Gleiche Angriffsziele, neue Playbooks: Ostasiatische Bedrohungsakteure nutzen neuartige Methoden

Gingham Typhoon hat es auf Regierungs-, IT- und multinationale Entitäten auf den Inseln im Südpazifik abgesehen

Im Sommer 2023 hat Microsoft Threat Intelligence umfangreiche Aktivitäten der in China beheimateten Spionagegruppe Gingham Typhoon beobachtet, die fast jedes Land auf den Inseln im Südpazifik ins Visier genommen hat. Gingham Typhoon ist der aktivste Akteur in dieser Region und trifft mit komplexen Phishing-Kampagnen internationale Organisationen, Regierungsstellen und den IT-Sektor. Zu den Opfer gehören lautstarke Kritiker der chinesischen Regierung.

Diplomatische Verbündete von China, die zu Opfern der letzten Gingham Typhoon-Aktivitäten wurden, sind Regierungsbehörden, handelsbezogene Abteilungen, Internetdienstanbieter sowie eine Transportentität.

Diese offensiven Cyberaktivitäten könnten durch den verstärkten geopolitischen und diplomatischen Wettbewerb in der Region angestoßen worden sein. China strebt mit Staaten auf den Inseln im Südpazifik strategische Partnerschaften an, um wirtschaftliche Beziehungen auszubauen und diplomatische sowie Sicherheitsvereinbarungen auszuhandeln. Von der chinesischen Cyberspionage in dieser Region sind auch Wirtschaftspartner betroffen.

Chinesische Akteure haben beispielsweise im großen Maßstab multinationale Organisationen in Papua-Neuguinea ins Visier genommen, einem langjährigen diplomatischen Partner, der von zahlreichen BRI-Projekten (Belt and Road Initiative, „Neue Seidenstraße“) profitiert, wie etwa vom Bau einer Schnellstraße, die die Regierungsgebäude von Papua-Neuguinea mit den Hauptstraßen der Hauptstadt verbindet.¹

Inmitten von Militärmanövern des Westens bleibt das Südchinesische Meer im Fokus chinesischer Bedrohungsakteure

Bedrohungsakteure in China zielen weiterhin auf Entitäten im Südchinesischen Meer und dessen Umgebung, die mit wirtschaftlichen und militärischen Interessen von China in Zusammenhang stehen. Bei dieser Gelegenheit haben diese Akteure Regierungs- und Telekommunikationsopfer im Verband Südostasiatischer Nationen (ASEAN) kompromittiert. Chinesische staatsnahe Cyberakteure zeigen eine besonderes Interesse an Zielen, die mit den zahlreichen Militärmanövern der USA in der Region in Beziehung stehen. Im Juni 2023 hat Raspberry Typhoon, eine nationalstaatliche Aktivitätsgruppe mit Sitz in China, Wochen vor einem seltenen multilateralen Seemanöver mit Indonesien, China und den USA erfolgreich Militär- und Führungsentitäten in Indonesien und ein malaysischen Seefahrtssystem angegriffen.

Entitäten, die mit einem Seemanöver der USA und der Philippinen in Zusammenhang stehen, waren Ziel eines anderen chinesischen Cyberakteurs, Flax Typhoon. Granite Typhoon, ein weiterer Bedrohungsakteur mit Sitz in China, hat in diesem Zeitraum vor allem Telekommunikationsunternehmen in der Region kompromittiert. Zu den Opfern zählen Unternehmen in Indonesien, Malaysia, den Philippinen, Kambodscha und Taiwan.

Seit der Veröffentlichung des Microsoft-Blogbeitrags zu Flax Typhoon hat Microsoft im Herbst und Winter 2023 neue Flax Typhoon-Ziele in den Philippinen, in Hongkong, Indien und den USA festgestellt.² Dieser Akteur greift zudem häufig den Telekommunikationssektor an, was oft zu vielen nachgelagerten Effekten führt.

Nordkoreanische Cyberbedrohungsakteure haben im Jahr 2023 enorme Summen in Kryptowährung gestohlen, Angriffe auf die Softwarelieferkette durchgeführt und vermeintliche Feinde der nationalen Sicherheit angegriffen. Durch ihre Operationen wurden Einnahmen für die nordkoreanische Regierung generiert, insbesondere für das Waffenprogramm, und es wurden Daten über die USA, Südkorea und Japan gesammelt.¹⁶

Nordkoreanische Cyberakteure erbeuten Kryptowährung in Rekordhöhe, um Einnahmen für den Staat zu generieren

Schätzungen der Vereinten Nationen zufolge haben nordkoreanische Cyberakteure seit 2017 Kryptowährungen im Wert von mehr als drei Milliarden US-Dollar gestohlen.¹⁷ Allein im Jahr 2023 erbeuteten sie zwischen 600 Millionen und 1 Milliarde USD. Berichten zufolge finanzieren diese gestohlenen Gelder über die Hälfte des Nuklear- und Waffenprogramms des Landes. Trotz Sanktionen kann Nordkorea dadurch weiterhin Waffen entwickeln und testen.¹⁸ Im letzten Jahr hat Nordkorea zahlreiche Waffentests und Militärübungen durchgeführt. Am 21. November 2023 wurde sogar ein militärischer Aufklärungssatellit in den Weltraum geschickt.¹⁹

Drei von Microsoft beobachtete Bedrohungsakteure – Jade Sleet, Sapphire Sleet und Citrine Sleet – haben sich seit Juni 2023 am stärksten auf Kryptowährungsziele konzentriert. Jade Sleet hat in großen Raubüberfällen Kryptowährung erbeutet, während Sapphire Sleet kleinere, aber häufigere Diebstähle von Kryptowährung durchgeführt hat. Microsoft hat den Diebstahl von mindestens 35 Millionen USD von einer Krypto-Firma in Estland Anfang Juni 2023 Jade Sleet zugeschrieben. Microsoft hat auch den Raub von mehr als 125 Millionen USD von einer Krypto-Plattform in Singapur einen Monat später Jade Sleet zugeordnet. Im August 2023 hat Jade Sleet damit begonnen, Krypto-Casinos zu kompromittieren.

Sapphire Sleet hat immer wieder zahlreiche Mitarbeitende kompromittiert, darunter Führungskräfte und Fachkräfte in der Entwicklung in Krypto-, Venture-Capital- und anderen Finanzorganisationen. Darüber hinaus hat Sapphire Sleet neue Techniken entwickelt. Dazu zählen das Senden von Einladungen zu virtuellen Fake-Besprechungen mit Links zu einer Angreiferdomäne und die Registrierung von Fake-Websites zur Jobvermittlung. Citrine Sleet hat den 3CX-Lieferkettenangriff vom März 2023 fortgesetzt, indem eine nachgelagerte Firma für Kryptowährungen und digitale Vermögenswerte mit Sitz in der Türkei kompromittiert wurde. Das Opfer hat eine gefährdete Version der 3CX-Anwendung gehostet, die mit der Lieferkettenkompromittierung verknüpft ist.

Nordkoreanische Cyberakteure bedrohen den IT-Sektor mit Spear-Phishing-Kampagnen und Angriffen auf die Softwarelieferkette

Nordkoreanische Bedrohungsakteure haben Angriffe auf die Softwarelieferkette von IT-Firmen durchgeführt und so Zugriff auf deren nachgelagerte Kunden erlangt. Jade Sleet hat in einer Social-Engineering-Spear-Phishing-Kampagne GitHub-Repositorys und npm-Pakete als Waffen verwendet, um Mitarbeitende in Krypto- und Technologieorganisationen anzugreifen.²⁰ Die Angreifenden gaben sich als Fachkräfte in der Entwicklung oder der Personalvermittlung aus und luden die Zielpersonen zur Zusammenarbeit an einem GitHub-Repository ein. Dabei wurden sie davon überzeugt, Inhalte zu klonen und auszuführen, die die schädlichen npm-Pakete enthielten. Diamond Sleet hat im August 2023 die Lieferkette eines IT-Unternehmens mit Sitz in Deutschland kompromittiert und eine Anwendung einer IT-Firma aus Taiwan als Waffe verwendet, um im November 2023 einen Lieferkettenangriff durchzuführen. Diamond Sleet und Onyx Sleet haben beide im Oktober 2023 das Sicherheitsrisiko „TeamCity CVE-2023- 42793“ missbraucht. Damit konnten Angreifende einen Angriff mit Remotecodeausführung durchführen und die administrative Steuerung des Servers erlangen. Diamond Sleet nutzte diese Technik, um Hunderte von Opfern in unterschiedlichen Branchen in den USA und europäischen Ländern, einschließlich Vereinigtes Königreich, Dänemark, Irland und Deutschland, zu kompromittieren. Onyx Sleet hat dasselbe Sicherheitsrisiko missbraucht, um mindestens 10 Opfer zu kompromittieren, darunter ein Softwareanbieter in Australien und eine Regierungsbehörde in Norwegen. Anschließend wurden weitere Payloads ausgeführt.

Ziele der nordkoreanischen Cyberakteure waren die USA, Südkorea und deren Verbündete

Bedrohungsakteure aus Nordkorea zielten weiterhin auf vermeintliche Feinde für die nationale Sicherheit ab. Diese Cyberaktivität veranschaulichte das geopolitische Ziel von Nordkorea, der trilateralen Allianz zwischen den USA, Südkorea und Japan entgegenzuwirken. Beim Camp-David-Gipfel im August 2023 festigten die Staats- und Regierungschefs der drei Länder diese Partnerschaft. Ruby Sleet und Onyx Sleet setzten ihre Angriffe auf Luftfahrt- und Verteidigungsorganisationen in den Vereinigten Staaten und Südkorea fort. Emerald Sleet setzte die Aufklärungs- und Spear-Phishing-Kampagne gegen Diplomaten und Fachleute in den Bereichen Regierung, Think Tanks/NGOs, Medien und Bildung auf der koreanischen Halbinsel fort. Pearl Sleet hat im Juni 2023 Operationen gegen südkoreanische Entitäten fortgesetzt, die mit nordkoreanischen Überläufern und Aktivisten in Verbindung stehen, die sich schwerpunktmäßig mit der Menschenrechtslage in Nordkorea befassen. Microsoft vermutet, dass es bei diesen Aktivitäten um Datensammlung geht.

Nordkoreanische Akteure implementieren Hintertüren in legitimer Software

Nordkoreanische Bedrohungsakteure nutzten zudem Hintertüren in legitimer Software und profitierten so von Sicherheitsrisiken in vorhandener Software. Im ersten Halbjahr 2023 setzte Diamond Sleet häufig VNC-Schadsoftware als Angriffswerkzeug ein, um Opfer zu kompromittieren. Im Juli 2023 hat Diamond Sleet erneut PDF-Reader-Schadsoftware als Waffe eingesetzt. Diese Technik wurde von Microsoft Threat Intelligence in einem Blogbeitrag im September 2022 analysiert.²¹ Wahrscheinlich hat Ruby Sleet zudem im Dezember 2023 ein Hintertür-Installationsprogramm eines südkoreanischen Programms für elektronische Dokumente eingesetzt.

Nordkorea setzt KI-Tools für böswillige Cyberaktivitäten ein

Nordkoreanische Bedrohungsakteure passen sich an das KI-Zeitalter an. Sie erlernen den Einsatz von Tools, die auf KI und großen Sprachmodellen (Large Language Models, LLMs) basieren, um ihre Operationen effizienter und effektiver zu gestalten. So haben Microsoft und OpenAI beispielsweise festgestellt, dass Emerald Sleet LLMs nutzt, um Spear-Phishing-Kampagnen gegen Experten der koreanischen Halbinsel auszuweiten.²² Emerald Sleet hat mithilfe von LLMs nach Sicherheitslücken gesucht und Aufklärungsarbeit zu Organisationen und Fachleuten geleistet, deren Schwerpunkt Nordkorea ist. Emerald Sleet nutzte LLMs auch für die Behandlung technischer Probleme, für einfache Skriptaufgaben und für den Entwurf der Inhalte von Spear-Phishing-Nachrichten. Microsoft hat gemeinsam mit OpenAI Konten und Ressourcen deaktiviert, die mit Emerald Sleet in Verbindung stehen.