Cyberangriffe auf taiwanesische Webserver durch UAT-7237

TAIWAN / LONDON (IT BOLTWISE) – Eine chinesischsprachige Hackergruppe, bekannt als UAT-7237, hat kürzlich Webserver in Taiwan ins Visier genommen. Die Gruppe nutzt angepasste Open-Source-Tools, um langfristigen Zugriff auf hochkarätige Ziele zu erlangen.

Die Bedrohung durch Cyberangriffe auf kritische Infrastrukturen nimmt weltweit zu, und Taiwan ist dabei ein besonders gefährdetes Ziel. Eine chinesischsprachige Hackergruppe, die von Cisco Talos als UAT-7237 identifiziert wurde, hat kürzlich Webserver in Taiwan angegriffen. Diese Gruppe nutzt angepasste Versionen von Open-Source-Tools, um ihre Angriffe zu verschleiern und langfristigen Zugriff auf die Systeme zu erhalten.

UAT-7237 wird als Untergruppe von UAT-5918 betrachtet, die seit 2023 für Angriffe auf kritische Infrastrukturen in Taiwan bekannt ist. Im Gegensatz zu UAT-5918, die sofort Web-Shells zur Etablierung von Hintertüren einsetzt, verwendet UAT-7237 die SoftEther VPN-Clients, um den Zugriff zu sichern, und greift später über das Remote Desktop Protocol (RDP) auf die Systeme zu.

Ein zentrales Element der Angriffe ist der Einsatz eines maßgeschneiderten Shellcode-Loaders namens SoundBill, der entwickelt wurde, um sekundäre Nutzlasten wie Cobalt Strike zu dekodieren und auszuführen. Diese Vorgehensweise ermöglicht es den Angreifern, tief in die Systeme einzudringen und weitere bösartige Aktivitäten durchzuführen. Neben SoundBill wird auch das Tool JuicyPotato zur Privilegieneskalation und Mimikatz zur Extraktion von Anmeldedaten eingesetzt.

Die Angreifer beginnen ihre Angriffe typischerweise mit der Ausnutzung bekannter Sicherheitslücken in ungeschützten Servern, die dem Internet ausgesetzt sind. Nach der ersten Kompromittierung führen sie eine gründliche Erkundung durch, um festzustellen, ob das Ziel für weitere Ausbeutung interessant ist. Diese Taktik zeigt die Raffinesse und die langfristige Planung der Gruppe, die darauf abzielt, ihre Präsenz in den kompromittierten Netzwerken zu festigen.

Interessanterweise hat UAT-7237 in ihren SoftEther VPN-Clients die bevorzugte Anzeigesprache auf vereinfachtes Chinesisch eingestellt, was auf die Sprachkompetenz der Betreiber hinweist. Diese Details, zusammen mit der Nutzung von Open-Source-Tools, die speziell angepasst wurden, um Erkennung zu vermeiden, unterstreichen die Bedrohung, die von solchen gut organisierten Hackergruppen ausgeht.

Die Enthüllung dieser Angriffe erfolgt zu einem Zeitpunkt, an dem die Sicherheitsgemeinschaft zunehmend besorgt über die wachsende Bedrohung durch staatlich unterstützte Hackergruppen ist. Die Fähigkeit von UAT-7237, bestehende Open-Source-Tools anzupassen und zu nutzen, zeigt, wie wichtig es ist, Sicherheitsmaßnahmen kontinuierlich zu aktualisieren und zu verbessern, um solchen Bedrohungen entgegenzuwirken.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!