Mobile-Menu

Chinesische Hacker nutzen Malware Angriffe auf Linux mit Snowlight und VShell

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

Vogel IT-Medien GmbH
Fsas Technologies GmbH
FAST LTA GmbH

Die chinesische Hackergruppe UNC5174/Uteus/Uetus greift aktuell mit Malware Linux-Systeme an. Zum Einsatz kommen die Malware Snowlight und das Tool VShell.

Die Hackergruppe UNC5174 greift seit Januar mit Malware Linux-Systeme an und nutzt dabei komplexe Techniken wie Domain-Spoofing.(Bild: KI-generiert)
Die Hackergruppe UNC5174 greift seit Januar mit Malware Linux-Systeme an und nutzt dabei komplexe Techniken wie Domain-Spoofing.
(Bild: KI-generiert)

Laut einer detaillierten Analyse des Sysdig Threat Research Teams nutzt die Gruppe seit Januar 2025 eine Kombination aus speziell entwickelten und Open-Source-basierten Werkzeugen, um Systeme auszuspähen und unbemerkt Zugriff zu behalten. Im Fokus stehen vor allem Linux-basierte Zielsysteme in westlichen Ländern, darunter Regierungsbehörden, Forschungseinrichtungen sowie kritische Infrastrukturen.

Funktionsweise der Malware

Das Herzstück der Operation ist die dateilose Schadsoftware VShell, die durch die Dropper-Malware SNOWLIGHT im Arbeitsspeicher des kompromittierten Systems platziert wird. Diese Methode erschwert nicht nur die Erkennung, sondern macht eine forensische Analyse nahezu unmöglich. VShell stammt ursprünglich aus einem Open-Source-Projekt und wird im chinesischsprachigen Raum über einschlägige Foren gehandelt. Der ursprüngliche Entwickler hat das Projekt mittlerweile zurückgezogen, doch durch Klon-Repositories und Drittanbieter bleibt es verfügbar.

Wandel der eingesetzten Werkzeuge

Hatte UNC5174 in früheren Operationen auf das Open-Source-Framework SUPERSHELL gesetzt, kommt nun VShell zum Einsatz, das in einschlägigen Kanälen als leistungsfähigere Alternative zu Cobalt Strike gilt. Besonders bemerkenswert ist der Einsatz von WebSockets für die Kommandoübertragung. Diese Methode erlaubt eine verschlüsselte Zwei-Wege-Kommunikation in Echtzeit. Die C2-Infrastruktur basiert auf Domain-Spoofing: Namen wie „gooogleasia.com“ oder „telegrams.icu“ imitieren bekannte Anbieter, um Phishing-Kampagnen glaubwürdiger zu gestalten.

Technische Umsetzung der Angriffe

Die technische Umsetzung ist hochkomplex. Der initiale Zugang erfolgt mutmaßlich über gefälschte Domains oder Social Engineering. Ein Bash-Skript, „download_backd.sh“, lädt anschließend zwei ausführbare Dateien herunter: den SNOWLIGHT-Dropper und das Systemimplantat „system_worker“, das auf Sliver basiert. Beide Payloads werden abhängig von Benutzerrechten entweder in temporären Verzeichnissen oder systemweit abgelegt. Für die Persistenz sorgen Einträge in crontab und systemd – Mechanismen, die auch nach einem Reboot den Zugriff gewährleisten.

(ID:50395380)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte