Mobile-Menu

APT37 nutzt Rust-basierte Hintertür Neue Backdoor in Windows-Systemen – Angriffe laufen

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Zscaler Germany GmbH
PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

APT37 attackiert Windows-Systeme mit neuer Rust-Backdoor „Rustonotto“. Hintertüren, Malware und Überwachungstools ermöglichen gezielte Spionage – Opfer wurden laut Zscaler vor allem in Südkorea beobachtet.

Die Analysten von Zscaler beobachteten, dass APT37 mit einer neuen Backdoor erstmals die Programmiersprache Rust für Windows-Angriffe nutzt und damit ihre Fähigkeiten zur gezielten Überwachung weiter ausbaut.(Bild: Dall-E / KI-generiert)
Die Analysten von Zscaler beobachteten, dass APT37 mit einer neuen Backdoor erstmals die Programmiersprache Rust für Windows-Angriffe nutzt und damit ihre Fähigkeiten zur gezielten Überwachung weiter ausbaut.
(Bild: Dall-E / KI-generiert)

Das ThreatLabz von Zscaler hat eine Angriffswelle auf Windows-Systeme beobachtet und ist daraufhin auf Aktivitäten der Hackergruppe „APT37“ gestoßen, die auch unter den Namen LScarCruft“, „Ruby Sleet“ und „Velvet Chollima“ agiert. Die Forschenden haben die Infektionskette von APT37 rekonstruiert und herausgefunden, dass sie mit einer Kompromittierung über eine Windows-Verknüpfung oder eine Windows-Hilfedatei beginnt.

Neue Backdoor, Malware und Überwachungstool

Bei den jüngsten Cyberattacken habe APT37 nur einen Command-and-Control-Server (C2) genutzt, um alle Komponenten ihres Malware-Arsenals zu koordinieren. Dazu hätten auch eine Rust-basierte Backdoor – die als „CHILLYCHINO“ bekannt ist und von Zsclaer „Rustonotto“ genannt wird – eine PowerShell-basierte Malware namens „Chinotto“ und „FadeStealer“ gehört. FadeStealer ist ein Überwachungstool, das erstmals 2023 beobachtet wurde. Es zeichnet Tastenanschläge auf, Screenshots und Audiodaten aufnimmt, Geräte und Wechselmedien überwacht und Daten über passwortgeschützte RAR-Archive exfiltriert.

Den Analysen des ThreatLabz zufolge wurde Rustonotto erstmals Juni 2025 aktiv. Diese Backdoor ist den Analysten zufolge der erste bekannte Fall, in dem APT37 Rust-basierte Malware für Angriffe auf Windows-Systeme eingesetzt habe. Rustonotto verfüge über grundlegende Funktionen zum Ausführen von Windows-Befehlen und zum Senden der Ergebnisse an einen von APT37 kontrollierten Server. Zscaler bezeichnet die Backdoor zwar als „leichtgewichtig“, doch sei sie nicht zu unterschätzen. Denn sie würde die Fähigkeiten von APT37 unterstreichen, moderne Programmiersprachen zu nutzen, um damit Multi-Plattform-Angriffe zu starten.

Nach der ersten Kompromittierung über einen Windows-Shortcut oder eine Windows Hilfsdatei mithilfe von Rustonotto, wird ThreatLabz zufolge Chinotto aktiv und platziert im Zuge eines komplexen Infektionsmechanismus das Überwachungstool FadeStealer. Dieses nutzt für seine Aufzeichnung HTTP POST und Base64-Kodierung für die Kommunikation mit seinem Command-and-Control-Server.

Die Untersuchungen von Zscaler ergaben, dass sich die Opfer der beobachteten Angriffskette in Südkorea aufhielten. Obwohl keine genaueren Informationen über die Opfer ermittelt werden konnten, scheinen sie nicht mit Unternehmen oder Regierungsorganisationen in Verbindung zu stehen. Allerdings vermutet ThreatLabz, dass zu den beabsichtigten Zielen Personen gehören, die mit dem nordkoreanischen Regime in Verbindung stehen oder an politischen und/oder diplomatischen Angelegenheiten Südkoreas beteiligt sind.

APT37 sei durch die Einbindung neuer Technologien in Verbindung mit ausgefeilten Social Engineering Techniken in der Lage, sensible Informationen effektiv zu exfiltrieren und Personen von Interesse gezielt zu überwachen. Um die Informationen über ihr Vorgehen zu erhalten, arbeitete ThreatLabz eigenen Angaben zufolge mit der Korea National Police Agency (KNPA) zusammen.

(ID:50551359)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte