APT36 nutzt Linux .desktop-Dateien für neue Cyberangriffe

LONDON (IT BOLTWISE) – Die pakistanische Hackergruppe APT36 hat eine neue Methode entwickelt, um über Linux .desktop-Dateien Malware zu verbreiten. Diese Angriffe richten sich gegen Regierungs- und Verteidigungseinrichtungen in Indien und zeigen eine zunehmende Raffinesse in den Taktiken der Gruppe.

Die jüngsten Cyberangriffe der pakistanischen Hackergruppe APT36 auf indische Regierungs- und Verteidigungseinrichtungen haben eine neue Dimension erreicht. Die Gruppe nutzt Linux .desktop-Dateien, um Malware zu verbreiten, die auf Datenexfiltration und dauerhaften Spionagezugriff abzielt. Diese Technik, die bereits in früheren Operationen in Südasien eingesetzt wurde, zeigt die zunehmende Raffinesse und Anpassungsfähigkeit der Gruppe.

Die Angriffe wurden erstmals am 1. August 2025 entdeckt und sind laut den Berichten von CYFIRMA und CloudSEK weiterhin aktiv. Die Opfer erhalten ZIP-Archive über Phishing-E-Mails, die eine bösartige .desktop-Datei enthalten, die als PDF-Dokument getarnt ist. Diese Dateien sind textbasierte Anwendungsstarter, die Konfigurationsoptionen enthalten, um die Desktop-Umgebung zu steuern.

Beim Öffnen der .desktop-Datei wird ein versteckter Bash-Befehl im ‘Exec=’-Feld ausgeführt, der eine hex-kodierte Nutzlast von einem Server des Angreifers oder Google Drive herunterlädt. Diese Nutzlast wird dann ausführbar gemacht und im Hintergrund gestartet. Um den Verdacht des Opfers zu verringern, wird gleichzeitig ein harmloses PDF-Dokument in Firefox geöffnet.

Die Angreifer haben zusätzliche Felder wie ‘Terminal=false’ hinzugefügt, um das Terminalfenster zu verbergen, und ‘X-GNOME-Autostart-enabled=true’, um die Datei bei jedem Login auszuführen. Diese Technik ähnelt der Missbrauch von ‘LNK’-Verknüpfungen auf Windows-Systemen. Da .desktop-Dateien auf Linux normalerweise als Textdateien und nicht als Binärdateien vorliegen, werden sie von Sicherheitswerkzeugen oft nicht als Bedrohung erkannt.

Die von der manipulierten .desktop-Datei heruntergeladene Nutzlast ist ein Go-basiertes ELF-Executable, das Spionagefunktionen ausführt. Trotz der Herausforderungen durch Verpackung und Verschleierung konnten die Forscher feststellen, dass es sich verstecken oder seine eigene Persistenz über Cron-Jobs und Systemd-Dienste einrichten kann. Die Kommunikation mit dem Command-and-Control-Server erfolgt über einen bidirektionalen WebSocket-Kanal, der Datenexfiltration und Remote-Befehlsausführung ermöglicht.

Diese Kampagne zeigt, wie APT36 seine Taktiken weiterentwickelt und zunehmend ausweichende und ausgeklügelte Methoden einsetzt. Die Sicherheitsfirmen betonen, dass dies ein Zeichen für die wachsende Bedrohung durch solche Gruppen ist, die ihre Techniken ständig anpassen, um Sicherheitsmaßnahmen zu umgehen.

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

79,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!