Bitter-Hackergruppe weitet Cyber-Spionage auf die Türkei aus

LONDON (IT BOLTWISE) – Die Bitter-Hackergruppe, die als staatlich unterstützter Akteur gilt, hat ihre Cyber-Spionage-Aktivitäten auf die Türkei ausgeweitet. Dies geht aus einem umfassenden Bericht hervor, der von Proofpoint und Threatray veröffentlicht wurde.

Die Bitter-Hackergruppe, auch bekannt unter den Namen APT-C-08, APT-Q-37 und Hazy Tiger, hat sich in der Vergangenheit vor allem auf südasianische Ziele konzentriert. Doch nun zeigt sich eine geografische Ausweitung ihrer Aktivitäten, die auch die Türkei umfasst. Diese Entwicklung wurde durch den Einsatz von Malware-Familien wie WmRAT und MiyaRAT im Dezember 2024 deutlich.

Die Angriffe der Gruppe richten sich häufig gegen Regierungen, diplomatische Einrichtungen und Verteidigungsorganisationen, um Informationen über Außenpolitik oder aktuelle Angelegenheiten zu sammeln. Dabei setzen sie auf Spear-Phishing-E-Mails, die von Anbietern wie 163[.]com und ProtonMail gesendet werden, sowie auf kompromittierte Konten von Regierungen in Pakistan, Bangladesch und Madagaskar.

Besonders bemerkenswert ist die Fähigkeit der Gruppe, sich als Regierungs- und diplomatische Einrichtungen anderer Länder auszugeben, um Empfänger dazu zu verleiten, mit Malware versehene Anhänge zu öffnen. Diese Täuschungstaktik zeigt, dass Bitter über ein tiefes Verständnis der internationalen Beziehungen verfügt und dieses Wissen gezielt einsetzt.

In zwei spezifischen Kampagnen wurde Bitter auch bei direkten Aktivitäten auf den Zielsystemen beobachtet, um weitere Informationen zu sammeln und zusätzliche Schadsoftware wie KugelBlitz und BDarkRAT zu installieren. Diese Werkzeuge ermöglichen es, Systeminformationen zu sammeln, Shell-Befehle auszuführen und Dateien auf dem kompromittierten Host zu verwalten.

Zu den weiteren bekannten Werkzeugen der Gruppe gehören ArtraDownloader, ein Downloader, der Systeminformationen sammelt, und Keylogger, ein Modul zur Aufzeichnung von Tastatureingaben. Auch der WSCSPL Backdoor und MuuyDownloader gehören zum Arsenal der Gruppe, die es ihnen ermöglichen, remote Code auszuführen und Dateien herunterzuladen.

Interessanterweise wurde der ORPCBackdoor von der Knownsec 404 Team einem anderen Bedrohungsakteur namens Mysterious Elephant zugeschrieben, der ebenfalls mit indisch ausgerichteten Bedrohungsclustern wie SideWinder und Patchwork in Verbindung gebracht wird. Diese Überschneidungen deuten darauf hin, dass es möglicherweise eine koordinierte Anstrengung gibt, die Interessen der indischen Regierung zu unterstützen.

Die Aktivitäten der Bitter-Gruppe scheinen sich auf die regulären Arbeitszeiten in der indischen Zeitzone zu konzentrieren, was darauf hindeutet, dass sie möglicherweise im Auftrag einer indischen Geheimdienstorganisation operiert. Diese zeitliche Übereinstimmung mit der Registrierung von Domains und der Ausstellung von TLS-Zertifikaten verstärkt den Verdacht einer staatlichen Unterstützung.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!