Verantwortlich für Cyberangriffe auf die USA So arbeitet die gefährliche Hackergruppe Salt Typhoon

Ausspionieren hochrangiger US-Beamter, Datendiebstahl bei KRITIS-Unternehmen und Cyberangriff auf das US-Finanzministerium: Bei ihren Aktivitäten nutzen die Cyberangreifer hinter Salt Typhoon bereits bekannte Schwachstellen aus sowie besonders raffinierte Malware.

Im vergangenen Jahr mussten sich amerikanische Regierungsorganisationen wie das FBI und die CISA auf APT-Akteure (Advanced Persistent Threat) konzentrieren, die in Verbindung mit der Volksrepublik China stehen. Als Hackergruppe „Salt Typhoon“ haben diese seit Frühjahr 2024 die Netzwerke von Telekommunikationsanbietern aus den USA kompromittiert, um die Daten von Beamten abzufangen. Im Dezember eskalierten die schädlichen Aktivitäten, als die Cyberkriminellen das US-Finanzministerium gehackt haben. Die Cybersicherheitsunter­nehmen Tenable und Trend Micro haben die Tactics, Techniques, and Procedures (TTPs) von Salt Typhoon analysiert und interessante Erkenntnisse über die bedrohliche Hackergruppe gewonnen.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Wie Salt Typhoon 2024 bewies, ist sie eine hochentwickelte Bedrohungsgruppe, deren Ziele die Telekommunikations-, Regierungs- und Technologiebranche – nicht auf die USA beschränkt, sondern weltweit – sind. Den Analysten von Tenable zufolge wird die Gruppe unter verschiedenen Namen verfolgt, darunter FamousSparrow, GhostEmperor, Earth Estries und UNC2286. Trend Micro zufolge ist die Gruppe bereits seit 2023 aktiv und hat sich zu einer der „aggressivsten chinesischen APT-Gruppen“ entwickelt, die sehr gut organisiert sei und eine klare Arbeitsteilung verfolge. Darüber hinaus wird allgemein angenommen, dass Salt Typhoon vom chinesischen Ministerium für Staatssicherheit, seinem Auslandsgeheimdienst und seiner Geheimpolizei betrieben wird.

So verschafft sich Salt Typhoon Zugriff

Tenable hat die Techniken und Methoden von Salt Typhoon genauer unter die Lupe genommen. Die Gruppe verschaffe sich den ersten Zugriff auf fremde Netzwerke in der Regeln, indem sie bekannte Schwachstellen in von außen erreichbaren Systemen ausnutze. Einige dieser bekannten Sicherheitslücken, die bereits von Salt Typhoon ausgenutzt wurden, konnten sowohl Trend Micro wie auch Tenable identifizieren:

Vier dieser CVEs wurden Tenable zufolge in freier Wildbahn als Zero-Day-Schwachstellen ausgenutzt. Zwar sei nicht bekannt, ob Salt Typhoon genau eine dieser Zero-Day-Sicherheits­lücken ausgenutzt habe. Dennoch ließe sich daraus schließen, dass die Cyberkriminellen über ausreichend technische Fähigkeiten verfüge, solche Schwachstellen für ihre Angriffe zu entwickeln und auszunutzen.

Auf der anderen Seite machten Anwender es den Akteuren einfacher: Denn obwohl für die CVEs Patches entwickelt wurden, zeigte die Analyse der Tenable-Daten, dass von fast 300.000 Instanzen, die von CVE-2021-26855 betroffen waren, 91 Prozent ungepatch blieben. Im Falle der beiden Ivanti-Sicherheitslücken, von denen über 20.000 Geräte betroffen waren, wurden 92 Prozent der Geräte mit einem Sicherheitsupdate versorgt.

Sicherheitslücken weltweit

Die schlimmsten Schwachstellen 2024

Backdoors und RATs im Einsatz

Darüber hinaus ist Salt Typhoon dafür bekannt, für einen langen Zeitraum in den Netzwerken ihrer Opfer unentdeckt zu bleiben. Die Akteure würden dafür spezielle Malware verwenden, darunter die Backdoors Ghostspider und Snappybee sowie den Remote Access Trojan (RAT) Masol.

Sowohl Ghostspider wie auch Snappybee sind den Analysten von Trend Micro zufolge modular aufgebaut. Das bedeutet, dass beim initialen Angriff nur ein kleiner Teil der Malware mit grundlegenden Funktionen geladen wird, wie die Kommunikation mit dem Command and Control Server (C&C-Server). Später können die Akteure zusätzliche Funktionen von Ghostspider und Snappybee nachladen für den Datendiebstahl oder die Verschlüsselung von Daten. Diese Methode sei weniger auffällig für Sicherheitslösungen in den Zielsystemen. Genauso wie der RAT Masol sind die beiden Backdoors dafür designt, möglichst lange im Netzwerk ihrer Opfer versteckt zu bleiben. Masol fokussiert sich auf Linux-Server und wird von Salt Typhoon für den langfristigen Fernzugriff auf kompromittierte Systeme eingesetzt, vor allem aber für Spionage.

WolfsBane-Malware

Chinesische Hacker bauen Backdoors in Linux ein

Weltweit mit verschiedenen Untergruppen tätig

Unter anderem mit diesen Werkzeugen habe die Gruppe laut Trend Micro bereits mehr als 20 Organisationen und Unternehmen angegriffen. Die bisherigen Opfer kamen aus folgenden Ländern:

• Afghanistan

• Brazil

• Eswatini

• India

• Indonesia

• Malaysia

• Pakistan

• The Philippines

• South Africa

• Taiwan

• Thailand

• Vereinigte Staaten von Amerika

• Vietnam

Doch Salt Typhoon ist nicht die einzige staatlich geförderte Gruppe aus China. Jede APT-Gruppe des chinesischen Ministerium für Staatssicherheit erhalte Tenable zufolge den Familiennamen Typhoon, zum Beispiel Volt Typhoon und Flax Typhoon. Vor allem Volt Typhoon sei berüchtigt für ihre Persistenz und Tarnung innerhalb kritischer Infrastrukturen. Flax Typhoon hingegen konzentriere sich darauf, Botnetze aus kompromittierten IoT-Geräten aufzubauen. Während also die Ziele und Aktivitäten der Typhoons unterschiedlich sind, haben sie den Analysten zufolge gemein, dass sie ungepatchte und oftmals bekannte Sicherheitslücken für den ersten Zugriff ausnutzen und dafür öffentlich zugängliche Server ins Visier nehmen.

Top Malware in Deutschland

Die gefährlichsten Schadprogramme für deutsche Unternehmen 2024

(ID:50298775)