MirrorFace: Neue Bedrohung durch ROAMINGMOUSE und ANEL in Japan und Taiwan

TOKIO / TAIPEH / MÜNCHEN (IT BOLTWISE) – In einer zunehmend vernetzten Welt, in der Cyberangriffe immer raffinierter werden, hat die Bedrohung durch staatlich unterstützte Hackergruppen eine neue Dimension erreicht. Die jüngsten Aktivitäten der Gruppe MirrorFace, die mit der berüchtigten APT10 in Verbindung gebracht wird, zeigen, wie gezielte Cyberangriffe auf Regierungseinrichtungen und öffentliche Institutionen in Japan und Taiwan ausgeweitet werden.

Die Hackergruppe MirrorFace, die auch unter dem Namen Earth Kasha bekannt ist, hat in den letzten Monaten verstärkt Angriffe auf japanische und taiwanesische Institutionen durchgeführt. Diese Angriffe sind Teil einer umfassenden Cyber-Spionage-Kampagne, die darauf abzielt, sensible Informationen zu stehlen und die strategischen Ziele der Gruppe zu fördern. Laut Berichten von Trend Micro wurden diese Aktivitäten im März 2025 entdeckt und beinhalten den Einsatz von Malware, die als ROAMINGMOUSE bekannt ist.

Die Angriffe beginnen typischerweise mit Spear-Phishing-E-Mails, die von kompromittierten, aber legitimen Konten gesendet werden. Diese E-Mails enthalten Links zu Microsoft OneDrive, die beim Anklicken eine ZIP-Datei herunterladen. Diese ZIP-Datei enthält ein mit Malware infiziertes Excel-Dokument und einen Makro-aktivierten Dropper namens ROAMINGMOUSE, der als Kanal zur Verteilung von Komponenten der ANEL-Malware dient.

Die ANEL-Malware, auch bekannt als UPPERCUT, wurde in der aktuellen Kampagne mit neuen Funktionen ausgestattet, die die Ausführung von Beacon Object Files (BOFs) im Speicher unterstützen. Diese BOFs sind kompakte C-Programme, die den Cobalt Strike-Agenten mit neuen Post-Exploitation-Funktionen erweitern. Nach der Installation der ANEL-Datei nutzen die Angreifer die Malware, um Screenshots zu machen und die Umgebung des Opfers zu untersuchen.

Besonders bemerkenswert ist, dass einige Angriffe auch das Open-Source-Tool SharpHide nutzen, um eine neue Version der NOOPDOOR-Backdoor zu starten. Diese Backdoor, auch als HiddenFace bekannt, verwendet DNS-over-HTTPS (DoH), um ihre IP-Adressen-Abfragen während der Command-and-Control-Operationen zu verschleiern. Diese Techniken zeigen die fortschrittlichen Fähigkeiten der Gruppe und ihre Fähigkeit, sich an neue Sicherheitsmaßnahmen anzupassen.

Die Bedrohung durch MirrorFace und ähnliche Gruppen unterstreicht die Notwendigkeit für Unternehmen und Organisationen, insbesondere solche mit wertvollen Vermögenswerten wie sensiblen Daten und Zugangsdaten, wachsam zu bleiben und proaktive Sicherheitsmaßnahmen zu ergreifen. Die zunehmende Komplexität und Raffinesse dieser Angriffe erfordert eine kontinuierliche Anpassung der Sicherheitsstrategien, um potenzielle Schwachstellen zu schließen und den Schutz vor Cyberangriffen zu gewährleisten.

Insgesamt zeigt die aktuelle Kampagne von MirrorFace, dass Cyberangriffe auf staatlicher Ebene eine ernsthafte Bedrohung für die nationale Sicherheit und die Stabilität von Institutionen darstellen. Die Zusammenarbeit zwischen internationalen Sicherheitsbehörden und privaten Unternehmen ist entscheidend, um diesen Bedrohungen effektiv zu begegnen und die Integrität sensibler Informationen zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!