QUETTA / LONDON (IT BOLTWISE) – Sicherheitsforscher berichten über eine langlaufende Cyberespionage-Kampagne gegen pakistanische Strafverfolgungsbehörden. Im Zentrum steht das Portal „Complaint Management System“ der Balochistan Police, über das Angreifer sowohl Citizen- als auch Mitarbeiterdaten in ihren Zugriff bringen konnten. Laut Analyse wurden mehrere Web- und Netzwerk-Komponenten kompromittiert und verschiedene Malwarefamilien wie PlugX, ShadowPad, Cobalt Strike und Remcos eingesetzt. Besonders kritisch: Das Portal wurde so missbraucht, dass ein Update-ähnlicher Ladevorgang als Malware-Distribution funktioniert.
Eine anhaltende Spionagekampagne trifft offenbar die pakistanische Strafverfolgung gleich mehrfach – und sie zeigt, wie schnell „vertrauenswürdige“ IT-Bereiche zum Einfallstor werden können. Zwischen Februar 2024 und April 2026 wurden laut Sicherheitsforschung mehrere Organisationen im Umfeld der Balochistan Police, der Khyber Pakhtunkhwa Police, der Islamabad Police und der Punjab Safe Cities Authority (PSCA) mit kompromittierter Infrastruktur verbunden. Besonders auffällig ist dabei der Weg über Web- und Identitätsnahe Anwendungen: Wer an Systeme gelangt, die personenbezogene Daten, biometrische Informationen oder Fallakten verwalten, gewinnt nicht nur technische Zugriffsrechte, sondern auch operatives Kontextwissen.
Im Bericht wird beschrieben, dass kompromittierte Assets bei der Balochistan Police unter anderem Server umfassten, die Webanwendungen für Polizei- und Bürgersachverhalte bereitstellen. Dazu gehören Kategorien wie Kriminal- und Biometrie-Records, Hotel- und Mietregistrierungen, die an nationale Identitätssysteme gekoppelt sind, sowie Strafakten und Personalunterlagen. Diese Datentiefe erklärt, warum mehrere Akteursgruppen gleichzeitig Interesse entwickeln konnten: In der Logik von Cyber Threat Intelligence zählt nicht nur der Zugang, sondern vor allem die Möglichkeit, das „interne Lagebild“ einer Behörde mit Informationen aus zentralen Verfahren anzureichern. Genau diese Opferwahl macht die Kampagne strategisch.
Technisch setzt die Aktivität auf eine mehrstufige Kompromittierung, bei der Angreifer nicht nur Maschinen infizieren, sondern gezielt in die App-Schicht eindringen. Für Balochistan wurden im Zeitraum von 2. Juni 2024 bis 9. April 2026 zwei Netzwerk-Appliances sowie Webserver mit mehreren Polizei-Webanwendungen im Zusammenhang mit der Smart-Police-Station-Digitalisierung genannt. Zusätzlich wird eine Fortinet-FortiMail-Appliance als kompromittierter Inbound-Gateway-Baustein beschrieben. Damit öffnet sich eine typische Angriffsschleife: Mail- und Netzwerkzugriff erleichtern das Platzieren von Payloads oder das Abfangen von Kommunikationsmustern, während die Webschicht den späteren Datentransfer und die Malware-Distribution plausibel tarnen kann.
Im Zentrum steht eine Anwendung namens „Complaint Management System“ (CMS) mit der Adresse cms.balochistanpolice.gov[.]pk. Laut Analyse dient sie sowohl Polizeimitarbeitern als auch Bürgern zur Registrierung, Nachverfolgung und Lösung von Beschwerden – also einem Interface, in dem legitime Nutzerbewegungen häufig und erwartbar sind. Über CMS wurden Implant-Komponenten wie „cms_plugin.exe“ abgelegt; zwei Varianten werden als Teil der Operation beschrieben. Eine davon startet als Rust-Stager, der eine weitere Komponente von 193.42.25[.]65 nachlädt und anschließend ausführt. Bemerkenswert ist die Tarnung: Beim Start soll eine Meldung „Update Complete! Please refresh the page“ erscheinen, wodurch ein CMS-Update simuliert wird. Eine weitere Variante nutzt eine.NET-Logik, die als „360Safe.exe“ imitiert und über Reflective Loading einen AsyncRAT-Client nachlädt.
Die Kampagne wird in vier Bedrohungscluster aufgeteilt, die jeweils unterschiedliche Malwarefamilien einsetzen: PlugX, ShadowPad, Cobalt Strike und Remcos RAT. Remcos wird dabei mit einem India-nexus-nahen Akteur in Verbindung gebracht, während PlugX und ShadowPad auf gemeinsamen oder „commodity“ Werkzeugen basieren sollen. Zugleich wird festgehalten, dass die Kombination von PlugX und ShadowPad traditionell mit chinesischen Nation-State-Gruppen assoziiert wird. Ein wichtiger Markt- und Technikmarker ist außerdem die „Victimology“: Die beobachteten Zielmuster für PlugX (27. Februar bis 28. September 2024) und ShadowPad (3. August bis 1. Dezember 2024) umfassen neben pakistanischen Polizeibereichen auch Regierung, Außenpolitik, Verteidigung, NGOs und Forschungseinrichtungen in weiten Teilen Asiens sowie im Nahen Osten und in Südosteuropa.
Als zusätzlicher Wettbewerbs- und Sicherheitskontext fällt auf, dass Unternehmen wie SentinelOne mit SentinelLABS die Kampagne offenbar über mehrere Cluster hinweg zusammengeführt haben. Für die Praxis bedeutet das: Detect-and-Respond ist nicht nur eine Frage einzelner Signaturen, sondern einer robusten Korrelation von Infrastruktur, Taktiken und Kommunikationsmustern. Beim Cobalt-Strike-Cluster wird die Zuordnung über einen C2-Endpunkt begründet: Verkehr zu 142.171.183[.]8 soll über Pakistan hinaus zu weiteren Zielgruppen führen, unter anderem zu Regierung, Hochschulen, Telekommunikationsstrukturen und NGOs in Regionen bis nach Südamerika. Für Organisationen mit hohen Anforderungen an Vertraulichkeit ist das relevant, weil solche Muster auch auf Risikofusionen schließen lassen – wer ein nationales Ziel infiltriert, sucht oft gleich den regionalen Kontext als Skalierungsfaktor.
Auch das Thema „Decoys“ zeigt, wie stark Angreifer die Nutzerlogik adressieren. In den Attack Chains sollen Lockmittel auftauchen, die auf Polizeioperationen abzielen und ein Dokument imitieren, das einen Plan zur Rückführung illegaler Ausländer enthält; speziell wird ein Bezug zu Afghan Citizen Card (ACC)-Inhabern genannt. Solche Dokument-Tarnungen wirken vor allem dann gut, wenn sie in operative Abläufe passen und sich für Anwender wie eine normale Zwischenstation anfühlen. Gleichzeitig wird beschrieben, dass der Remcos-bezogene Intrusion-Set Infrastruktur- und Taktiküberschneidungen mit „Mysterious Elephant“ (APT-C-08, APT-K-47, TAG-179) teilt. Das ist historisch konsistent: Gerade bei etablierten Akteuren wiederholen sich Techniken, während einzelne Payloads variieren.
Für die Zukunft lässt sich daraus eine klare, operative Leitlinie ableiten: Portale, die Bürgerinteraktion und Behördenprozesse verbinden, sind besonders attraktiver „Delivery Surface“. Die Analyse argumentiert, dass die Kompromittierung des CMS eine zweite Dimension eröffnet: Angreifer erweitern ihre Reichweite über das zunächst kompromittierte Umfeld hinaus, weil das Portal sowohl für öffentliche Nutzer als auch für Mitarbeitende erreichbar ist. Technisch bedeutet das für Betreiber zweierlei: erstens müssen Web- und Mail-Gateways als zusammenhängendes Angriffsparadies betrachtet werden; zweitens reicht Patchen allein nicht, wenn Persistenzmechanismen über App-Update-Logiken oder Reflective Loading eingeschleust wurden. Unternehmen sollten daher stärker auf Integritätsprüfungen für gelieferte Binaries, strikte Least-Privilege in App-Backends und lückenlose Netzwerksegmentierung setzen. Regulatorisch trifft das Behörden besonders, weil biometrische und personenbezogene Daten je nach Zuständigkeit unter strengen Datenschutz- und Zugriffsvorschriften stehen; jede Mehrzweck-Nutzung solcher Portale erhöht folglich auch die Compliance-Risiken, falls es zu unbemerkten Datenabflüssen kommt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angriffe auf Balochistan Police: Spionagegruppen kapern Portal-CMS und liefern Malware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angriffe auf Balochistan Police: Spionagegruppen kapern Portal-CMS und liefern Malware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angriffe auf Balochistan Police: Spionagegruppen kapern Portal-CMS und liefern Malware« bei Google Deutschland suchen, bei Bing oder Google News!