Chinesische Hacker verstecken sich in legitimen Prozessen Twill Typhoon tarnt Angriffe als normalen Systembetrieb

Mit China in Verbindung gebrachte Cyberkampagnen verzichten zunehmend auf auffällige Malware und setzen stattdessen auf modulare Werkzeuge, legitime Prozesse und unauffällige Infrastruktur. Wer nur nach bekannter Schadsoftware sucht, übersieht genau die Angriffe, die am meisten Schaden anrichten können. Dieselbe Logik gilt längst auch für KI-Systeme, die zu­neh­mend dieselben Angriffsflächen bieten wie klassische IT.

Cyberoperationen staatlich nahestehender Gruppen werden nicht unbedingt lauter. Sie werden schwerer zu erkennen. Eine aktuelle Darktrace-Analyse der Aktivitäten, die mit Twill Typhoon (auch als Mustang Panda bekannt) in Verbindung gebracht wird, zeigt, wie Angreifer sich in le­gi­ti­me Abläufe einbetten und Erkennung dadurch für Security-Teams deutlich schwieriger wird.

Im beobachteten Kontext kamen eine aktualisierte Backdoor namens FDMTP sowie Infra­struk­tur zum Einsatz, die sich als CDN-Dienste ausgab. Zudem wurden bösartige DLLs über legitime Windows-Prozesse ausgeführt, unter anderem mithilfe von DLL-Sideloading. Die zentrale Erkenntnis für Verantwortliche lautet: Moderne Angriffe wirken immer seltener wie klassische Malware-Infektionen. Sie sehen zunehmend aus wie normale Systemaktivität.

Angriffe über fremde Infrastruktur

Chinas Cyberspione nutzen gekaperte Geräte als Tarnung

Angriffe verstecken sich in legitimen Abläufen

In den beobachteten Fällen kommunizierten betroffene Systeme mit Domains, die bekannte Plattformen wie Yahoo oder Apple nachahmten. Gleichzeitig wurden wiederholt legitime ausführbare Dateien, passende Konfigurationsdateien und schädliche DLLs in einer festen Abfolge nachgeladen. Diese Kombination ermöglichte es, Schadcode innerhalb vertrauens­würdiger Prozesse auszuführen.

Das ist nicht nur ein technischer Trick. Es zeigt eine Verschiebung in der Angriffsmethodik. Statt auffällige Malware direkt auszuführen, bauen Angreifer modulare Angriffsketten, deren Bestand­teile jeweils wenig Verdacht auslösen. Das aktualisierte FDMTP-Framework kann weitere Komponenten nachladen, Plugins ausführen, sich aktualisieren und Persistenz über legitime Windows-Prozesse herstellen. Einzelne Dateien, Domains oder Hashwerte lassen sich dabei schnell austauschen. Infrastruktur rotiert. Payloads verändern sich. Stabiler als einzelne Artefakte ist häufig die Abfolge des Verhaltens.

Wahlfreiheit und Sicherheit

Europäer misstrauen russischen und chinesischen Routerherstellern

Warum IOCs allein nicht mehr reichen

Indicators of Compromise (IOCs) bleiben wichtig. Sie helfen, bekannte Infrastruktur, Dateien und Spuren schnell zu identifizieren. Doch sie bilden nur einen Teil der Realität ab. Die aktuelle Kampagne zeigt, warum. Über mehrere Fälle hinweg beobachtete Darktrace eine wieder­kehrende Sequenz: Zunächst wurden legitime ausführbare Dateien abgerufen, gefolgt von passenden Konfigurationsdateien und schädlichen DLLs. Danach folgten wiederholte Downloads über längere Zeiträume sowie die Registrierung bei Command-and-Control-Infrastruktur über einen spezifischen Endpunkt. Jeder Schritt für sich unauffällig, in der Kombination jedoch eindeutig.

Diese Abfolge ist oft aussagekräftiger als ein einzelner Hashwert. Während technische Artefakte schnell ersetzt werden können, bleibt die operative Logik häufig stabil. Genau hier müssen Verteidiger ansetzen: nicht beim einzelnen Fund, sondern beim Verhalten und daran, wann es vom erwarteten Muster abweicht.

Hack-for-Hire

Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Crimson Echo zeigt das größere Muster

Die Kampagne fügt sich in die Ergebnisse des Reports Crimson Echo ein. Darin untersuchte Darktrace über mehrere Jahre hinweg Cyberoperationen, die mit China in Verbindung gebracht werden, und kam zu einem zentralen Ergebnis: Solche Aktivitäten sollten weniger als einzelne Kampagnen verstanden werden, sondern als Teil langfristiger strategischer Planung.

Das ist für europäische Unternehmen relevant. Mit China in Verbindung gebrachte Aktivitäten richten sich nicht nur gegen Regierungsstellen oder Organisationen im asiatisch-pazifischen Raum. Betroffen sein können auch global vernetzte Industrieunternehmen, Technologie­an­bieter, Forschungseinrichtungen, Lieferketten, Telekommunikation, Logistik und kritische Infrastrukturen.

Gerade in Deutschland, Österreich und der Schweiz treffen solche Methoden auf hochgradig vernetzte Unternehmenslandschaften. Mittelständische Unternehmen sind häufig tief in internationale Lieferketten eingebunden. Das schafft Angriffsflächen, die klassische Perimetersicherheit nur begrenzt vollständig abdecken kann.

CrowdStrike Technology Threat Landscape Report 2026

Chinas Ambitionen befeuern Angriffe auf den Technologiesektor

Die Gefahr liegt in der Normalität

Die eigentliche Herausforderung besteht darin, dass viele moderne Angriffe keine lauten Signale erzeugen. Sie nutzen legitime Tools, reguläre Prozesse und bestehende Kom­mu­ni­ka­ti­ons­wege. Dadurch verschwimmt die Grenze zwischen normalem Betrieb und Angriff.

Für Security-Teams bedeutet das: Sie müssen nicht nur wissen, ob eine Datei bekannt bösartig ist. Sie müssen verstehen, ob ein Prozess plötzlich ungewöhnlich kommuniziert, ob ein System neue externe Ziele kontaktiert, ob legitime Anwendungen in ungewohnten Sequenzen agieren oder ob Datenflüsse nicht mehr zum üblichen Verhalten der Umgebung passen.

Das ist besonders wichtig bei Angriffen, die auf langfristige Präsenz ausgelegt sind. Nicht jede Kompromittierung führt sofort zu Datenabfluss oder Sabotage. Manche Operationen dienen zunächst nur dazu, Zugriff aufzubauen und Optionen für spätere Aktivitäten offenzuhalten.

Cyberangriff auf Consulting-Umgebung

Red Hat meldet Data Breach in GitLab-Umgebung

Warum KI-Systeme dieselbe Sicherheitslogik brauchen

Eine ähnliche Herausforderung entsteht zunehmend bei KI-Systemen im Unternehmen. Generative KI ist im Unternehmensalltag angekommen: Mitarbeitende nutzen externe KI-Dienste, SaaS-Anwendungen integrieren sie direkt und Agenten, die selbstständig In­for­ma­ti­o­nen abrufen und mit Systemen interagieren, werden häufiger. Auch hier reicht es nicht aus, nur zu definieren, was formal erlaubt ist. Entscheidend wird, wie sich KI-Systeme tatsächlich verhalten.

Wenn KI-Agenten mehr Berechtigungen besitzen als die Nutzer, mit denen sie interagieren, wenn sensible Daten über Prompts in externe Dienste gelangen oder wenn Shadow-AI-Anwendungen unbemerkt entstehen, entstehen neue Risiken. Der Schutz solcher Systeme erfordert dieselbe Grundlogik wie die Abwehr moderner Cyberoperationen: kontinuierliche Sichtbarkeit, Kontextverständnis und die Fähigkeit, Abweichungen vom erwarteten Verhalten zu erkennen.

Staatliche Cyberbedrohungen aus Iran, China und Russland eskalieren

Wenn Cyberkriminalität, Hacktivismus und Staatsakteure verschmelzen

Verhalten wird zur entscheidenden Spur

Moderne Cyberoperationen entwickeln sich weg von eindeutig erkennbaren Einzelartefakten hin zu flexiblen, modularen Abläufen. Für Unternehmen ist das eine strategische He­r­aus­for­de­rung. Wer nur nach bekannten Signaturen sucht, kommt zu spät. Sicherheitsverantwortliche müssen ihre Perspektive erweitern. Entscheidend wird, wie gut sie normale Abläufe in ihrer Umgebung verstehen. Welche Systeme kommunizieren regelmäßig miteinander? Welche Prozesse greifen auf welche Daten zu? Welche Identitäten verhalten sich wie erwartet? Und wann entsteht eine Abweichung, die nicht zu den bisherigen Mustern passt?

Die Antwort auf moderne Angriffe liegt nicht darin, klassische Erkennung vollständig zu ersetzen. IOCs, Signaturen und Schwachstellenmanagement bleiben notwendig. Aber sie müssen durch verhaltensbasierte Analyse ergänzt werden. Denn wenn Angriffe wie Alltag aussehen, reicht es nicht mehr, nur nach bekannten Bedrohungen zu suchen. Unternehmen müssen erkennen, wann der Alltag selbst ungewöhnlich wird.

Über den Autor: Max Heinemeyer ist Global Field CISO bei Darktrace mit mehr als zehn Jahren Erfahrung. Sein Fokus liegt auf den Bereichen Penetrationstests, Red-Teaming, SIEM- und SOC-Beratung sowie der Analyse von Advanced-Persistent-Threat-Gruppen.

Geopolitische Konflikte

Google untersucht Risiken für Rüstungsunternehmen

(ID:50895098)