Backdoor „VShell“ Chinesisches Spionage-Tool auf über 1.500 Servern

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Nviso hat eine chinesischsprachigen Gruppen zugeordnete Spionage­kam­pag­ne entdeckt, bei der die Backdoor VShell weltweit über 1.500 Server in­filtrierte, um langfristigen Zugang zu Behörden, Militär-, Gesundheits- und Forschungsnetzwerken – auch in Europa – zu erlangen.

Der belgische Sicherheitsanbieter Nviso berichtet, eine groß angelegte Cyberspionage­kam­pag­ne aufgedeckt zu haben, bei der die Backdoor „VShell“ auf mehr als 1.500 Servern installiert war. Die Forschenden bringen die Malware mit chinesischsprachigen Akteuren in Verbindung. Sie sei für die Infiltration von Regierungsbehörden, Gesundheitsdienstleistern, militärischen Ein­richtungen und Forschungsorganisationen genutzt worden. Auch Regierungsbehörden und -einrichtungen in Europa seien betroffen.

Teil 3 der Operation Endgame

Europol schaltet 1.025 Server ab

Funktionsweise von VShell

Laut dem Nviso-Report „Decoding VShell” hat sich die Cyberspionage durch mit China ver­bun­dene Gruppen in den letzten zehn Jahren von offenem und opportunistischem Daten­dieb­stahl zu stillen, langfristigen Infiltrationsstrategien entwickelt. Das Ziel der Kampagnen sei es nicht nur, Daten zu stehlen, sondern einen strategischen Zugang zu kritischen Infrastrukturen in Sektoren wie Energie, Gesundheit, Kommunikation und Transport zu erhalten. Ein solcher Zugang könne in Zeiten geopolitischer Spannungen zur Überwachung, Einflussnahme oder für Störungen genutzt werden. Teil einer solchen Spionagekampagne sei auch die VShell-Infra­struk­tur.

VShell sei ursprünglich als legitimes Open-Source-Sicherheitsprojekt entwickelt worden, habe sich jedoch zu einem leistungsstarken Remote Access Trojaner (RAT) entwickelt. Die Backdoor unterstütz Nviso zufolge verschlüsselte Kommunikation, Dateiübertragung, Bildschirmauf­zeich­nung und Befehlsausführung. Nach der Installation ermögliche sie es Angreifern, sich la­teral über Systeme hinweg zu bewegen und dabei nur minimale forensische Spuren zu hinter­lassen. Die Analysten von Nviso hätten während Forensik-Arbeiten eine Spur von VShell auf einem kompromittierten Server entdeckt. Infolge weiterer Untersuchungen stießen die Analys­ten darauf, dass nicht nur ein Server kompromittiert gewesen sei, sondern es eine globale Infrastruktur kompromittierter Systeme gebe.

Neue Angriffsmethoden bedrohen Microsoft 365 & Azure-Umgebungen

Wie Angreifer KI nutzen, um Microsoft-365-Konten zu übernehmen

Laut dem Nviso-Report zeigt die Analyse, dass kompromittierte Systeme nach der Infektion mit VShell vollständig unter der Kontrolle der Angreifer stehen. Die Malware ermögliche nicht nur das Ausführen beliebiger Befehle, sondern auch das Live-Ausspähen des Systems inklusive Screenshots, Dateizugriff, Upload und Download von Dateien sowie interaktiver Terminal-Sitz­ungen. Darüber hinaus würden die Angreifer häufig „One-Click“-Persistenzmechanismen ein­setzen und zusätzliche Tools wie „Mimikatz“ oder „fscan“ direkt über die Backdoor nach­laden, was Privilegienausweitung und weitere Kompromittierungen im Netzwerk erleichtere. Nviso berichtet zudem, dass die VShell-Betreiber kompromittierte Systeme oft in Proxys umwandeln, um da­rüber weiteren Datenverkehr zu tunneln und zusätzliche Angriffe im Netzwerk oder da­rüber hinaus durchzuführen. Insgesamt seien VShell-basierte Operationen in der Regel lang­fristig angelegt und dienten der unbemerkten Spionage, Vorpositionierung und dem Zu­gangs­börsenhandel, teilweise über Monate hinweg.

Phantom Taurus

Neue Erkenntnisse zu durch China unterstützter Bedrohungsgruppe

Wer steckt hinter der Spionagekampagne?

Zwar wurden Aktionen mit VShell bisher der Hackergruppe „UNC5174“, einem mutmaßlichen Initial Access Broker, der mit dem chinesischen Ministerium für Staatssicherheit in Verbindung steht, zugeschrieben, doch Nviso weist darauf hin, dass das Tool öffentlich verfügbar ist und so­mit auch von anderen chinesischsprachigen oder anderen staatsunabhängigen Akteure ein­ge­setzt werde. Nviso bezeichnet VShell als Teil eines wachsenden und vielfältigen Ökosystems von Angreifern.

Cyber-physische Systeme im Visier von APT-Gruppen

Wie staatlich unterstützte Angreifer OT-Systeme ins Visier nehmen

Schutz vor VShell

Da VShell überwiegend über die Ausnutzung bekannter Schwachstellen in öffentlich erreich­baren Systemen eingeschleust wird, empfiehlt Nviso ein mehrstufiges Sicherheitsmodell. Dazu gehöre vor allem ein konsequentes Vulnerability Management, insbesondere für internet­ex­po­nierte Systeme, sowie die Absicherung von Appliances, die häufig Ziel initialer Exploitation seien. Unternehmen sollten darüber hinaus ihre Netz­werk­seg­mentierung ver­bessern, um die laterale Bewegung von Angreifern einzuschränken, und Outbound-Traffic strikt regulieren, um unautorisierte Command-and-Control-Verbindungen zu unterbinden. Nviso rät außerdem zur Nutzung von Network Detection and Intrusion Detection Systemen wie „Suricata“, um spe­zifi­sche Erkennungsregeln für VShell zu entwickeln. Ergänzend empfiehlt der Report proaktives Threat Hunting und eine schnelle forensische Analyse bei Verdachtsfällen. Ein strukturierter Incident-Response-Plan sollte zudem Containment, Bereinigung, Passwort-Resets und die Ent­fernung aller Persistenzmechanismen umfassen.

Backdoor MiniJunk und Stealer MiniBrowse

Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

(ID:50628182)