angriffe zu unterbinden?
Die Beschlagnahme sperrt die zum Zeitpunkt der Ermittlungen genutzten Webadressen, lässt das Unternehmen, das diese herstellt, jedoch nicht verschwinden. Diese durch öffentliche Aufträge finanzierten Einrichtungen verfügen über die Fähigkeiten, neue Tools zu programmieren und andere Geräte zu hacken.
Hat Ihnen dieses Monitoring Zeit gespart?
Spendieren Sie einen Kaffee, um die Arbeit zu würdigen und DCOD kostenlos und unabhängig zu halten.
