Türkische Hacker nutzen Zero-Day-Schwachstelle für Golang-Backdoors

MÜNCHEN (IT BOLTWISE) – Eine türkische Hackergruppe hat eine Zero-Day-Schwachstelle in der indischen Kommunikationsplattform Output Messenger ausgenutzt, um Golang-Backdoors auf kurdischen Servern zu installieren. Diese Cyberangriffe, die seit April 2024 andauern, zielen auf die kurdische Militärpräsenz im Irak ab und zeigen eine bemerkenswerte technische Raffinesse der Angreifer.

Eine türkische Hackergruppe, bekannt als Marbled Dust, hat eine Zero-Day-Schwachstelle in der indischen Kommunikationsplattform Output Messenger ausgenutzt, um Golang-Backdoors auf Servern zu installieren, die mit der kurdischen Militärpräsenz im Irak verbunden sind. Diese Angriffe, die seit April 2024 andauern, zeigen eine bemerkenswerte technische Raffinesse der Angreifer und verdeutlichen die anhaltende Bedrohung durch Cyberangriffe in geopolitisch sensiblen Regionen.

Die Schwachstelle, die als CVE-2025-27920 identifiziert wurde, betrifft eine Directory-Traversal-Schwachstelle in der Version 2.0.62 von Output Messenger. Diese ermöglicht es Angreifern, aus der Ferne auf beliebige Dateien zuzugreifen oder diese auszuführen. Obwohl der Entwickler Srimax das Problem im Dezember 2024 mit der Version 2.0.63 behoben hat, wurde die Schwachstelle bereits von der Hackergruppe ausgenutzt, um sensible Daten zu exfiltrieren.

Marbled Dust, auch bekannt unter Namen wie Cosmic Wolf und Sea Turtle, hat sich auf die Nutzung von DNS-Hijacking und typosquattierten Domains spezialisiert, um Zugangsdaten abzufangen. Diese Techniken ermöglichen es den Angreifern, sich als authentifizierte Benutzer auszugeben und die Schwachstelle auszunutzen, um schädliche Payloads wie ‘OM.vbs’ und ‘OMServerService.exe’ auf den Zielservern zu platzieren.

Die Golang-Backdoors, die von den Angreifern eingesetzt werden, kommunizieren mit einem fest kodierten Command-and-Control-Server, um Daten zu exfiltrieren. Diese Backdoors führen eine Reihe von Befehlen aus, die es den Angreifern ermöglichen, die Kontrolle über die kompromittierten Systeme zu übernehmen und sensible Informationen zu stehlen.

Microsoft hat die Aktivitäten von Marbled Dust mit moderater Zuversicht analysiert und festgestellt, dass die Gruppe vor den Angriffen gezielte Aufklärungsmaßnahmen durchgeführt hat, um sicherzustellen, dass ihre Ziele tatsächlich Output Messenger verwenden. Diese gezielte Vorgehensweise zeigt die strategische Planung und die technischen Fähigkeiten der Hackergruppe.

Die Entdeckung einer weiteren Schwachstelle, einer reflektierten Cross-Site-Scripting-Schwachstelle (CVE-2025-27921), in derselben Version von Output Messenger, unterstreicht die Notwendigkeit, Sicherheitslücken in Unternehmenssoftware schnell zu beheben. Obwohl es keine Hinweise darauf gibt, dass diese Schwachstelle in realen Angriffen ausgenutzt wurde, bleibt das Risiko bestehen.

Die Angriffe von Marbled Dust verdeutlichen die zunehmende Bedrohung durch Cyberangriffe auf kritische Infrastrukturen und militärische Ziele. Die erfolgreiche Nutzung einer Zero-Day-Schwachstelle zeigt nicht nur die technische Raffinesse der Angreifer, sondern auch die Dringlichkeit, mit der sie ihre operativen Ziele verfolgen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!