Cyberangriffe auf Drohnen-Lieferketten: Earth Ammit im Visier

TAIWAN / SÜDKOREA / MÜNCHEN (IT BOLTWISE) – Die Cyberwelt steht erneut im Fokus, da Earth Ammit, eine berüchtigte Gruppe für Cyber-Spionage, mit zwei bedeutenden Kampagnen in Verbindung gebracht wird. Diese Angriffe, die sich über die Jahre 2023 bis 2024 erstrecken, zielen auf kritische Sektoren in Taiwan und Südkorea ab, darunter Militär, Satelliten, Schwerindustrie und Gesundheitswesen.

Earth Ammit, eine Cyber-Spionage-Gruppe, die mutmaßlich mit chinesischsprachigen staatlichen Akteuren in Verbindung steht, hat in den Jahren 2023 bis 2024 zwei bedeutende Kampagnen gestartet, die auf verschiedene Sektoren in Taiwan und Südkorea abzielen. Diese Kampagnen, bekannt als VENOM und TIDRONE, richten sich gegen hochkarätige Ziele wie Militär, Satelliten, Schwerindustrie, Medien, Technologie, Softwaredienste und das Gesundheitswesen.

Die erste Angriffswelle, VENOM genannt, konzentrierte sich hauptsächlich auf Softwaredienstleister. Dabei nutzte Earth Ammit Schwachstellen in Webservern aus, um Web-Shells zu platzieren und Remote-Access-Tools (RATs) zu installieren, um einen dauerhaften Zugang zu den kompromittierten Systemen zu erhalten. Ein bemerkenswertes Merkmal dieser Kampagne ist die Verwendung von Open-Source-Tools wie REVSOCK und Sliver, um die Zuordnung der Angriffe zu verschleiern. Das einzige maßgeschneiderte Malware-Tool, das in der VENOM-Kampagne beobachtet wurde, ist VENFRPC, eine angepasste Version des Fast Reverse Proxy (FRP) Tools.

Die zweite Angriffswelle, TIDRONE, zielte gezielt auf die Militärindustrie ab. Diese Kampagne wurde erstmals von einem führenden Sicherheitsunternehmen aufgedeckt und umfasste Angriffe auf Drohnenhersteller in Taiwan, um maßgeschneiderte Malware wie CXCLNT und CLNTEND zu verbreiten. Diese Malware wurde später auch gegen südkoreanische Unternehmen eingesetzt. Die Angriffe sind besonders bemerkenswert, da sie die Lieferkette von Drohnen ins Visier nehmen und ERP-Software nutzen, um in die Militär- und Satellitenindustrie einzudringen.

Die TIDRONE-Kampagne verläuft in drei Phasen: Zunächst wird der Zugang durch das Einschleusen von Schadcode bei Dienstleistern erlangt. Anschließend erfolgt die Steuerung und Kontrolle über einen DLL-Loader, der die Backdoors CXCLNT und CLNTEND ablegt. In der letzten Phase wird die Persistenz eingerichtet, die Privilegien werden erhöht, Antivirensoftware wird deaktiviert und ein Screenshot-Tool namens SCREENCAP wird installiert.

Die Verbindung zwischen VENOM und TIDRONE ergibt sich aus gemeinsamen Opfern und Dienstleistern sowie überlappender Infrastruktur zur Steuerung und Kontrolle, was darauf hindeutet, dass ein gemeinsamer Bedrohungsakteur hinter beiden Kampagnen steckt. Die Taktiken, Techniken und Verfahren (TTPs) dieser Gruppe ähneln denen einer anderen chinesischen Hackergruppe, was auf ein gemeinsames Toolkit hindeutet.

Parallel dazu hat ein weiteres Sicherheitsunternehmen Details zu einer Cyber-Spionage-Kampagne namens Swan Vector veröffentlicht, die Bildungseinrichtungen und die Maschinenbauindustrie in Taiwan und Japan ins Visier nimmt. Diese Kampagne nutzt gefälschte Bewerbungsunterlagen, die über Spear-Phishing-E-Mails verteilt werden, um eine DLL-Implantation namens Pterois zu installieren, die dann den Cobalt Strike Shellcode herunterlädt.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!