LONDON (IT BOLTWISE) – Eine neue Cyber-Spionagekampagne, die von der berüchtigten chinesischen Hackergruppe APT41 ausgeht, hat die IT-Infrastruktur von Regierungsdiensten in Afrika ins Visier genommen. Diese Gruppe, bekannt für ihre Angriffe auf verschiedene Sektoren weltweit, hat nun ihre Aktivitäten auf den afrikanischen Kontinent ausgeweitet.
Die Hackergruppe APT41, die mit dem chinesischen Staat in Verbindung gebracht wird, hat eine neue Kampagne gestartet, die sich gezielt gegen die IT-Infrastruktur von Regierungsdiensten in Afrika richtet. Diese Gruppe ist bekannt für ihre Angriffe auf zahlreiche Sektoren, darunter Telekommunikation, Energieversorger, Bildungseinrichtungen und Gesundheitsorganisationen in über drei Dutzend Ländern. Der jüngste Angriff auf Afrika ist bemerkenswert, da dieser Kontinent bisher weniger im Fokus dieser Bedrohungsakteure stand.
Die russische Cybersicherheitsfirma Kaspersky hat die Aktivitäten von APT41 untersucht, nachdem sie verdächtige Aktivitäten auf mehreren Arbeitsstationen einer nicht genannten Organisation festgestellt hatte. Die Angreifer nutzten dabei fest codierte Namen interner Dienste, IP-Adressen und Proxy-Server, die in ihrer Malware eingebettet waren. Ein bemerkenswerter Aspekt der Angriffe war die Nutzung eines SharePoint-Servers innerhalb der Infrastruktur des Opfers als Kommando- und Kontrollserver (C2).
Die Angreifer führten Befehle aus, um die Verfügbarkeit ihres C2-Servers zu überprüfen, entweder direkt oder über einen internen Proxy-Server innerhalb der kompromittierten Entität. Die Quelle der verdächtigen Aktivitäten war ein unüberwachter Host, der kompromittiert worden war. Die Angreifer nutzten Impacket, um in den Kontext eines Dienstkontos einzudringen, und setzten die Module Atexec und WmiExec ein, bevor sie ihre Operationen vorübergehend einstellten.
Nach der ersten Kompromittierung sammelten die Angreifer Anmeldeinformationen von privilegierten Konten, um die Privilegieneskalation und laterale Bewegungen zu erleichtern. Schließlich setzten sie Cobalt Strike für die C2-Kommunikation ein, indem sie DLL-Sideloading nutzten. Die bösartigen DLLs überprüften die installierten Sprachpakete auf dem Host und führten die Ausführung nur fort, wenn bestimmte Sprachpakete nicht erkannt wurden, darunter Japanisch, Koreanisch, Chinesisch (Festland) und Chinesisch (Taiwan).
Ein weiteres Merkmal des Angriffs war die Nutzung eines gehackten SharePoint-Servers für C2-Zwecke, wobei dieser verwendet wurde, um Befehle zu senden, die von einer C#-basierten Malware auf den Opfer-Hosts ausgeführt wurden. Die Angreifer verteilten Dateien namens agents.exe und agentx.exe über das SMB-Protokoll, um mit dem Server zu kommunizieren. Diese Dateien waren tatsächlich C#-Trojaner, deren Hauptfunktion darin bestand, Befehle auszuführen, die sie von einer Web-Shell namens CommandHandler.aspx erhielten, die auf dem SharePoint-Server installiert war.
Die Angreifer führten auch Folgeaktivitäten auf Maschinen durch, die nach der ersten Aufklärung als wertvoll erachtet wurden. Dies geschah durch das Ausführen eines cmd.exe-Befehls, um eine bösartige HTML-Anwendung (HTA) von einer externen Ressource herunterzuladen und diese mit mshta.exe auszuführen. Die genaue Natur der über die externe URL gelieferten Nutzlast, die eine Domain nachahmt, die GitHub ähnelt, ist derzeit unbekannt. Eine Analyse eines der zuvor verteilten Skripte zeigt jedoch, dass es darauf ausgelegt ist, eine Reverse-Shell zu erzeugen, wodurch die Angreifer die Möglichkeit erhalten, Befehle auf dem infizierten System auszuführen.
Darüber hinaus wurden in den Angriffen Stealer und Tools zur Ernte von Anmeldeinformationen eingesetzt, um sensible Daten zu sammeln und die Details über den SharePoint-Server zu exfiltrieren. Zu den von den Angreifern eingesetzten Werkzeugen gehören modifizierte Versionen von Pillager, um Anmeldeinformationen aus Browsern, Datenbanken und administrativen Hilfsprogrammen wie MobaXterm zu stehlen, sowie RawCopy, um rohe Registrierungsdateien zu kopieren, und Mimikatz, um Kontodaten zu extrahieren.
Die Angreifer verwenden eine breite Palette von sowohl selbst entwickelten als auch öffentlich verfügbaren Tools. Insbesondere setzen sie Penetrationstests-Tools wie Cobalt Strike in verschiedenen Phasen eines Angriffs ein. Sie passen sich schnell an die Infrastruktur ihrer Ziele an und aktualisieren ihre bösartigen Werkzeuge, um spezifische Merkmale zu berücksichtigen. Sie können sogar interne Dienste für die C2-Kommunikation und Datenexfiltration nutzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Chinesische Hackergruppe APT41 zielt auf afrikanische IT-Infrastruktur" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Chinesische Hackergruppe APT41 zielt auf afrikanische IT-Infrastruktur" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Chinesische Hackergruppe APT41 zielt auf afrikanische IT-Infrastruktur« bei Google Deutschland suchen, bei Bing oder Google News!