Chinesische Hacker nutzen ArcGIS-Server als Hintertür

PEKING / LONDON (IT BOLTWISE) – Eine chinesische Hackergruppe hat über ein Jahr lang einen ArcGIS-Server als Hintertür genutzt. Diese raffinierte Cyberattacke zeigt, wie Angreifer vertrauenswürdige Software missbrauchen, um unbemerkt in Systeme einzudringen. Die Gruppe, bekannt als Flax Typhoon, hat eine Geo-Mapping-Anwendung manipuliert, um langfristige Kontrolle zu erlangen.

Eine chinesische Hackergruppe, die als Flax Typhoon bekannt ist, hat über ein Jahr lang einen ArcGIS-Server als Hintertür genutzt. Diese Gruppe, die auch unter den Namen Ethereal Panda und RedJuliett bekannt ist, hat eine raffinierte Methode entwickelt, um unbemerkt in Systeme einzudringen. Laut Berichten von ReliaQuest handelt es sich um eine staatlich geförderte Gruppe, die mit einem börsennotierten Unternehmen in Peking in Verbindung steht.

Die Angreifer haben eine Java-Server-Objekterweiterung (SOE) der Geo-Mapping-Anwendung modifiziert, um eine funktionierende Web-Shell zu schaffen. Durch die Implementierung eines hartkodierten Schlüssels für den exklusiven Zugriff und dessen Einbettung in System-Backups konnten sie eine tiefgreifende, langfristige Persistenz erreichen, die selbst eine vollständige Systemwiederherstellung überstehen könnte.

Flax Typhoon ist bekannt für seine Fähigkeit, unentdeckt zu bleiben, indem es Methoden wie „Living-off-the-Land“ (LotL) und direkte Tastatureingaben nutzt. Diese Techniken ermöglichen es, Softwarekomponenten als Vehikel für bösartige Angriffe zu verwenden und gleichzeitig die Erkennung zu umgehen. Der Angriff zeigt, wie Angreifer zunehmend vertrauenswürdige Werkzeuge und Dienste missbrauchen, um Sicherheitsmaßnahmen zu umgehen und unbefugten Zugriff auf Systeme zu erlangen.

Die Angreifer zielten auf einen öffentlich zugänglichen ArcGIS-Server, indem sie ein Portal-Administratorkonto kompromittierten, um eine bösartige SOE zu installieren. Diese wurde durch eine Standard-ArcGIS-Erweiterung aktiviert, die eine REST-Operation aufrief, um Befehle auf dem internen Server über das öffentliche Portal auszuführen. Dies machte ihre Aktivitäten schwer zu erkennen. Durch die Hinzufügung eines hartkodierten Schlüssels verhinderte Flax Typhoon, dass andere Angreifer oder neugierige Administratoren ihren Zugriff manipulieren konnten.

Die Web-Shell wurde genutzt, um Netzwerkerkennungsoperationen durchzuführen und Persistenz zu etablieren, indem eine umbenannte SoftEther VPN-Executable in den System32-Ordner hochgeladen wurde. Ein Dienst namens „SysBridge“ wurde erstellt, um die Binärdatei bei jedem Neustart des Servers automatisch zu starten. Der Prozess „bridge.exe“ stellte ausgehende HTTPS-Verbindungen zu einer von Angreifern kontrollierten IP-Adresse her, um einen verdeckten VPN-Kanal zum externen Server einzurichten.

Diese VPN-Brücke ermöglichte es den Angreifern, das lokale Netzwerk des Ziels auf einen entfernten Standort zu erweitern, sodass es so aussah, als ob der Angreifer Teil des internen Netzwerks wäre. Dies ermöglichte es ihnen, die Netzwerküberwachung zu umgehen und zusätzliche laterale Bewegungen und Datenexfiltration durchzuführen. Die Angreifer zielten speziell auf zwei Arbeitsstationen von IT-Personal ab, um Anmeldeinformationen zu erhalten und weiter in das Netzwerk einzudringen.

Die Untersuchung ergab, dass der Gegner Zugriff auf das Administratorkonto hatte und in der Lage war, das Passwort zurückzusetzen. Dieser Angriff unterstreicht nicht nur die Kreativität und Raffinesse der Angreifer, sondern auch die Gefahr, dass vertrauenswürdige Systemfunktionen zur Umgehung traditioneller Erkennungsmethoden missbraucht werden können. Es geht nicht nur darum, bösartige Aktivitäten zu erkennen, sondern auch darum, zu erkennen, wie legitime Werkzeuge und Prozesse manipuliert und gegen einen verwendet werden können.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

31,84 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

17,84 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

79,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!