Ashen Lepus Hamas-nahe Gruppe greift diplomatische Einrichtungen an

Anbieter zum Thema

FTAPI Software GmbH

Eine APT-Gruppe aus dem Nahen Osten führt Cyberspionage gegen di­plo­matische Einrichtungen durch. Mit einer neuen Malware zielt die Gruppe auf Regierungsstellen ab und erweitert ihre Aktivitäten zunehmend auch auf andere Regionen. Organisationen sollten sich vor dieser Bedrohung wapp­nen.

Unit42, die Forschungseinheit von Palo Alto Networks, berichtet, über mehrere Monate hinweg die Aktivitäten einer APT-Gruppe (Advanced Persistent Threat) analysiert zu haben. Diese ist für ihre Spionageaktivitäten gegen arabischsprachige Regierungsstellen berüchtigt. Verfolgt wird die Gruppe aus dem Nahen Osten unter dem Namen „Ashen Lepus“ und ist auch bekannt als „WIRTE“.

Analyse von Darktrace

Salt Typhoon nutzt bekannte Citrix-Schwachstelle für Angriff in Europa

Wer ist Ashen Lepus?

In einem Blogbeitrag fasst Unit42 die Ergebnisse einer langjährigen, schwer fassbaren Spio­nagekampagne zusammen, die sich gegen Regierungs- und diplomatische Einrichtungen im gesamten Nahen Osten gerichtet habe. Dabei habe Ashen Lepus neue Versionen ihres bereits dokumentierten, benutzerdefinierten Loaders verwendet und damit eine neue Malware-Suite namens „AshTag“ verbreitet. Die Gruppe habe außerdem ihre Command-and-Control-Archi­tek­tur (C2) aktualisiert, um Analysen zu entgehen und sich in den legitimen Internetverkehr ein­zufügen.

Ashen Lepus sei bereits während des gesamten Israel-Hamas-Konflikts aktiv und unterscheide sich damit von anderen Hamas-nahen Gruppen, deren Aktivitäten im selben Zeitraum abnah­men. Die Gruppe habe seine Kampagne auch nach dem Gaza-Waffenstillstand im Oktober 2025 fortgesetzt, indem sie neu entwickelte Malware-Varianten eingesetzt habe und aktiv in die Sys­te­me der Opfer eingegriffen habe.

Während Unit42 den Operationen der Gruppe über die vergangenen Jahre hinweg nur eine mäßige Raffinesse nachwies, habe sie in letzter Zeit fortgeschrittenere Taktiken eingeführt, darunter:

• Verbesserte benutzerdefinierte Payload-Verschlüsselung

• Verschleierung der Infrastruktur durch legitime Subdomains

• Ausführung im Arbeitsspeicher zur Minimierung forensischer Spuren

Teil 3 der Operation Endgame

Europol schaltet 1.025 Server ab

So geht Ashen Lepus vor

Ashen Lepus ist den Sicherheitsforschern zufolge dafür bekannt, Ziele in geografischer Nähe anzugreifen, wie beispielsweise die Palästinensische Autonomiebehörde, Ägypten und Jorda­nien. Die jüngsten Kampagnen würden eine deutliche Ausweitung des operativen Umfangs zeigen. Laut aktuellen Uploads auf VirusTotal ziele die Gruppe nun auch auf Ziele in anderen arabischsprachigen Ländern ab, darunter Oman und Marokko.

Trotz der größeren geografischen Reichweite ihrer jüngsten Angriffe würden die Köder der Gruppe weitgehend gleich bleiben. Als Köder bezeichnet Unit42 gezielte Inhalte oder Nach­rich­ten, die von Cyberkriminellen verwendet werden, um Personen dazu zu verleiten, auf Links zu klicken oder schädliche Dateien herunterzuladen, um sie in die Falle zu locken und sensible Informationen zu stehlen oder Malware auf ihren Systemen zu installieren. Die meisten Köder von Ashen Lepus würden sich auf geopolitische Angelegenheiten des Nahen Ostens beziehen, insbesondere auf solche, die die Palästinensischen Gebiete betreffen. Die aktuelle Kampagne zeige jedoch einen Anstieg von Ködern, die sich auf die Türkei und ihre Beziehungen zur Palästinensischen Verwaltung beziehen.

Für den Erstzugriff verwende Ashen Lepus eine mehrstufige Infektionskette, die typischerweise mit einem harmlosen PDF-Dokument beginne. Dieses solle die Zielpersonen mithilfe der Köder zu einem Dateiübertragungsdienst führen, um ein RAR-Archiv mit einer schädlichen Payload herunterzuladen.

Hacktivismus 2025: Sichtbarkeit statt Heimlichkeit

Wie Hacktivisten ihre Angriffe über Hashtags koordinieren

Besteht eine Gefahr für Europa?

Obwohl Ashen Lepus meist Ziele in geografischer Nähe angreife, könnte die Gruppe laut Unit 42 auch für Europa zur Bedrohung werden. Denn die Analyse zeige, dass die Gruppe ihre Reich­wei­te erweitert habe und sogar neue Zielthemen, die über die Palästinensischen Gebiete hinaus­ge­hen, integriere, darunter auch Aussagen zu geopolitischen Themen, die für andere Regionen bedeutsam sein könnten.

Zudem deute die Entwicklung neuer Malware und deren Einsatz für Cyberspionage darauf hin, dass die Gruppe in der Lage sei, ihre Taktiken und Werkzeuge zu adaptieren, um auch in an­der­en Regionen, einschließlich Europa, ihre Ziele zu verfolgen. Organisationen, insbesondere im Regierungs- und diplomatischen Sektor, sollten sich der Möglichkeit bewusst sein, dass solche Bedrohungen auch sie erreichen können.

Zum Schutz empfiehlt Unit42 die Etablierung moderner Sicherheitslösungen, darunter Bedrohungserkennung wie Extended Detection and Response, URL Filtering, DNS Security sowie die Bereitstellung von Schulungen und Sensibilisierung für mögliche Phishing-Angriffe vor Ashen Lepus.

Cyberspionage

Hybride Angriffe auf Europas Drohnenindustrie

(ID:50667562)