LONDON (IT BOLTWISE) – Eine Hackergruppe mit Verbindungen zu China hat eine raffinierte Spionagekampagne gestartet, die sich auf Telekommunikationsnetzwerke konzentriert. Diese Bedrohung, bekannt als Red Menshen, nutzt versteckte BPFDoor-Implantate, um unbemerkt in Netzwerken zu operieren und sensible Informationen zu sammeln.
Eine Hackergruppe, die mit China in Verbindung gebracht wird, hat eine langfristige Spionagekampagne gestartet, die sich auf Telekommunikationsnetzwerke konzentriert. Diese Bedrohung, bekannt als Red Menshen, nutzt versteckte BPFDoor-Implantate, um unbemerkt in Netzwerken zu operieren und sensible Informationen zu sammeln. Die Gruppe, die auch als Earth Bluecrow, DecisiveArchitect und Red Dev 18 bekannt ist, hat seit mindestens 2021 Telekommunikationsanbieter im Nahen Osten und Asien ins Visier genommen.
Die von Rapid7 als “eine der unauffälligsten digitalen Schläferzellen” beschriebenen Zugangsmechanismen ermöglichen es den Angreifern, sich dauerhaft in den Netzwerken zu verbergen. Die Kampagne zeichnet sich durch den Einsatz von Kernel-Level-Implantaten, passiven Hintertüren, Werkzeugen zur Erfassung von Zugangsdaten und plattformübergreifenden Befehlsframeworks aus, die es den Angreifern ermöglichen, dauerhaft in den Netzwerken zu verbleiben. Ein bekanntes Werkzeug in ihrem Arsenal ist die Linux-Hintertür BPFDoor.
Im Gegensatz zu herkömmlicher Malware öffnet BPFDoor keine Ports und unterhält keine sichtbaren Kommando- und Kontrollkanäle. Stattdessen missbraucht es die Berkeley Packet Filter (BPF)-Funktionalität, um den Netzwerkverkehr direkt im Kernel zu inspizieren und aktiviert sich nur, wenn es ein speziell gestaltetes Trigger-Paket erhält. Diese versteckte Hintertür ist tief im Betriebssystem eingebettet und bleibt so unentdeckt.
Die Angriffe beginnen mit der Ausnutzung von internetfähiger Infrastruktur und exponierten Diensten wie VPN-Appliances, Firewalls und Web-Plattformen von Unternehmen wie Ivanti, Cisco, Juniper Networks, Fortinet, VMware, Palo Alto Networks und Apache Struts. Nach dem erfolgreichen Eindringen werden Linux-kompatible Beacon-Frameworks wie CrossC2 eingesetzt, um Post-Exploitation-Aktivitäten zu erleichtern. Auch Sliver, TinyShell, Keylogger und Brute-Force-Utilities werden verwendet, um Zugangsdaten zu erbeuten und sich seitlich im Netzwerk zu bewegen.
BPFDoor besteht aus zwei Hauptkomponenten: einer passiven Hintertür, die auf dem kompromittierten Linux-System installiert wird, um eingehenden Verkehr auf ein vordefiniertes “magisches” Paket zu überprüfen, und einem Controller, der von den Angreifern verwaltet wird und für das Senden der speziell formatierten Pakete verantwortlich ist. Der Controller kann sich als legitime Systemprozesse tarnen und zusätzliche Implantate auf internen Hosts aktivieren, was eine kontrollierte seitliche Bewegung zwischen kompromittierten Systemen ermöglicht.
Einige BPFDoor-Artefakte unterstützen das Stream Control Transmission Protocol (SCTP), was es den Angreifern ermöglicht, Telekommunikationsprotokolle zu überwachen und Einblicke in das Verhalten und den Standort von Abonnenten zu gewinnen. Diese Aspekte zeigen, dass die Funktionalität von BPFDoor über eine einfache Linux-Hintertür hinausgeht. Es fungiert als Zugangsschicht, die tief in das Telekommunikations-Backbone eingebettet ist und langfristige, geräuscharme Einblicke in kritische Netzwerkoperationen bietet.
Eine bisher undokumentierte Variante von BPFDoor enthält architektonische Änderungen, die es noch schwerer machen, entdeckt zu werden. Dazu gehört das Verbergen des Trigger-Pakets in scheinbar legitimen HTTPS-Verkehr und die Einführung eines neuen Parsing-Mechanismus, der sicherstellt, dass die Zeichenfolge “9999” an einem festen Byte-Offset innerhalb der Anfrage erscheint. Diese Tarnung ermöglicht es dem magischen Paket, sich im HTTPS-Verkehr zu verstecken und die Implantate immer an einem bestimmten Byte-Offset zu überprüfen, um das Aktivierungskommando zu interpretieren.
Die neu entdeckte Probe führt auch einen “leichtgewichtigen Kommunikationsmechanismus” ein, der das Internet Control Message Protocol (ICMP) für die Interaktion zwischen zwei infizierten Hosts nutzt. Diese Entwicklungen spiegeln eine breitere Evolution in der Taktik der Angreifer wider, die Implantate tiefer in den Computing-Stack einbetten und Betriebssystemkerne und Infrastrukturplattformen ins Visier nehmen, anstatt sich nur auf Malware im Benutzerbereich zu verlassen.
Telekommunikationsumgebungen, die aus Bare-Metal-Systemen, Virtualisierungsschichten, Hochleistungsgeräten und containerisierten 4G/5G-Kernkomponenten bestehen, bieten ideales Terrain für geräuscharme, langfristige Persistenz. Durch das Verschmelzen mit legitimen Hardware-Diensten und Container-Runtimes können Implantate traditionelle Endpunktüberwachung umgehen und über längere Zeiträume unentdeckt bleiben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "China-verbundene Hacker nutzen BPFDoor-Implantate zur Spionage in Telekom-Netzwerken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "China-verbundene Hacker nutzen BPFDoor-Implantate zur Spionage in Telekom-Netzwerken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »China-verbundene Hacker nutzen BPFDoor-Implantate zur Spionage in Telekom-Netzwerken« bei Google Deutschland suchen, bei Bing oder Google News!