Geheime Malware-Kampagne in Telekommunikationsnetzwerken aufgedeckt

SÜDOSTASIEN / LONDON (IT BOLTWISE) – Eine neue Bedrohung hat die Telekommunikationsbranche in Südostasien erschüttert. Ein staatlich unterstützter Akteur, bekannt als CL-STA-0969, hat über einen Zeitraum von zehn Monaten gezielt Netzwerke kompromittiert, um verdeckte Kontrolle zu erlangen.

In einer beunruhigenden Entwicklung hat der Bedrohungsakteur CL-STA-0969, der mit der chinesischen Gruppe Liminal Panda in Verbindung gebracht wird, Telekommunikationsnetzwerke in Südostasien ins Visier genommen. Die Angriffe, die zwischen Februar und November 2024 stattfanden, zielten auf kritische Infrastrukturen ab, um eine verdeckte Kontrolle zu ermöglichen. Trotz der ausgeklügelten Methoden fanden die Forscher von Palo Alto Networks Unit 42 keine Hinweise auf Datenexfiltration.

Die Angreifer nutzten eine Vielzahl von Werkzeugen, darunter Cordscan, um Standortdaten von mobilen Geräten zu sammeln. Bemerkenswert ist, dass keine Versuche unternommen wurden, mit den Zielgeräten zu kommunizieren oder sie zu verfolgen. Dies deutet darauf hin, dass die Angreifer ein hohes Maß an operationeller Sicherheit (OPSEC) aufrechterhielten und verschiedene Techniken zur Umgehung von Verteidigungsmaßnahmen einsetzten.

CL-STA-0969 zeigt erhebliche Überschneidungen mit Liminal Panda, einer Gruppe, die seit 2020 Telekommunikationsunternehmen in Süd- und Afrika angreift. Einige ihrer Methoden wurden zuvor der Gruppe LightBasin zugeschrieben, die seit 2016 im Telekommunikationssektor aktiv ist. Diese Gruppen teilen sich nicht nur Werkzeuge, sondern auch Techniken, was die Zuordnung erschwert.

Zu den eingesetzten Werkzeugen gehören AuthDoor, ein bösartiges Pluggable Authentication Module (PAM), das für den Diebstahl von Anmeldedaten verwendet wird, und GTPDOOR, eine Malware, die speziell für den Einsatz in Telekommunikationsnetzwerken entwickelt wurde. Diese Werkzeuge ermöglichen es den Angreifern, unbemerkt im Netzwerk zu operieren und ihre Spuren zu verwischen.

Die Angreifer nutzten auch Techniken wie DNS-Tunneling und das Löschen von Authentifizierungsprotokollen, um ihre Aktivitäten zu verschleiern. Diese Methoden zeigen ein tiefes Verständnis der Telekommunikationsprotokolle und -infrastruktur. Durch die Nutzung weniger überwachter Protokolle und das Umleiten von Datenverkehr durch andere Telekommunikationsknoten konnten sie eine dauerhafte und unauffällige Präsenz aufrechterhalten.

Während diese Angriffe die Sicherheitslage in der Region verschärfen, beschuldigt China gleichzeitig US-amerikanische Geheimdienste, ähnliche Taktiken gegen chinesische militärische und Forschungseinrichtungen anzuwenden. Diese wechselseitigen Vorwürfe unterstreichen die zunehmende Komplexität und das Ausmaß der Cyberkriegsführung zwischen den Nationen.

Die Enthüllungen werfen ein Schlaglicht auf die Notwendigkeit verstärkter Sicherheitsmaßnahmen in der Telekommunikationsbranche. Unternehmen müssen ihre Abwehrmechanismen kontinuierlich anpassen, um der sich entwickelnden Bedrohungslandschaft einen Schritt voraus zu sein. Die Angriffe von CL-STA-0969 verdeutlichen, wie wichtig es ist, sowohl technische als auch organisatorische Maßnahmen zu ergreifen, um die Netzwerksicherheit zu gewährleisten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!