Mobile-Menu

Analyse von Darktrace Salt Typhoon nutzt bekannte Citrix-Schwachstelle für Angriff in Europa

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Darktrace Limited
PresseBox - unn | UNITED NEWS NETWORK GmbH
sysob IT-Distribution GmbH & Co. KG
FTAPI Software GmbH

Darktrace vermeldet einen Cyberangriff auf ein europäisches Telekom­muni­kations­unternehmen. Die Vorgehensweisen erinnern stark an Salt Typhoon, der Einstieg erfolgte über eine bekannte Schwachstelle in Citrix Netscaler.

Die Akteure nutzten Taktiken wie DLL-Sideloading, den Missbrauch legitimer Antivirus-Software sowie einen C2 via LightNode VPS per HTTP und TCP, um ein europäisches Unternehmen zu infiltrieren.(Bild: Gerd Altmann from Pixabay)
Die Akteure nutzten Taktiken wie DLL-Sideloading, den Missbrauch legitimer Antivirus-Software sowie einen C2 via LightNode VPS per HTTP und TCP, um ein europäisches Unternehmen zu infiltrieren.
(Bild: Gerd Altmann from Pixabay)

Wie der Hersteller Darktrace berichtet, hat sein Analysten-Team Angriffsaktivitäten beo­bach­tet, die mit den Taktiken von „Salt Typhoon“ übereinstimmen. Betroffen sei ein europäisches Te­le­kommunikationsunternehmen gewesen. Die Akteure hätten Taktiken und Techniken wie Side­loading von Dynamic-Link-Libraries (DLL) angewandt sowie legitime Software für ihre Tar­nung missbraucht – Vorgehensweisen, mit denen sich die gefürchtete chinesische APT-Gruppe Salt Typhoon schon oft Zugriff auf Systeme seiner Opfer verschafft hat.

Erstzugriff mithilfe bekannter Sicherheitslücke

In der ersten Juliwoche 2025 hätten die Experten erstmals solche Aktivitäten beobachtet. Da­bei hätten die Akteure eine Schwachstelle in Netscaler Gateway Appliances des Herstellers Cit­rix ausgenutzt, konkret die Schwachstelle CVE-2025-5777, um den Angriff zu starten. Nach er­folg­reicher Ausnutzung hätten sie die Virtual-Delivery-Agent-Hosts (VDA) im Machine-Crea­tion-Services-Subnetz (MCS) eines Citrix-Kunden angegriffen. Darktrace zufolge gingen die ers­ten Zugriffsaktivitäten von einem Endpunkt aus, der möglicherweise mit dem SoftEhter-VPN-Dienst in Verbindung gestanden habe. Dies deute darauf hin, dass die Infrastruktur von der Angreifer von Anfang an verschleiert gewesen sei.

Tools und Command-and-Control-Verbindung

Anschließend habe Darktrace beobachtet, wie die Akteure die Backdoor „SNAPPYBEE“, auch be­kannt als „Deed RAT“ auf mehreren VDA-Hosts installiert hätten. Diese sei als DLL zusammen mit legitimen ausführbaren Dateien für Antiviren-Software wie Norton Antivirus, Bkav Anti­virus und IObit Malware Fighter auf interne Endpunkte ausgeliefert worden.

SNAPPYBEE habe LightNode-VPS-Endpunkte für die C2-Kommunikation genutzt und sowohl über HTTP als auch über ein nicht identifiziertes TCP-basiertes Protokoll kommuniziert. Auch diese Dual-Channel-Konfiguration entspreche der Vorgehensweise von Salt Typhoon, die nicht standardisierte und mehrschichtige Protokolle zur Vermeidung von Erkennung verwendet. Die von der Backdoor demonstrierte HTTP-Kommunikation habe POST-Anfragen mit einem In­ter­net Explorer-User-Agent-Header und Target-URI-Mustern wie „/17ABE7F017ABE7F0“ umfasst. Einer der von den kompromittierten Endpunkten kontaktierten C2-Hosts sei „aar.gandhiblud­tric[.]com (38.54.63[.]75)“ gewesen, eine Domain, die kürzlich mit Salt Typhoon in Verbindung gebracht worden sei.

Darktrace ist sich mit einer mittleren Wahrscheinlichkeit sicher, dass die Aktivitäten mit Salt Typhoon im Zusammenhang stehen. Da die Angreifer ihr böswilliges Vorgehen immer un­auf­fälliger in den regulären Geschäftsbetrieb integrieren können, sei es von enormer Bedeutung, Verhaltensanomalien erkennen zu können. Bereits subtile Abweichungen können mit moder­nen, KI-basierten Lösungen identifiziert und unterschiedliche Signale korreliert werden. Eine proaktvie Verteidigung ist den Experten zufolge unerlässlich, um sich vor modernen Be­dro­hungen zu schützen.

(ID:50644675)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte