Mit dem Einsatz sogenannter Data-Loss-Prevention-Lösungen (DLP) wollen Unternehmen verhindern, dass interne Daten ungewollt das eigene Netzwerk verlassen. Doch wenn der Softwareanbieter selbst gehackt wird, sind auch dessen Kunden in Gefahr. Lieferkettenangriffe zählen zu den vielfach unterschätzten Gefahren, sagen die Experten des IT-Sicherheitsherstellers Eset. Sie haben aktuell einen Angriff auf das Netzwerk eines ostasiatischen Data-Loss-Prevention-Unternehmens aufgedeckt, zu dessen Kundenportfolio auch Regierungs- und Militäreinrichtungen gehören. Die Eset-Forscher führen diesen Angriff mit hoher Wahrscheinlichkeit auf die APT-Gruppe „Tick“ zurück. Basierend auf deren Profil war das Ziel des Angriffs Cyberspionage.
„Während der Infiltration des Anbieter setzten die Angreifer mindestens drei Malware-Familien ein. Dabei kompromittierten sie auch interne Update-Server und haben Installationsprogramme legitimer Tools von Drittanbietern mit Trojanern versehen. Dies führte schließlich zur Ausführung von Malware auf den Computern von mindestens zwei Kunden“, erklärt Eset-Forscher Facundo Muñoz, der die jüngste Operation von Tick entdeckt hat. „Die Hacker setzten den bisher nicht dokumentierten Downloader „ShadowPy“ ein sowie die Netboy-Backdoor (alias Invader) und den Ghostdown-Downloader“, so Muñoz weiter.
Erster Angriff bereits vor zwei Jahren
Eset entdeckte bereits 2021 einen ersten Angriff und informierte umgehend das DLP-Unternehmen. Im Jahr 2022 registrierte die Eset-Telemetrie die Ausführung von bösartigem Code in den Netzwerken zweier Kunden des kompromittierten Anbieters. Da die trojanisierten Installationsprogramme über Fernwartungssoftware übertragen wurden, vermutet Eset Research, dass die Infektion der Rechner während des technischen Supports durch das DLP-Unternehmen stattfand. Auch der Hersteller der Data-Loss-Prevention-Lösung selbst wurde infiziert, nachdem zwei interne Update-Server Schadcode im eigenen Netzwerk verteilten.
Neuer Downloader namens ShadowPy
Der bisher nicht dokumentierte Downloader ShadowPy wurde in Python entwickelt und wird über eine angepasste Version des Open-Source-Projekts py2exe geladen. ShadowPy kontaktiert einen Remote-Server, von dem es neue Python-Skripte erhält, die entschlüsselt und ausgeführt werden.
Die ältere Netboy-Backdoor unterstützt 34 Befehle, darunter das Sammeln von Systeminformationen, das Löschen einer Datei, das Herunterladen und Ausführen von Programmen, das Erfassen von Bildschirminhalten und das Ausführen von Maus- und Tastaturereignissen, die von seinem Controller angefordert werden.
Über die APT-Gruppe Tick
Tick (auch bekannt als „BRONZE BUTLER“ oder „REDBALDKNIGHT“) ist eine APT-Gruppe, die mutmaßlich seit mindestens 2006 aktiv ist und hauptsächlich Länder in der APAC-Region angreift. Die Gruppe ist bekannt für ihre Cyberspionage-Operationen, die sich auf den Diebstahl von Verschlusssachen und geistigem Eigentum konzentrieren. Tick verwendet ein exklusives, maßgeschneidertes Malware-Toolset, das für den dauerhaften Zugriff auf kompromittierte Rechner, die Aufklärung, die Datenexfiltration und den Download von weiteren Werkzeugen entwickelt wurde.
Weitere technische Informationen über die jüngste Tick-Kampagne finden ich in dem Blogpost „Tick APT Gruppe attackiert DLP-Softwareentwickler in Ostasien“: auf WeLiveSecurity –
Tick APT‑Gruppe attackiert DLP‑Softwareentwickler in Ostasien | WeLiveSecurity
#Eset
