Mobile-Menu

Phantom Taurus Neue Erkenntnisse zu durch China unterstützter Bedrohungsgruppe

Quelle: Pressemitteilung 1 min Lesedauer

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH
FAST LTA GmbH
FTAPI Software GmbH
Insider Research

Unit 42 von Palo Alto liefert neue Details zur chinesischen Hackergruppe Phantom Taurus. Nach fast drei Jahren Analyse zeigt sich: Die Angreifer nutzen neuartige Tarnmethoden und kompromittieren gezielt Webserver über die NET-STAR-Suite.

Unit 42 verfolgt die Aktivitäten von Phantom Taurus seit fast drei Jahren und liefert nun neue Einblicke in die Arbeitsweise der Gruppe.(Bild: © Antonio - stock.adobe.com)
Unit 42 verfolgt die Aktivitäten von Phantom Taurus seit fast drei Jahren und liefert nun neue Einblicke in die Arbeitsweise der Gruppe.
(Bild: © Antonio - stock.adobe.com)

Das „Unit 42“-Team von Palo Alto hat die Aktivitäten der chinesischen Hackergruppe „Phan­tom Taurus“ nach einer fast drei Jahre andauernden Untersuchung nun publik gemacht. Ende 2022 begann laut Unit 42 eine großangelegte Angriffskampagne von Phantom Taurus. Die aktu­elle Analyse liefert erstmals genauere Einblicke in die eingesetzten Tools und Verschlei­er­ungs­techniken.

Die Gruppe verwendet Werkzeuge wie „TunnelSpecter“ und „SweetSpecter“, um E-Mails zu stehlen. Mit der von den Unit- 42-Forschern benannten NET-STAR-Suite kompromittiert die Gruppe Web-Server. NET‑STAR ist eine bislang undokumentierte .NET‑Malware für Microsoft IIS, bestehend aus dem fileless‑Backdoor IIServerCore und zwei Assembly‑Loadern. Anders als viele Hacker verschwindet Phantom Taurus nach einer erfolgreichen Operation nicht aus den Systemen ihrer Opfer, sondern kehrt innerhalb von Stunden oder Tagen zurück.

Das Ziel von Phantom Taurus: Spionage

Unit 42 zufolge unterstützt die chinesische Regierung Phantom Taurus. Ihr Ziel ist es, Cyber­spionage zu betreiben. Die Malware von Phantom Taurus unterstützt Kommandos für Datei­systemoperationen, SQL-Ausführung und Web Shell Management. Darüber hinaus manipuliert sie Zeitstempel, was die Zugriffserhaltung erleichtert. Die beobachteten Opfer befinden sich in Afrika, im Nahen Osten und in Asien. Konkret gefährdet sind Organisationen, die diplomatische Dienste, Außen- oder Verteidigungsministerien oder kritische Telekom Infrastruktur betreiben.

So kann man sich vor den Angriffen schützten

Unit 42 nennt in ihrem Report Indikatoren für eine Kompromittierung (Indicators of Com­pro­mise; kurz: IoCs), darunter Hashes für die NET-STAR-Komponenten. Unternehmen sollten diese in ihre Sicherheitslösungen integrieren und Log-Daten auf verdächtige Aktivitäten prüfen. Em­pfoh­len wird zudem, bekannte Command-and-Control-Domains zu blockieren, Webserver re­gel­mäßig zu patchen und mehrstufige Authentifizierungsverfahren einzusetzen.

(ID:50580767)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte