UNC6384: Neue Angriffe auf Diplomaten mit PlugX-Malware

SÜDOSTASIEN / LONDON (IT BOLTWISE) – Eine neue Angriffswelle, die von der China-nahen Hackergruppe UNC6384 ausgeht, zielt auf Diplomaten in Südostasien ab. Diese Angriffe nutzen fortschrittliche Social-Engineering-Methoden und gültige Zertifikate, um die PlugX-Malware zu verbreiten. Die Bedrohung wird durch die Verwendung eines Adversary-in-the-Middle-Angriffs und die Umleitung von Webverkehr über captive Portals verstärkt.

Die Bedrohung durch Cyberangriffe nimmt weltweit zu, und eine der neuesten Entwicklungen betrifft die Aktivitäten der China-nahen Hackergruppe UNC6384. Diese Gruppe hat eine Reihe von Angriffen gestartet, die sich gegen Diplomaten in Südostasien richten. Ziel dieser Angriffe ist es, die strategischen Interessen Pekings zu fördern. Die Angriffe zeichnen sich durch den Einsatz fortschrittlicher Social-Engineering-Techniken aus, darunter die Verwendung gültiger Code-Signatur-Zertifikate und Adversary-in-the-Middle (AitM)-Angriffe.

UNC6384 wird mit der bekannten chinesischen Hackergruppe Mustang Panda in Verbindung gebracht, die auch unter verschiedenen anderen Namen bekannt ist. Die jüngste Kampagne, die im März 2025 von der Google Threat Intelligence Group (GTIG) entdeckt wurde, nutzt captive Portals, um den Webverkehr umzuleiten und einen digital signierten Downloader namens STATICPLUGIN zu verbreiten. Dieser Downloader ermöglicht die In-Memory-Installation einer PlugX-Variante namens SOGU.SEC.

PlugX ist eine Backdoor-Malware, die seit mindestens 2008 existiert und von chinesischen Hackergruppen weit verbreitet eingesetzt wird. Sie ermöglicht das Exfiltrieren von Dateien, das Aufzeichnen von Tastenanschlägen und das Starten einer Remote-Befehlszeile. Die Verbreitung erfolgt häufig über USB-Sticks, gezielte Phishing-E-Mails oder kompromittierte Software-Downloads. Es wird angenommen, dass ShadowPad der Nachfolger von PlugX ist.

Die Angriffe von UNC6384 sind relativ einfach strukturiert, nutzen jedoch komplexe Techniken, um die PlugX-Malware zu verbreiten. Ein AitM-Angriff leitet den Browser des Opfers auf eine von den Angreifern kontrollierte Webseite um, von der aus STATICPLUGIN heruntergeladen wird. Diese Datei tarnt sich als Adobe Plugin-Update und wird mit einem gültigen TLS-Zertifikat von Let’s Encrypt bereitgestellt. Die Bedrohung wird durch die Verwendung von kompromittierten Edge-Geräten auf den Zielnetzwerken verstärkt.

Die Kampagne zeigt die fortschreitende Entwicklung der operativen Fähigkeiten von UNC6384 und unterstreicht die Raffinesse der PRC-nahen Bedrohungsakteure. Die Kombination aus AitM-Angriffen, gültigen Code-Signaturen und geschichteten Social-Engineering-Methoden demonstriert die Fähigkeiten dieser Bedrohungsakteure eindrucksvoll. Die genaue Methode, wie die Angreifer die Zertifikate erhalten, bleibt jedoch unklar.

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!