UNC3886 Hackergruppe kompromittiert veraltete Juniper-Router

Chinesische Hackergruppe UNC3886 Cyberkriminelle platzieren Backdoors in Juniper-Routern

01.04.2025 Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Google Germany GmbH

PresseBox - unn | UNITED NEWS NETWORK GmbH

FAST LTA GmbH

FTAPI Software GmbH

Die Hackergruppe UNC3886 kompromittiert veraltete Juniper-Router mit einer Backdoor Spionageaktionen. Laut Mandiant ermöglicht eine neuartige Prozessinjektionstechnik tiefen Zugriff auf die betroffenen Systeme. So können Sie sich schützen.

Die Cyberkriminellen der von China unterstützten Gruppe UNC3886 nutzen eine Schwachstelle in Juniper-Routern für Spionageangriffe.(Bild: Dall-E / KI-generiert) — Die Cyberkriminellen der von China unterstützten Gruppe UNC3886 nutzen eine Schwachstelle in Juniper-Routern für Spionageangriffe.
(Bild: Dall-E / KI-generiert)

Mitte 2024 begann der Security-Hersteller Mandiant seine Untersuchungen über eine Spionagekampagne des Akteurs UNC3886, der mit China in Verbindung zu stehen scheint. Wie die Analysten berichten, hätten die Cyberkriminellen Malware auf ausgemusterten Junos OS-Routern von Juniper Networks installiert. Gemeinsam mit Juniper untersuchte Mandiant die Aktivitäten von UNC3886 und fand heraus, dass die betroffenen MX-Router mit veralteter Hardware und Software arbeiteten. Außerdem stellte sich bei der Analyse der von UNC3886 verwendeten Malware-Samples heraus, dass die Hacker umfassendes Wissen über die Systeminterna hatten und so maßgeschneiderte Hintertüren für die Router entwickeln konnten. Router von Juniper werden nach Angaben des Herstellers in kritischen Infrastrukturen sowie Regierungsbehörden eingesetzt.

Das Netzwerkmanagement-Tool Cisco Nexus enthält eine Schwachstelle, die gefährlich werden kann. (Bild: Jesse Bettencourt/peopleimages.com - stock.adobe.com)

Wie Mandiant berichtet, würde UNC3886 eine neuartige Prozessinjektionstechnik einsetzen. Dies ist eine Technik, mit der Angreifer Schadcode in laufende Prozesse einschleusen, um unbemerkt im System zu bleiben. Die von UNC3886 eingesetzte Methode unterscheidet sich von anderen Prozessinjektionsmethoden dadurch, dass sie Mandiant zufolge speziell für Netzwerkgeräte entwickelt wurde und klassische Endpoint-Sicherheitslösungen umgehe. Um sich Zugriff auf die Geräte zu verschaffe, hätten die Kriminellen die Sicherheitslücke CVE-2025-21590 (CVSS 6.7) in Junos OS ausgenutzt. Diese basiert auf einem Isolationsfehler im Kernel von Junos OS, der es einem lokalen Angreifer mit Shell-Zugriff ermöglicht, beliebigen Code zu injizieren.

Aus der Untersuchung der eingesetzten Malware habe den Analysten zufolge ergeben, dass sie eine modifizierte Version einer Tinyshell-Backdoor sei, verfüge jedoch über einzigartige Funktionen. Alle analysierten Samples hätten eine Kernfunktionalität von Tinyshell enthalten, sich jedoch erheblich hinsichtlich der Aktivierungsmethoden unterschieden. UNC3886 habe die installierte Backdoor genutzt, um Kontrolle über kompromittierte Systeme zu erlangen und ihre Spionageaktivitäten durchzuführen. Das Hauptziel von UNC3886 liegt darin, staatliche Interessen zu unterstützen und Informationen über wirtschaftliche Entwicklungen und Innovationen zu stehlen.

Schutz für Juniper-Router

Neben dem von Juniper bereitgestellten Patch für die ausgenutzten Sicherheitslücke, empfehlen die beiden Unternehmen Juniper-Kunden, ihre Geräte auf die neusten Images zu aktualisieren, um aktualisierte Signaturen für das Juniper Malware Removal Tool (JMRT) zu erhalten. Damit können sie Malware in Juniper-Geräten aufspüren und entfernen. JMRT ist standardmäßig in den Betriebssystemen Junos OS und Junos OS Evolved enthalten. Neben dem Quick Scan des Tools sollten Unternehmen auch den Integrity Check, der ebenfalls in Junos OS enthalten ist, durchführen, nachdem sie die neuste Version installiert haben.

Schwache Passwörter ade: Eset veröffentlicht Tipps und Lösungen für mehr Netzwerksicherheit. (Eset)

(ID:50354495)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.