Earth Kurma: Neue Bedrohung für Südostasien durch fortschrittliche Cyberangriffe

SÜDOSTASIEN / MÜNCHEN (IT BOLTWISE) – Eine neue Bedrohung in Form einer fortschrittlichen Cyberangriffskampagne hat die Regierung und Telekommunikationssektoren in Südostasien ins Visier genommen. Die Gruppe, bekannt als Earth Kurma, nutzt seit Juni 2024 hochentwickelte Techniken, um sensible Daten zu stehlen.

Die Cyberangriffe von Earth Kurma, die seit Juni 2024 auf die Regierung und Telekommunikationssektoren in Südostasien abzielen, stellen eine ernsthafte Bedrohung dar. Diese Angriffe nutzen maßgeschneiderte Malware, Rootkits und Cloud-Speicherdienste zur Datenexfiltration. Zu den Hauptzielen gehören die Philippinen, Vietnam, Thailand und Malaysia. Laut Sicherheitsexperten birgt diese Kampagne ein hohes Geschäftsrisiko aufgrund gezielter Spionage, Anmeldeinformationsdiebstahl und der Etablierung eines dauerhaften Zugriffs durch Kernel-Level-Rootkits.

Die Aktivitäten der Bedrohungsakteure reichen bis November 2020 zurück. Sie nutzen Dienste wie Dropbox und Microsoft OneDrive, um sensible Daten mit Tools wie TESDAT und SIMPOBOXSPY zu stehlen. Zwei weitere bemerkenswerte Malware-Familien in ihrem Arsenal sind Rootkits wie KRNRAT und Moriya. Letzteres wurde bereits in früheren Angriffen auf hochkarätige Organisationen in Asien und Afrika beobachtet.

Trend Micro hat festgestellt, dass SIMPOBOXSPY und das in den Angriffen verwendete Exfiltrationsskript Überschneidungen mit einer anderen APT-Gruppe namens ToddyCat aufweisen. Eine endgültige Zuordnung bleibt jedoch unklar. Derzeit ist nicht bekannt, wie die Bedrohungsakteure anfänglichen Zugriff auf die Zielumgebungen erlangen. Der anfängliche Zugriff wird dann genutzt, um mit verschiedenen Tools wie NBTSCAN, Ladon, FRPC, WMIHACKER und ICMPinger seitliche Bewegungen durchzuführen.

Bemerkenswert ist die Verwendung von Living-off-the-Land-Techniken zur Installation der Rootkits, bei denen Hacker legitime Systemtools und -funktionen nutzen, anstatt leicht erkennbare Malware einzuführen. Während Moriya darauf ausgelegt ist, eingehende TCP-Pakete auf bösartige Nutzlasten zu überprüfen und Shellcode in einen neu gestarteten “svchost.exe”-Prozess zu injizieren, ist KRNRAT eine Kombination aus fünf verschiedenen Open-Source-Projekten mit Fähigkeiten wie Prozessmanipulation und Dateiverbergung.

Bevor die Dateien exfiltriert werden, sammelt der Loader TESDAT spezifische Dokumentdateien mit den folgenden Erweiterungen: .pdf, .doc, .docx, .xls, .xlsx, .ppt und .pptx. Die Dokumente werden zuerst in einen neu erstellten Ordner namens “tmp” verschoben, der dann mit einem bestimmten Passwort mit WinRAR archiviert wird. Eines der maßgeschneiderten Tools zur Datenexfiltration ist SIMPOBOXSPY, das das RAR-Archiv mit einem bestimmten Zugriffstoken auf Dropbox hochladen kann.

Earth Kurma bleibt hochaktiv und setzt seine Angriffe auf Länder in Südostasien fort. Die Gruppe ist in der Lage, sich an die Umgebungen der Opfer anzupassen und eine unauffällige Präsenz aufrechtzuerhalten. Sie können auch denselben Code aus zuvor identifizierten Kampagnen wiederverwenden, um ihre Werkzeugsätze anzupassen, manchmal sogar die Infrastruktur des Opfers zu nutzen, um ihre Ziele zu erreichen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!