„TGR-STA-1030“ Palo Alto Networks enttarnt neue Cyberspionage-Gruppe

TGR-STA-1030 ist eine neu entdeckte Cyberspionage-Gruppe, die 2025 Re­gierungsorganisationen in 37 Ländern angegriffen hat. Die vermutlich staat­lich unterstützten Akteure nutzen Phishing-Kampagnen und bekannte Schwach­stellen aus.

Das Cybersicherheitsteam Unit42 von Palo Alto Networks hat eine neue Cyberspionage-Gruppe entdeckt, die 2025 Regierungs- und Infrastrukturorganisationen in 37 Ländern kom­promittiert habe. Bei den Akteuren hinter der „TGR-STA-1030“ genannten Gruppe, handle es sich mit hoher Wahrscheinlichkeit um eine staatlich orientierte Gruppe, die von Asien aus operiere. Primär ziele TGR-STA-1030 auf Ministerien und Behörden ab und habe bereits folgend mehrere nationale Strafverfolgungs- und Grenzschutzbehörden, Finanzministerien sowie welt­weit Abteilungen kompromittiert, die sich mit Wirtschaft, Handel und Diplomatie befassen.

Missbrauch von Group Policies und vielfältige Tools

LongNosedGoblin spioniert Regierungen in Asien aus

So geht TGR-STA-1030 vor

Unit42 habe TGR-STA-1030, auch „UNC6619“ genannt erstmals Anfang 2025 im Zuge der Un­ter­suchung einer Reihe bösartiger Phishing-Kampagnen beobachtet, die auf europäische Re­gier­ungen abgezielt hätten, um diese auszuspionieren. Die Infrastruktur der Akteure reiche jedoch bis Januar 2024 zurück. Die Analysten gehen davon aus, dass die Gruppe von Asien aus operiert, weil

• sie häufig regionale Tools und Services nutzen würde,

• Präferenzen für bestimmte Spracheinstellungen hätte,

• Zielsetzung und Zeitpunkt der Angriffe regelmäßig mit Ereignissen und Informationen überein stimmen würden, die für die Region von Interesse seien,

• Verbindungen zu operativen Infrastrukturen aus der Region stammen würden und

• die Aktivitäten der Akteure regelmäßig mit der Zeitzone GMT+8 übereinstimmen würden.

Dass die Akteure vermutlich aus Asien stammen scheint jedoch nicht zu bedeuten, dass sie nur Ziele in dieser Region angreifen. Denn im Februar 2025 habe Unit42 eine Reihe von Phishing-Kampagnen untersucht, die auf europäische Regierungen abgezielt hätten. Diese Kampagnen hätten einem bestimmten Muster gefolgt: Die E-Mail seien an Regierungs-Empfänger versandt worden und hätten den Vorwand einer Umstrukturierung eines Ministeriums oder einer Be­hörde sowie Links zu schädlichen Dateien enthalten, die auf „mega[.]nz“ gehostet worden seien.

Durch Klicken auf den Link würde eine Archivdatei heruntergeladen, deren Sprache und Na­mens­gebung mit dem Zielland und dem Ministerium übereinstimme. Die Forscher gehen davon aus, dass eine estnische Regierungsbehörde die Phishing-Kampagne identifizieren konnte und ein solches bösartiges ZIP-Archiv in ein öffentliches Malware-Repository hoch­ge­laden hat. Unit42 habe dann diese Malware analysiert, um mehr über ihre Funktionsweise und die da­hin­ter­stehende Bedrohungsakteur-Gruppe zu erfahren. Im Falle der beobachteten Malware habe der estnische Dateiname „Politsei- ja Piirivalveameti organisatsiooni struktuuri muuda­tused­.zip“ gelautet, was übersetzt „Änderungen an der Organisationsstruktur der Po­lizei- und Grenz­schutzbehörde.zip“ bedeutet.

Nach Veröffentlichung der Bitkom-Studie

China weist Vorwurf von Cyberangriffen scharf zurück

Das ZIP-Archiv habe auch eine ausführbare Datei mit demselben Namen wie die ZIP-Datei selbst sowie eine leere Daten namens „pic.png“ enthalten. Diese ausführbare Datei sei eine Mal­ware, die eine zweistufige Ausführungsbarriere verwende, um eine automatisierte Sandbox-Ana­lyse zu verhindern. Die Malware-Datei habe ursprünglich den Namen „DiaoYu.exe“ gehabt. Diaoyu ist Chinesisch und bedeutet auf Deutsch Angeln, im Englischen also Phishing.

Die PNG-Datei dient den Forschern zufolge als dateibasierte Integritätsprüfung. Sobald die Malware isoliert in einer Sandbox ausgeführt werde, führe das Fehlen dieser Hilfsdatei dazu, dass der Prozess vor der Ausführung ordnungsgemäß beendet werde und somit sein schäd­liches Verhalten verschleiert werde. Erst wenn diese Voraussetzungen erfüllt seien, überprüfe die Malware den Host auf die folgenden Cybersicherheitsprodukte:

• Avp.exe (Kaspersky)

• SentryEye.exe (Avira)

• EPSecurityService.exe (Bitdefender)

• SentinelUI.exe (Sentinel One)

• NortonSecurity.exe (Symantec)

Die Forscher bezeichnen diese Auswahl der Produkte durch die Malware als bemerkenswert. Denn dies bedeute, dass die Malware gezielt nur nach Lösungen von Kaspersky, Avira, Bit­de­fender, Sentinel One und Symantec suche, was auf eine strategische Ausrichtung des Angreifers hinweise, der möglicherweise bestimmte Umgebungen oder Benutzergruppen im Visier haben könnte. Eine solch begrenzte Produktauswahl ist ungewöhnlich, da die meisten Malware-Fa­mil­ien typischerweise eine breitere Palette an Antivirenlösungen berücksichtigen, um von ihnen unentdeckt zu bleiben. Die Vorgehensweise, die Unit42 bei TGR-STA-1030 beobachtet habe, könnte darauf hindeuten, dass die Malware ihre schädlichen Aktivitäten verstecken möchte, indem sie nur gegen bekannte Sicherheitslösungen getestet wird. Zudem impliziert die Datei „pic1.png“, dass eine zusätzliche Schutzmaßnahme vorhanden ist, die überprüft, ob die Um­gebung einer Sandbox-Analyse unterzogen wird, bevor die Malware ausgeführt wird.

Nach der Überprüfung auf die genannten Produkte lade die Malware die folgenden Dateien von GitHub herunter:

• hxxps[:]//raw.githubusercontent[.]com/padeqav/WordPress/refs/heads/master/wp-includes/images/admin-bar-sprite[.]png

• hxxps[:]//raw.githubusercontent[.]com/padeqav/WordPress/refs/heads/master/wp-includes/images/Linux[.]jpg

• hxxps[:]//raw.githubusercontent[.]com/padeqav/WordPress/refs/heads/master/wp-includes/images/Windows[.]jpg

Interessanterweise ist laut Unit42 das GitHub-Projekt „padeqav“ nicht mehr verfügbar. Anschließend führe die Malware eine Reihe von Aktionen an diesen Dateien aus, die letzt­endlich zur Installation der Cobalt-Strike-Payload führen würden.

Ivanti-Schwachstellen unter Verdacht

EU-Kommission bestätigt schweren Cyberangriff

Ausnutzung bekannter Schwachstellen

Neben dem Einsatz von Phishing-Kampagnen versuche TGR-STA-1030 außerdem häufig, durch Ausnutzung von Schwachstellen an erste Zugangspunkte für die Netzwerke ihrer Opfer zu ge­langen. Allerdings habe Unit42 bisher nicht beobachtet, dass die Gruppe Zero-Day-Exploits entwickelt, getestet oder bereitgestellt habe, was darauf schließen lasse, dass sie bekannte Sicherheitslücken nutze. Die Forscher berichten, im vergangenen Jahr mehrere Versuche der Gruppe entdeckt zu haben, bei denen sie folgende Arten von Schwachstellen ausgenutzt hätten:

• Privilegienerweiterung im SAP Solution Manager

• Remote-Dateizugriff über die XXE-Schwachstelle in Pivotal Spring Data Commons

• Remote-Code-Ausführung bei Microsoft Open Management Infrastructure

• Remote-Code-Ausführung bei Microsoft Exchange Server

• Remote-Code-Ausführung bei D-Link

• Versuche zu HTTP-Verzeichnisdurchquerungen

• Versuche zu HTTP-SQL-Injection

• Remote-Code-Ausführung über die Struts2 OGNL-Schwachstelle

• Remote-Befehlsausführung bei Ruijieyi Networks

• Remote-Befehlsausführung bei Eyou Email System

• SQL-Injection-Schwachstelle in Beijing Grandview Century eHR Software

• Remote-Code-Ausführung bei Weaver Ecology-OA

• Zugriff auf win.ini bei Microsoft Windows

• Umgehung der Authentifizierung beim Download über Commvault CommCell CVSearchService

• Remote-Code-Ausführung bei Zhiyuan OA

Unit42 zufolge ist TGR-STA-1030 eine ernstzunehmende Bedrohung, weswegen Palo Alto Net­works bereits bereits mit Branchenkollegen und Regierungspartnern zusammenarbeite, um das Bewusstsein für die einhergehenden Risiken zu schärfen. IT-Sicherheitsverantwortlichen emp­fiehlt der Hersteller, die Indicators of Compromise, die er in seinem Blogbeitrag ver­öffentlicht hat, zu nutzen, um Aktivitäten durch TGR-STA-1030 zu erkennen und unter­binden zu können.

Verteidigung gegen hybride Angriffe

Dobrindt zu Cyberangriffen: „Wir werden zurückschlagen“

(ID:50761221)