Hack-for-Hire Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Die Silk-Typhoon-Saga schlägt weitere Kreise. Am italienischen Flughafen Malpensa wurde ein vermeintlicher Drahtzieher unmittelbar nach seiner Ankunft aus Shanghai festgenommen. Was als Urlaubsreise mit Gattin geplant war, endete für den IT-Manager in Handschellen.

Gegen den 33-jährigen Xu Zewei werden schwere Vorwürfe erhoben: Computer- und Telekommunikationsbetrug, Verschwörung zur Schädigung und zum unbefugten Zugriff auf geschützte Computersysteme sowie schwere Identitätsdiebstähle. Die ersten Details zu seiner Festnahme blitzten durch die italienischen Medien mit der Wucht eines Wirbelsturms; die Entscheidung über seine Auslieferung steht aus.

Xu Zewei soll zwischen Februar 2020 und Juni 2021 an Einbrüchen in US-Computersysteme maßgeblich beteiligt gewesen sein. Zu den Hacks zählt eine Angriffswelle, die gezielt Zero-Day-Exploits in Microsoft Exchange Server ausnutzte. Diese Serie von Attacken, bekannt als Hafnium-Kampagne, sei laut Microsoft eine der größten Bedrohungen für die IT-Sicherheit der vergangenen Jahre.

Die italienischen Behörden beraten gerade noch über den US-Auslieferungsantrag. Im Falle einer Überstellung in die USA wird sich der 33 jährige chinesische Staatsbürger Xu Zewei schweren Vorwürfen stellen müssen. Anklagepunkte umfassen neben den Angriffen gegen Microsoft Exchange unter anderem auch COVID-19-Forschungsdiebstahl und andere Spionagevorfälle.

Die Verteidigung führt als Argument Verwechslung ins Feld. Der Nachname Zewei sei in China weit verbreitet; das Mobiltelefon des Angeklagten sei ihm im Pandemiejahr 2020 gestohlen worden.

Chinas Regierung bestreitet ihrerseits jegliche Beteiligung und weist die Cyber-Vorwürfe als „böswillige Verleumdung“ zurück.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Erschütternd kaltblütig und abstoßend

Silk Typhoon ist mehr als ein Wald-und-Wiesen-Hacker-Kollektiv in Pyjamas. Die Gruppe gilt als eine der perfidesten und ressourcenstärksten chinesischen Cyber-Einheiten.

Mit einer erschütternden Kaltblütigkeit und einer abstoßenden Vielfalt an Angriffswerkzeugen — von hinterhältigen Social-Engineering-Manipulationen bis hin zu bösartig ausgeklügelten Post-Exploitation-Strategien — verkörpert diese Organisation das Grauen der Cyberwelt. Ihre technische Raffinesse ist nicht Ausdruck von Intelligenz, sondern von geistiger Dekadenz: Skrupellos und rücksichtslos spüren sie jede Schwachstelle auf, um sie mit maximaler Wucht gegen kritische Infrastrukturen weltweit auszunutzen.

Ins Visier nimmt Silk Typhoon vorrangig IT-Dienstleister, Forschungseinrichtungen, Regierungsstellen und kritische Infrastrukturen - weltweit.

Silk Typhoon ist ein sogenanntes Hack-for-Hire-Netzwerk. Die Gruppe besteht nicht ausschließlich aus staatlichen Akteuren, sondern setzt maßgeblich auf die Zusammenarbeit mit privaten Firmen als externen Auftragnehmern und Kapitalgebern. Dieses erweiterte Ökosystem von kriminellen Dienstleistern führt Hacking-Kampagnen „as-a-Service“ aus. Xu soll zum Zeitpunkt der Angriffe für Shanghai Powerock Network Co. Ltd. gearbeitet haben.

Diese marktorientierte Konstruktion schafft finanzielle Anreize für Cyberoperationen gegen westliche Ziele und breite Rückendeckung im Heimatland.

Spionage seit 2022

Tschechien ertappt chinesische Hacker auf frischer Tat

Microsoft hat diesen Bedrohungsakteur ursprünglich als Hafnium identifiziert und später unter dem Namen Silk Typhoon kategorisiert. (Hafnium ist ein chemisches Element mit dem Symbol Hf, bekannt für seine hohe Dichte, Korrosionsbeständigkeit und Neutronenabsorption.). Im März 2025 berichtete Microsoft über eine veränderte Angriffstaktik von Silk Typhoon. Die Gruppe konzentriert sich nun verstärkt auf IT-Lieferketten – ein Vorgehen, das der Metaphor der Seidenstraße in ihrem Namen (Silk Road) gerecht wird.

„Silk“, das englische Wort für Seide, ist eine Anspielung auf die dünnen Fäden des feinen Textilgewebes und auf das nach ihm benannte historische Netzwerk von Handelswegen (Engl. „Silk Road“). Das Netzwerk verknüpfte in der Antike China mit Europa, dem Nahen Osten und Afrika. Das Wort „Typhoon“ deutet die Wucht und Unberechenbarkeit der Angriffe an - einen Sturm mit vernichtenden Auswirkungen mit Ursprung im asiatisch-pazifischen Raum.

Eine weitere, separate Hackergruppe ist unter dem Namen Salt Typhoon bekannt. Salt Typhoon steht hinter dem Hack der drei größten US-Telefonnetzwerke T-Mobile US, Verizon und ATT, bei denen unter anderem Daten aus Überwachungssystemen und Metadaten von Millionen Nutzern kompromittiert wurden.

Microsoft liefert Updates und Skripte, BSI verschickt Briefe

Exchange-Bedrohungslage bleibt angespannt

Im Auge des Typhoons

Silk Typhoon arbeitet methodisch, mit chirurgischer Präzision. Die Gruppe verfolgt keinen simplen „Smash-and-Grab“-Ansatz, sondern orchestriert eine mehrstufige, modulare Kampagne, die darauf abzielt, eine unentdeckte persistente Bedrohung zu hinterlassen.

Die Gruppe nutzt Taktiken wie Password Spraying und Credential Stuffing, um Zugangsdaten zu erraten und automatisiert durchzuprobieren. Wer glaubt, hier handle es sich um breit gestreute Angriffe aus der Gießkanne, irrt. Bei Unternehmen mit mangelhaft oder gar nicht umgesetzter Multifaktor-Authentifizierung (MFA) ist es leider eine erstaunlich effektive Eintrittskarte.

Die wahren Schätze findet Silk Typhoon in öffentlich zugänglichen Code-Repositories, die die Gruppe systematisch durchforstet. Auf Plattformen wie GitHub werden nicht selten aus Versehen oder Nachlässigkeit API-Schlüssel, Zugangsdaten oder andere Hardcoded-Credentials veröffentlicht. Hier zeigt sich die methodische Vorgehensweise der Angreifer: Durch automatisierte Suchskripte identifizieren sie potenzielle Schwachstellen, die sie später handverlesen ausnutzen, um die betroffenen Infrastrukturen zu infiltrieren.

Besonders viel Übel in IT-Landschaften konnte die Gruppe mit gestohlenen API-Schlüsseln und OAuth-Tokens anrichten. Diese digitalen Schätze erlauben den Zugriff auf Cloud-Dienste, interne APIs und Identitätsplattformen. Ein kompromittierter API-Schlüssel kann nicht nur Daten exfiltrieren und das Cloud-Budget ausbeuteln, sondern auch laterale Bewegungen im Netzwerk verschleiern — etwa durch das Anlegen neuer Benutzer-Kontos oder die Manipulation von Logs.

Eine weitere Spezialität von Silk Typhoon ist das Ausnutzen von Zero-Day-Exploits, also noch ungepatchter Verwundbarkeiten. Beispiele aus den vergangenen Jahren beinhalten Sicherheitsverletzungen wie die unsichtbare Hintertür in Ivanti Pulse Connect VPN (ehemals Pulse Secure), eine Exploit-Kette aus mehreren Schwachstellen in Microsoft Exchange namens ProxyLogon, eine Path Traversal-Lücke in Citrix NetScaler und dergleichen andere.

Chinesische Cyberkriminelle

So arbeitet die Ransomware-Gruppe Ghost

Ivanti Pulse Connect VPN ist beliebt bei in großen Unternehmen und Behörden, um Mitarbeitern entfernten Zugang ins interne Netzwerk zu ermöglichen. Durch das Ausnutzen einer kritischen Authentifizierungs-Bypass-Lücke konnten die Cybertäter von Silk Typhoon ohne gültige Anmeldedaten beliebigen Code ausführen und sich so den vollständigen Zugriff auf interne Systeme ergattern.

VPN-Gateways sind besonders lohnende Ziele, da sie direkt den Zugang ins interne Netz öffnen. Außerdem stehen sie oft direkt im Internet — Angreifer müssen nicht erst eine interne Schwachstelle finden. Viele Unternehmen hatten veraltete Versionen im Einsatz, was Silk Typhoon & Co. einfache Einstiegsmöglichkeiten bot.

Im Falle des Hacks von Microsoft Exchange-Servern, einer der am weitesten verbreiteten E-Mail- und Collaboration-Plattformen weltweit, war eine Exploit-Kette aus mehreren Schwachstellen im Spiel, getauft auf den Namen „ProxyLogon“.

Microsoft Exchange-Server enthalten hochsensible Daten: E-Mails, Kalender, Adressbücher. Außerdem genießen sie weitreichende Berechtigungen innerhalb eines Netzwerks. Angreifer konnten sich über SSRF ohne Authentifizierung an Exchange-Servern anmelden und beliebigen Code ausführen. Damit ließen sich Webshells installieren — eine Art persistente Hintertür.

ProxyLogon führte weltweit zu massenhaften Kompromittierungen (z. B. Hafnium-Kampagne) und war eines der am schnellsten ausgenutzten Bugs der letzten Jahre.

Citrix NetScaler (heute Citrix ADC) ist ein Application Delivery Controller — eine Art Load Balancer mit erweiterten Sicherheitsfunktionen, der häufig vor Webanwendungen vorgeschaltet wird. Über die berühmte Path Traversal-Lücke konnten Angreifer von Silk Typhoon ausführbare Skripte in Verzeichnisse einschleusen, die der Server später starten würde. In Kombination mit nicht-gehärteten Konfigurationen ließ sich so persistenter Remote-Code-Execution-Zugriff aufbauen.

Update: Plattner fordert Schutz der Energieversorgung

Versteckte Kommunikations­module in Solar­wechsel­richtern aus China

NetScaler-Instanzen sitzen oft an der Netzwerkperipherie. Eine erfolgreiche Kompromittierung ermöglicht das „Pivoting“ — also das Weiterbewegen ins interne Netz. Außerdem waren diese Systeme oft weltweit zugänglich und wurden nicht immer rechtzeitig gepatcht.

Silk Typhoon nutzt gerne diese Art Perimeter-Schwachstellen für den initialen Zugang, da sie keine Benutzerinteraktionen erfordern und gehobene Privilegien gewähren. Nach der erstmaligen Vorstoß in die Unternehmens-IT schicken sich die Hacker an, mit Credential Harvesting oder lateralen Bewegungen in weitere Systeme einzudringen.

Danach richtet Silk Typhoon ausgefuchste Backdoors in Service- und Maschinenkonten ein.

Silk Typhoon weicht liebend gerne nach der erstmaligen Penetration auf eben diese Art von Accounts aus, insbesondere in hybriden oder Cloud-nativen Umgebungen wie Entra ID (ehemals Azure AD). Diese Konten genießen oft weitreichende Rechte, werden selten überwacht und machen es einfach, persistente Bedrohungen zu etablieren. Durch die Anpassung von Rollen und Richtlinien können Angreifer jahrelang unbemerkt vor sich hin schnüffeln und spionieren.

Mithilfe von Sicherheitslücken in Ivanti EPMM

Chinesische Hacker greifen KRITIS-Unternehmen in Europa an

Symptomatisch für eine persistente Bedrohung

Wie erkennt man die Präsenz von Silk Typhoon? Typische Anzeichen (Engl. Indicators of Compromise, IoCs) umfassen:

• Ungewöhnliche Aktivitäten bei privilegierten Konten: Plötzliche Passwort-Resets, neue Administrator-Konten oder verdächtige Anmeldungen von unbekannten Standorten;

• Webshells und Backdoors: Implantierung von Webshells wie China Chopper oder Godzilla auf Servern; insbesondere nach der Ausnutzung von Schwachstellen sind Backdoors zu vermuten;

• Missbrauch von API-Keys und OAuth-Tokens: Unautorisierte Nutzung von API-Schlüsseln, insbesondere bei Cloud-Anwendungen und Identitätsmanagement-Lösungen;

• Anomalien bei Cloud-Diensten: Unerklärliche Datenabfragen oder -downloads über Microsoft Graph API, Exchange Web Services, OneDrive oder SharePoint;

• Logmanipulation: Systematische Löschung oder Manipulation von Protokolldateien zur Verschleierung von Aktivitäten.

• Zugriffe über kompromittierte Netzwerkgeräte: Kompromittierte Router, VPNs oder Storage-Geräte lassen die Infiltration anderer Infrastrukturelemente im gesamten Netzwerk vermuten.

Die Bedrohung durch Silk Typhoon erfordert einen ganzheitlichen Ansatz: Von der technischen Überwachung über organisatorische Maßnahmen bis hin zur konsequenten Umsetzung von Zero-Trust-Prinzipien (siehe dazu den Bericht „Zero Trust, jetzt aber!“ auf Security-Insider.de).

In Erwartung möglicher Vergeltungsmaßnahmen sind alle Organisationen im Westen gut beraten, ihre IT-Landschaften unter Hochdruck zu härten.

China wirft Deutschland „politische Manipulation“ vor

Nach Cyberangriff auf Bundesamt für Kartographie und Geodäsie

Europas Cyber-Aufrüstung und EU Cyber Solidarity Act

Europäische Behörden haben in den letzten Jahren ein umfassendes Maßnahmenpaket gegen Cyberangriffe entwickelt. Diese Strategie umfasst legislative, technische und institutionelle Instrumente, die von EU-weiten Richtlinien bis zu spezialisierten Cybersicherheitsdiensten reichen.

Als zentrale Koordinationsstelle, der Dreh- und Angelpunkt der EU-Cybersicherheit, fungiert die Europäische Agentur für Cybersicherheit (ENISA).

Das Computer Emergency Response Team der EU (CERT-EU) bietet seit 2011 spezialisierte Cybersicherheitsdienste für über 80 EU-Institutionen, -Agenturen und -Einrichtungen. CERT-EU fungiert somit als zentrale Anlaufstelle für Cybersicherheitsvorfälle in der EU, ausgestattet mit einem 24/7-Incident-Response-Dienst für kritische Infrastrukturen bietet sie präventive Sicherheitsbewertungen und Schwachstellenscans, forensische Unterstützung bei komplexen Cyberattacken und Threat Intelligence-Sharing mit nationalen CERTs.

Das 2021 in Bukarest etablierte ECCC (Europäisches Kompetenzzentrum für Cybersicherheit) koordiniert europaweit Forschung und Innovation im Bereich der Cybersicherheit. Die Cybersicherheitsbehörden haben alle Hände voll zu tun, denn auch legitime Marktakteure kommen schon mal auf dumme Ideen .

Das legislative Fundament der europäischen Cybersicherheitsstrategie bildet die NIS2-Richtlinie (siehe dazu unseren Beitrag „Weckruf für Unternehmen. NIS-2 – Nicht warten, machen!“.

Am 4. Februar 2025 trat der EU Cyber Solidarity Act in Kraft. Dieses Gesetz etabliert drei neue Mechanismen:

• European Cybersecurity Alert System,

• Cybersecurity Emergency Mechanism,

• European Cybersecurity Incident Review Mechanism.

Mit dem Cyber Resilience Act (CRA) will die EU die zunehmenden Risiken durch unsichere vernetzte Produkte und Software adressieren. Das Gesetz verpflichtet Hersteller und Anbieter digitaler Produkte und vernetzter Geräte dazu, Cybersicherheit als integralen Bestandteil in den gesamten Lebenszyklus ihrer Produkte zu integrieren. Der CRA wird in mehreren Etappen bis 2027 wirksam.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

Fazit

Die Verhaftung eines mutmaßlichen Drahtziehers einer Hacker-Organisation auf europäischem Boden hat in der US-Intelligence-Community hohe Wellen geschlagen. Der Zwischenfall markiert einen Wendepunkt in der internationalen Verfolgung von Cyberkriminalität. Der Vorfall verdeutlicht die zunehmende Militarisierung des Cyberspace gegen Wirtschaftsspionage; westliche Staaten gehen gegen Cyberkriminalität mit einer neuen Entschlossenheit vor.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

(ID:50487398)