Spionageaktivitäten in der APAC-Region Salt Typhoon organisiert Zugangs­handel unter APT-Gruppen

Anbieter zum Thema

TREND MICRO Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Ein Spionagenetzwerk bestehend aus China-nahen APT-Gruppen wie Salt Typhoon und Earth Naga tauscht gezielt Zugänge auf IT-Systeme aus. Das Modell „Premier-Pass-as-a-Service“ erschwert die Zuordnung von Angriffsketten und erhöht das Tempo komplexer Kampagnen.

Trend Micro analysiert in einem aktuellen Bericht die koordinierten Aktivitäten der China-nahen Hackergruppen Salt Typhoon, auch bekannt als Earth Estries und Earth Naga. Die beiden Advanced Persistent Threats (APT) setzen auf ein abgestimmtes Kollaborationsmodell, bei dem kompromittierte Zugänge gezielt weitergereicht werden. Durch diese Kollaboration tritt Salt Typhoon als Anbieter von Zugängen auf und agiert als Zugangsmakler. Die Akteure reduzieren dadurch den Aufwand für Initialzugriffe und können komplexe Spionagekampagnen schneller und verdeckter umsetzen.

Backdoor MiniJunk und Stealer MiniBrowse

Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

„Premier-Pass-as-a-Service“ als neues Angriffsmodell

Die Analyse zeigt, wie Salt Typhoon als Initial Access Provider fungiert und Earth Naga gezielt in bestehende Zielumgebungen einbindet. Dieses Vorgehen bezeichnen die Forscher als „Premier-Pass-as-a-Service“. Dabei erfolgt die Zugangsweitergabe nicht wahllos, sondern koordiniert entlang einer festgelegten Einsatzabfolge. Infrastruktur, Werkzeuge und Berechtigungen werden zwischen Gruppen abgestimmt. Dadurch lassen sich Angriffe schwerer einzelnen Akteuren zuordnen und bleiben länger unentdeckt.

Weltweites Spionagesystem

BSI warnt vor Salt Typhoon

Angriffswellen mit abgestimmter Übergabe

Trend Micro hat drei Angriffsphasen dokumentiert, die über mehrere Monate gingen:

• November 2024: Salt Typhoon übergibt den Zugang zu einem Retail-Netzwerk in der APAC-Region an Earth Naga, mutmaßlich auf Basis von gestohlenen Zugangsdaten und persistenter Systemmanipulation.

• März 2025: Angriff auf eine südostasiatische Behörde mithilfe kombinierter Toolchains beider Gruppen.

• Frühjahr bis Sommer 2025: Angriffe auf Telekommunikationsunternehmen in Asien sowie auf ein Ziel in einem NATO-Mitgliedstaat. Der Fokus liegt auf Edge-Geräten, E-Mail-Infrastruktur und lateralem Bewegungsraum innerhalb kompromittierter Netzwerke.

Gruppen nutzen gemeinsame Infrastruktur

In den beobachteten Kampagnen kommen bekannte Schadprogramme und Offensivwerkzeuge zum Einsatz. Dazu zählen die Backdoors „CrowDoor“ und „ShadowPad“, das Framework „Cobalt Strike“ sowie Loader wie „Draculoader“. Technisch auffällig ist die Nutzung von DLL-Sideloading, gestaffelter Payload-Nachladung und legitimen Remote-Diensten wie dem Remote Desktop Protocol oder Anydesk als Tarnmechanismus. Dabei entstehen kontinuierliche Sitzungen mit sich überlagernden Spuren. So operieren mehrere Angreifer in denselben Netzwerken, ohne sich gegenseitig zu stören.

Angriffsrollen überlappen, Verteidigung wird komplexer

Das Vorgehen von Salt Typhoon und Earth Naga weicht von bekannten Mustern der Initial Access Broker ab. Statt einmaliger Zugangskäufe erfolgt eine systematische Weitergabe funktionsfähiger Einstiegspunkte an Partnergruppen. Die Rollen wechseln dynamisch zwischen Zugangslieferanten, Angreifern und Infrastrukturanbietern. Dies erschwert nicht nur die technische Attribution, sondern verlangt auch eine angepasste Verteidigungsstrategie.

Trend Micros Empfehlungen für Sicherheitsverantwortliche

Zur besseren Erkennung solcher vernetzten Angriffskampagnen empfehlen die Analysten im Report „The Rise of Collaborative Tactics Among China-aligned Cyber Espionage Campaigns“ unter anderem:

• Korrelation von Prozess- und Netzwerksitzungen über verschiedene Tool-Familien hinweg, etwa beim Wechsel von Command-and-Control-Endpunkten

• Erfassung und gezielte Autorisierung von legitimen Fernwartungstools

• Priorisierung bekannter Schwachstellen in Edge-Komponenten und deren Monitoring

• Telemetrieauswertung mit Fokus auf Rollenverteilung und Übergabepunkte statt rein auf Taktiken, Techniken und Verfahren (TTPs)

Malvertising

Neue Analyse enthüllt die komplexen Strukturen von Vane Viper

(ID:50611053)