Anbieter für Data Loss Prevention wird Opfer einer Hacker-Gruppe
Experten des IT-Sicherheitsherstellers ESET haben aktuell einen Angriff auf das Netzwerk eines ostasiatischen Data-Loss-Prevention-Unternehmens aufgedeckt, zu dessen Kundenportfolio auch Regierungs- und Militäreinrichtungen gehören. Die Forscher führen diesen Angriff mit hoher Wahrscheinlichkeit auf die APT-Gruppe „Tick“ zurück. Deren Profil deutet darauf hin, dass die betroffenen Unternehmen ausspioniert werden sollten.
Es entbehrt nicht der Ironie: Mit dem Einsatz sogenannter Data-Loss-Prevention-Lösungen (DLP) wollen Unternehmen verhindern, dass interne Daten ungewollt das eigene Netzwerk verlassen. Wenn der Softwareanbieter selbst gehackt wird, trifft das nicht nur ihn selbst – auch dessen Kunden sind in Gefahr. Lieferkettenangriffe zählen zu den vielfach unterschätzten Gefahren.
„Während der Infiltration des Anbieter setzten die Angreifer mindestens drei Malware-Familien ein. Dabei kompromittierten sie auch interne Update-Server und haben Installationsprogramme legitimer Tools von Drittanbietern mit Trojanern versehen. Dies führte schließlich zur Ausführung von Malware auf den Computern von mindestens zwei Kunden“, erklärt ESET Forscher Facundo Muñoz, der die jüngste Operation von Tick entdeckt hat. „Die Hacker setzten den bisher nicht dokumentierten Downloader „ShadowPy“ ein sowie die Netboy-Backdoor (alias Invader) und den Ghostdown-Downloader“, so Muñoz weiter.
Erste Aktivitäten schon 2021
ESET entdeckte bereits 2021 einen ersten Angriff und informierte umgehend das DLP-Unternehmen. Im Jahr 2022 registrierte die ESET Telemetrie die Ausführung von bösartigem Code in den Netzwerken zweier Kunden des kompromittierten Anbieters. Da die trojanisierten Installationsprogramme über Fernwartungssoftware übertragen wurden, vermutet ESET Research, dass die Infektion der Rechner während des technischen Supports durch das DLP-Unternehmen stattfand. Auch der Hersteller der Data-Loss-Prevention-Lösung selbst wurde infiziert, nachdem zwei interne Update-Server Schadcode im eigenen Netzwerk verteilten.
Neuer Downloader namens ShadowPy
Der bisher nicht dokumentierte Downloader ShadowPy wurde in Python entwickelt und wird über eine angepasste Version des Open-Source-Projekts py2exe geladen. ShadowPy kontaktiert einen Remote-Server, von dem es neue Python-Skripte erhält, die entschlüsselt und ausgeführt werden.
Die ältere Netboy-Backdoor unterstützt 34 Befehle, darunter das Sammeln von Systeminformationen, das Löschen einer Datei, das Herunterladen und Ausführen von Programmen, das Erfassen von Bildschirminhalten und das Ausführen von Maus- und Tastaturereignissen, die von seinem Controller angefordert werden.
Die APT-Gruppe Tick
Tick (auch bekannt als BRONZE BUTLER oder REDBALDKNIGHT) ist eine APT-Gruppe, die mutmaßlich seit mindestens 2006 aktiv ist und hauptsächlich Länder in der APAC-Region angreift. Die Gruppe ist bekannt für ihre Cyberspionage-Operationen, die sich auf den Diebstahl von Verschlusssachen und geistigem Eigentum konzentrieren. Tick verwendet ein exklusives, maßgeschneidertes Malware-Toolset, das für den dauerhaften Zugriff auf kompromittierte Rechner, die Aufklärung, die Datenexfiltration und den Download von weiteren Werkzeugen entwickelt wurde.
