NORDAMERIKA / LONDON (IT BOLTWISE) – Eine China-gebundene Spionagegruppe (UNC6508) hat sensible Forschungs- und Verteidigungs-E-Mails abgezogen, indem sie bei Google Workspace nicht das Postfach selbst, sondern dessen Content-Compliance-Regeln missbrauchte. Der Trick: Die Angreifer erstellten Regeln, die passende Nachrichten automatisch per BCC an ein kontrolliertes Postfach kopieren ließen – ohne zusätzliche Exfiltrations-Tools oder ungewöhnlichen Mail-Traffic. Technische Basis war ein Backdoor-Mechanismus in REDCap, der fortan in den Serverbetrieb hineinwirkte. Der Vorfall zeigt, wie wichtig Audit-Logs, regelbasierte Postfachprüfungen und phishing-resistentes MFA für Administratoren sind.
Die jüngst veröffentlichte Analyse der Threat Intelligence Group (GTIG) macht eine neue Qualitätsstufe in der modernen Spionage sichtbar: Daten werden nicht nur über klassische Malware entwendet, sondern über die funktionalen „Assistenz“-Bausteine von Cloud-Produktivsystemen. Die Gruppe UNC6508 nutzte dafür eine Kombination aus kompromittierten Forschungsplattformen und ausgenutzten Administrationsfunktionen in Google Workspace. Während im ersten Schritt ein bestehender Web-Dienst als Einfallstor diente, verschob sich der Fokus im zweiten Schritt auf eine scheinbar harmlose Compliance-Option, die E-Mails anhand von Suchbegriffen durchsucht und bei Übereinstimmung automatisch umleitet oder kopiert. Entscheidend ist: Ein solcher Missbrauch lässt sich oft im Mail-Setup erkennen, aber nicht zwingend als „Attack Traffic“ im Netzwerk.
Technisch begann alles bei REDCap (Research Electronic Data Capture), einer weit verbreiteten Web-Plattform, mit der Kliniken und Universitäten Studien- und Forschungsdatenbanken planen, befüllen und verwalten. Laut GTIG wurden extern erreichbare REDCap-Server in Nordamerika kompromittiert, wobei der genaue anfängliche Zugriffspunkt zunächst offen bleibt. Die Angreifer prüften jedoch verwundbare, ältere REDCap-Installationen und bauten nach einer gewissen Liegezeit einen mehrstufigen Eingriff ein. Etwa drei Monate nach dem Eindringen installierten sie die benutzerdefinierte Backdoor „INFINITERED“, die REDCap selbst „trojanisiert“, indem sie den Update-Prozess so manipuliert, dass neue Versionen die schädliche Komponente erneut einbetten.
Damit bleibt die Backdoor persistent, ohne dass Administratoren zwingend eine klassische Neuinstallation oder neue Artefakte bemerken. Zusätzlich verändert INFINITERED die Login-Kette, indem es Benutzernamen und Passwörter von der Anmeldeseite abgreift und verschlüsselt in lokalen Datenbanktabellen speichert. Schließlich nutzt die Komponente einen steuerbaren Kanal über HTTP-Cookies und führt Aktionen bei jedem Seitenaufruf aus. Für die weitere Ausbreitung kombinierte die Gruppe danach interne Aufklärung mit Credential Discovery: Sie sammelte Datenbank- und Service-Account-Zugänge, nutzte diese, um seitlich im Netzwerk zu pivotieren, und erreichte schließlich Domain-Administrator-Rechte. Auch wenn Google den exakten Pfad dorthin nicht im Detail erläutert, ist das Muster aus Cloud- und Identity-Übernahmen hinlänglich bekannt und lässt sich als typische Angriffskette vom initialen Host bis zur Identity-Ebene beschreiben.
Der „ungewöhnliche“ Teil liegt jedoch in der Exfiltration: UNC6508 brauchte keinen separaten Mail-Diebstahl-Mechanismus und keinen Extra-Traffic, der sofort nach „Data Exfiltration“ aussieht. Stattdessen missbrauchte die Gruppe Content-Compliance-Regeln in Google Workspace, also eine legitime Administratorfunktion, die Mailinhalte auf definierte Bedingungen prüft. Die Angreifer legten eine Regel an – mit bewusstem Tippfehler im Namen – und hinterlegten rund 150 Suchbegriffe, Keywords und E-Mail-Adressen. Sobald eine Nachricht diese Kriterien erfüllte, wurde sie „still“ per BCC an ein von den Angreifern kontrolliertes Gmail-Konto gesendet; dieses Konto hat Google inzwischen deaktiviert. GTIG betont dabei, dass ähnliche Forwarding-Regeln auch in anderen Cloud-Mail-Suiten existieren – neu sei für die Beobachter vor allem die konkrete Vorgehensweise über Domain-Content-Compliance-Regeln durch einen China-gebundenen Akteur.
Aus Markt- und Vergleichssicht ist das ein Signal, dass „regelbasierte Automatisierung“ ein neues Einfallstor in der Governance-Schicht wird. Zwar katalogisiert MITRE bereits Techniken, bei denen Weiterleitungsregeln missbraucht werden, doch die praktische Umsetzung wirkt hier besonders effizient: Der Angreifer bleibt im Rahmen der erwarteten Produktfunktionen, wodurch Telemetrie-Pattern oft weniger eindeutig sind. Wer heute z. B. mit Microsoft 365 arbeitet, kennt ähnliche Mechanismen etwa über Exchange Transport-Regeln, DLP-Workflows oder Compliance-Policies; auch dort müssen Administratoren auditieren, wer Regeln anlegt und wann sie geändert werden. Branchenexperten fassen es aktuell oft so zusammen: „Wenn ein Angreifer erst Administratorrechte hat, wird selbst die Sicherheitsfunktion zur Datenabfluss-Routine.“ In diesem Fall passten die Suchbegriffe eng zu Spionageprioritäten – von militärischen Strategien und Ausrüstungen bis zu fortgeschrittener Technologie einschließlich KI sowie zu spezifischer medizinischer Forschung; besonders hervorgehoben wurde ein Bezug auf den Erreger Chikungunya im Kontext eines Ausbruchs.
Für die Abwehr folgt daraus ein klarer Handlungsfokus, der über Patchen hinausgeht. Bei REDCap empfiehlt GTIG, extern erreichbare Instanzen konsequent zu aktualisieren und alte Versionen vollständig zu entfernen, weil REDCap es ermöglicht, Legacy-Builds parallel laufen zu lassen – genau das eröffnet Downgrade- und Rollback-Angriffe in bekannte Verwundbarkeiten. Auf der Mail-Seite sollte man Content-Compliance und Mail-Forwarding-Regeln nicht nur auf „aktuelle“ Einstellungen prüfen, sondern Change-Events in Audit-Logs betrachten: Wann wurde eine Regel erstellt, wer hat Änderungen durchgeführt und gab es ungewöhnliche Keyword-Muster oder Zieladressen außerhalb der Organisation? Zusätzlich lohnt ein proaktives Hunting nach publizierten Indikatoren rund um INFINITERED. Und mindestens ebenso wichtig: Administratorkonten müssen phishing-resistentes MFA erhalten, denn der eigentliche Exfiltrationsschritt hängt praktisch vollständig an der Kontrolle über die Compliance- und Regelkonfiguration.
Der nächste Schritt für viele Organisationen ist damit ein organisatorischer wie technischer: Cloud-Controls müssen so behandelt werden wie klassische Berechtigungen in Identity- und Admin-Backbones. Google bleibt dabei in einem Kernpunkt vage – wie UNC6508 den ersten Weg in die REDCap-Server gefunden hat –, aber das ändert nichts am Risiko für die Praxis. Entscheidend ist, dass ein einmaliges Eindringen in ein Forschungs- oder Kliniksystem nicht nur Datenbanken gefährdet, sondern über administrative Rechte die Governance-Schicht von Produktivsystemen „umprogrammieren“ kann. In Zukunft werden solche Angriffe voraussichtlich stärker auf legitime Workflows setzen, weil sie weniger auffällige Spuren erzeugen als eigenständige Exfiltrations-Tools. Für Entwickler und Sicherheitsteams bedeutet das: Regelwerke, Automatisierungen und Compliance-Features müssen versioniert, streng begrenzt und mit sauberen, nachvollziehbaren Audit-Trails versehen werden – sonst wird aus „Sicherheitsfunktion“ ein stiller Datenkanal.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UNC6508: Wie Angreifer Google Workspace-Regeln für E-Mail-Diebstahl missbrauchten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UNC6508: Wie Angreifer Google Workspace-Regeln für E-Mail-Diebstahl missbrauchten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UNC6508: Wie Angreifer Google Workspace-Regeln für E-Mail-Diebstahl missbrauchten« bei Google Deutschland suchen, bei Bing oder Google News!