Mobile-Menu

UNC2814 Chinesische Akteure missbrauchen Google Sheets

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Google Germany GmbH
Aagon GmbH
Fujitsu Technology Solutions GmbH
FAST LTA GmbH

Google und Mandiant konnten eine umfangreiche Spionagekampagne einer mutmaßlich chinesischen Hackergruppe stoppen. Dennoch bestehe weiter­hin eine Gefahr, da die Gruppe sich bereits wieder aufbaue und es zudem viele ähnliche gebe.

Die Akteure von UNC2814 platzieren die GRIDTIDE‑Backdoor auf kompromittierten Webservern und Edge‑Systemen und lassen sie über von den Angreifern kontrollierte Google‑Tabellen als zellenbasiertes C2 kommunizieren, was ihre Aktivitäten verschleiert.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die Akteure von UNC2814 platzieren die GRIDTIDE‑Backdoor auf kompromittierten Webservern und Edge‑Systemen und lassen sie über von den Angreifern kontrollierte Google‑Tabellen als zellenbasiertes C2 kommunizieren, was ihre Aktivitäten verschleiert.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

53 Cyberangriffe in 42 Ländern habe die Hackergruppe „UNC2814“ bereits durchgeführt. Die Ak­teure stünden mit der Volksrepublik China in Verbindung und würden vor allem Tele­kom­mu­nikationsunternehmen und Regierungsorganisationen angreifen. Diese Erkenntnisse stammen von der Google Threat Intelligence Group (GTIG) und Mandiant, die die Gruppe ver­folgen. Chi­ne­si­sche Bedrohungsakteure, die Unternehmen aus kritischen Sektoren ausspionieren und Daten stehlen, sind keine Seltenheit mehr. Gerade Telekom-Provider und Regierungsstellen seien favorisierte Ziele, vor allem von der berüchtigten Gruppe „Salt Typhoon“. Zu dieser hätten GTIG und Mandiant jedoch keine Verbindung herstellen können.

Ausnutzung von Webservern und Edge-Systemen

Die GTIG verfolge UNC2814 seit fast einem Jahrzehnt als eigenständige Gruppe, da sie es mit einer eigenen Infrastruktur und eigenen Taktiken auf Opfer weltweit abgesehen habe. Eine Untersuchung von Mandiant habe ergeben, dass UNC2814 Ende 2025 eine neue Backdoor na­mens „GRIDTIDE“ eingesetzt habe, um ihren Zugriff auf gehackte Systeme langfristig zu sichern. Die von GTIG analysierte GRIDTIDE-Probe verbinde sich für Commandand Control (C2) mit einer Google-Tabelle, die von den Angreifern kontrolliert werde, wodurch sie sich effektiv in den normalen Netzwerkverkehr einfüge. Es handele sich hierbei nicht um eine Sicherheitslücke oder einen Exploit in Google Sheets. Stattdessen würden die Bedrohungsakteure Webserver und Edge-Systeme ausnutzen und kompromittieren, um dann legitime Google Sheets-Funk­tionen zu missbrauchen, um unentdeckt zu bleiben. Die Analysten berichteten, eine Spio­na­ge­kampagne, die diesem Muster folge, gestoppt zu haben.

Die Kampagne habe Opfer in 42 Ländern auf vier Kontinenten betroffen. Mutmaßliche In­fek­tionen seien in mindestens 20 weitere Ländern identifiziert worden. Mithilfe der Backdoor sei UNC2814 in der Lage gewesen, personenbezogene Daten von kompromittierten Endpunkten zu stehlen, darunter:

  • Vollständiger Name
  • Telefonnummer
  • Geburtsdatum
  • Geburtsort
  • Wählerausweisnummer
  • Personalausweisnummer

Zwar seien GTIG und Mandiant nicht in der Lage gewesen, UNC2814 komplett zu zerschlagen, doch sie konnten die C2-Infrastrukur weitgehend außer Betrieb setzen. Allerdings gehen die Forscher davon aus, dass die Gruppe bereits intensiv daran arbeite, ihre globale Präsenz wie­der­herzustellen. Zwar könne es dauern, bis die Gruppe wieder aktiv werde, da solch umfangreiche Angriffe in der Regel das Ergebnis jahrelanger gezielter Bemühungen seien, dennoch rät Google zur Wachsamkeit und veröffentlichte entsprechende Indicators of Compromise wie Host­ba­sier­te Artefakte, Netzwerkbasierte Artefakte, bösartige URLs und eine Erkennungsregel in YARA­Syn­tax für die Backdoor GRIDTIDE.

(ID:50807489)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte