Check Point deckt globales Cyberspionage-Ökosystem mit China-Verbindungen auf

Drei Cyberspionage-Cluster, Angriffe in 21 Ländern und gemeinsam genutzte Malware: Eine Untersuchung von Check Point Research zeigt, wie ein mögliches Netzwerk spezialisierter Akteure die digitale Spionage gegen Regierungen, Telekommunikationsunternehmen und kritische Infrastrukturen organisiert.

Cyberspionage wird zunehmend arbeitsteiliger, internationaler und technisch komplexer. Statt isolierter Hackergruppen könnten spezialisierte Akteure im Hintergrund Malware, Angriffswerkzeuge und Infrastruktur für unterschiedliche Spionageoperationen bereitstellen. Eine einjährige Untersuchung von Check Point Research (CPR) liefert nun Hinweise auf ein solches Ökosystem mit Verbindungen nach China, das unter dem Namen CopperDragon Aktivitäten in 21 Ländern auf drei Kontinenten miteinander verknüpft.

Im Mittelpunkt der Untersuchung stehen drei Cyberspionage-Cluster , die gezielt Organisationen aus den Bereichen Telekommunikation, Regierung, Militär, Forschung und kritische Infrastruktur in Lateinamerika, Asien und Europa angreifen.

Einzelne Bestandteile dieser Aktivitäten waren bereits zuvor bekannt. Erst die systematische Auswertung gemeinsamer Malware-Familien, technischer Werkzeuge und Infrastruktur offenbarte jedoch Verbindungen zwischen bislang weitgehend getrennt betrachteten Operationen.

Die Sicherheitsforscher vermuten hinter CopperDragon eine übergeordnete Struktur, die als eine Art digitaler Quartiermeister fungieren könnte. Demnach würde CopperDragon nicht zwangsläufig selbst sämtliche Angriffe durchführen, sondern vielmehr die technischen Voraussetzungen für verschiedene hochentwickelte, mit China verbundene Bedrohungsakteure schaffen.

Die Untersuchung erweitert zugleich das bekannte geografische Ausmaß der Spionageaktivitäten. Besonders auffällig sind bislang nicht dokumentierte Operationen in Asien mit Schwerpunkt Indien. Darüber hinaus identifizierten die Forscher neue Malware für Windows- und Linux-Systeme, darunter SquadC, AnnobinDoor und SparrowShell.

Drei Cyberspionage-Cluster mit gemeinsamer technischer Basis

Die Erkenntnisse von Check Point Research lassen sich drei operativen Clustern zuordnen: SilentDelivery, OceanGate und DarkWire.

Obwohl sich deren geografische Schwerpunkte, Zielorganisationen und Angriffsmethoden unterscheiden, bestehen auffällige technische Gemeinsamkeiten. Insbesondere die wiederkehrende Nutzung bestimmter Malware-Komponenten und Infrastrukturen deutet auf eine gemeinsame Versorgungsstruktur hin. Für die Zuordnung von Cyberangriffen hat diese Erkenntnis erhebliche Konsequenzen. Denn wenn mehrere Gruppen auf dieselben Werkzeuge zurückgreifen, lässt sich aus dem Einsatz identischer Malware nicht mehr automatisch auf denselben Angreifer schließen.

SilentDelivery: Gefälschte Chrome-Warnungen als Einfallstor

Der Cluster SilentDelivery konzentriert sich vor allem auf Europa und Asien. Zu den betroffenen Ländern gehören Deutschland, Frankreich und Tschechien.

Die Angreifer kompromittieren zunächst legitime Websites von Behörden sowie Organisationen aus Schifffahrt, IT und Forschung. Anschließend werden gezielt ausgewählten Besuchern manipulierte Sicherheitshinweise angezeigt. Diese täuschen eine Chrome-Zertifikatswarnung vor und fordern die Betroffenen auf, ein vermeintlich notwendiges Sicherheitsupdate zu installieren.

Tatsächlich handelt es sich bei diesem angeblichen Patch um Schadsoftware, über die Backdoors wie SquadC oder SparrowDoor auf den betroffenen Systemen eingerichtet werden.

Die Angriffsmethode kombiniert kompromittierte, grundsätzlich vertrauenswürdige Websites mit Social Engineering. Besonders gefährlich ist dabei, dass die Opfer nicht auf offensichtlich betrügerische Internetseiten gelockt werden müssen. Stattdessen begegnet ihnen die Manipulation während des Besuchs einer legitimen Website.

OceanGate: Linux-Systeme als Ausgangspunkt für Angriffe auf Windows-Netzwerke

Mit OceanGate dokumentieren die Sicherheitsforscher bislang unbekannte Spionageaktivitäten in Asien, insbesondere in Indien. Die Angreifer konzentrieren sich zunächst auf unzureichend geschützte Linux-Systeme. Nach einer erfolgreichen Kompromittierung versuchen sie, Zugangsdaten zu erbeuten und ihren Zugriff auf weitere Systeme innerhalb der betroffenen Organisation auszuweiten.

Dabei wechseln sie von Linux-Umgebungen in Windows-Netzwerke und nutzen die gewonnenen Berechtigungen für weitere Angriffsbewegungen. Die Untersuchung liefert damit neue Erkenntnisse darüber, wie mit Sparrow in Verbindung stehende Akteure unterschiedliche Betriebssystemplattformen innerhalb einer zusammenhängenden Angriffskampagne nutzen.

Für Unternehmen ist diese Vorgehensweise besonders relevant, weil Sicherheitsüberwachung und Incident Response häufig noch stark nach Plattformen getrennt organisiert sind. Angreifer können solche Sichtbarkeitslücken ausnutzen, um sich zwischen Linux- und Windows-Systemen zu bewegen.

DarkWire: Telekommunikations- und Regierungsnetze in Lateinamerika im Visier

DarkWire richtet sich insbesondere gegen Telekommunikationsunternehmen und staatliche Einrichtungen in Lateinamerika.

Die Angreifer setzen dabei unter anderem neu identifizierte Malware wie CopperDoor und CopperDNS ein. Ergänzend kommen Werkzeuge zum Diebstahl von Anmeldedaten, zur Aufklärung interner Netzwerkstrukturen und zur lateralen Bewegung innerhalb kompromittierter Umgebungen zum Einsatz.

Auffällig ist die strategische Bedeutung der ausgewählten Ziele. Telekommunikationsnetze und Regierungsinfrastrukturen verfügen über Informationen, die weit über gewöhnliche Unternehmensdaten hinausgehen.

Check Point Research weist allerdings darauf hin, dass sich aus den technischen Erkenntnissen keine unmittelbare Verbindung einzelner Angriffe zu konkreten geopolitischen Ereignissen ableiten lässt.

Dennoch finden die Aktivitäten vor dem Hintergrund eines zunehmenden wirtschaftlichen und strategischen Wettbewerbs zwischen China, den USA und verschiedenen lateinamerikanischen Staaten statt.

Warum Telekommunikationsnetze besonders wertvolle Spionageziele sind

Die gezielte Kompromittierung von Telekommunikationsinfrastrukturen unterscheidet sich hinsichtlich ihrer potenziellen Auswirkungen erheblich von gewöhnlichen Angriffen auf Unternehmensnetzwerke.

Je nachdem, welche Systeme Angreifer erreichen, können sie nicht nur interne Daten eines Telekommunikationsanbieters ausspähen, sondern möglicherweise auch Informationen über dessen Kunden und deren Kommunikationsverhalten gewinnen. Dazu gehören beispielsweise Verbindungsdaten, Kommunikationszeitpunkte, Gesprächsdauer, Standortinformationen und unter Umständen auch SMS-Inhalte.

Besonders kritisch wird ein solcher Zugriff, wenn Angreifer Systeme erreichen, die für gesetzlich angeordnete Überwachungsmaßnahmen eingesetzt werden. Dadurch könnten Informationen darüber offengelegt werden, welche Personen oder Kommunikationsverbindungen im Fokus staatlicher Ermittlungs- und Sicherheitsbehörden stehen. Die Folgen einer solchen Kompromittierung reichen deshalb möglicherweise weit über einzelne Unternehmen hinaus.

Ein erfolgreicher Angriff kann Auswirkungen auf nationale Sicherheitsinteressen, den Schutz vertraulicher Kommunikation und die Privatsphäre zahlreicher Menschen haben.

Check Point: Sicherheitsstrategien müssen über einzelne Malware-Familien hinausgehen

Für Sergey Shykevich, Director Threat Intelligence bei Check Point Software, zeigt die Untersuchung, dass moderne Cyberspionage nicht mehr ausschließlich anhand einzelner Angreifergruppen betrachtet werden sollte.

„CopperDragon vermittelt uns einen umfassenderen Einblick in die mögliche Organisation moderner Cyberspionage, bei der gemeinsam genutzte Malware und Infrastruktur potenziell verschiedene Operationen über Länder, Plattformen und Sektoren hinweg unterstützen.“

Besonders kritisch bewertet Shykevich den Fokus auf Telekommunikationsunternehmen und staatliche Netzwerke.

Eine erfolgreiche Kompromittierung könne weitreichende Informationen über Kommunikationsbeziehungen, Standorte und sensible Regierungsaktivitäten offenlegen.

Daraus ergeben sich neue Anforderungen an die Sicherheitsarchitektur betroffener Organisationen.

Security-Teams sollten sich nicht ausschließlich auf die Erkennung einzelner Malware-Familien konzentrieren. Entscheidend sei vielmehr, verdächtige Zusammenhänge zwischen Endpunkten, Netzwerkaktivitäten und unterschiedlichen Betriebssystemumgebungen sichtbar zu machen.

Shykevich empfiehlt dazu einen präventionsorientierten Sicherheitsansatz, der aktuelle Threat Intelligence, den schnellen Schutz gefährdeter Infrastrukturen und konsequente Kontrollen gegen den Diebstahl von Zugangsdaten kombiniert. Ebenso wichtig sei die frühzeitige Erkennung lateraler Bewegungen innerhalb kompromittierter Netzwerke.

Ziel müsse es sein, Spionageoperationen zu unterbrechen, bevor Angreifer einen dauerhaften Zugang zu kritischen Systemen etablieren können.

CopperDragon verändert den Blick auf die Zuordnung von Cyberangriffen

Eine zentrale Erkenntnis der Untersuchung betrifft die Attribution, also die technische und nachrichtendienstliche Zuordnung von Cyberangriffen zu bestimmten Akteuren.

Bislang werden Malware-Familien, charakteristische Angriffstechniken und wiederkehrende Infrastrukturmerkmale häufig herangezogen, um unterschiedliche Sicherheitsvorfälle bestimmten Bedrohungsgruppen zuzuordnen. Das von Check Point Research beschriebene CopperDragon-Ökosystem zeigt jedoch die Grenzen dieser Vorgehensweise.

Wenn mehrere Akteure identische Werkzeuge oder gemeinsame Infrastruktur nutzen, können technisch ähnliche Angriffe von unterschiedlichen operativen Gruppen ausgehen. CopperDragon könnte somit auf ein arbeitsteiliges Modell hindeuten, bei dem spezialisierte Entwickler oder Betreiber Malware und Infrastruktur bereitstellen, während andere Akteure die eigentlichen Spionageoperationen durchführen.

Das erschwert nicht nur die Zuordnung einzelner Kampagnen, sondern auch die Bewertung der dahinterstehenden Organisationsstrukturen. Für Threat-Intelligence-Teams bedeutet dies, dass technische Indikatoren stärker im Zusammenhang mit Angriffsmustern, Zielauswahl, zeitlichen Abläufen und übergreifenden Infrastrukturbeziehungen ausgewertet werden müssen.

Fazit: Cyberspionage entwickelt sich zum arbeitsteiligen Ökosystem

Die Untersuchung von Check Point Research zeichnet ein Bild moderner Cyberspionage, bei dem die Grenzen zwischen einzelnen Bedrohungsakteuren zunehmend verschwimmen. Besonders Lateinamerika steht durch die Aktivitäten von DarkWire im Fokus. Gleichzeitig zeigen jüngere Angriffe, dass sich die Operationen über bisher bekannte geografische Schwerpunkte hinaus ausweiten.

Ob einzelne Kampagnen unmittelbar mit bestimmten geopolitischen Entwicklungen zusammenhängen, lässt sich anhand der vorliegenden technischen Erkenntnisse nicht belegen. Die strategische Bedeutung staatlicher Einrichtungen und internationaler Telekommunikationsnetze als Spionageziele ist jedoch offensichtlich.

Statt isolierter Hackergruppen könnten zunehmend spezialisierte Strukturen entstehen, die Malware, Infrastruktur und weitere Angriffswerkzeuge für unterschiedliche Operationen bereitstellen.

Für Unternehmen, Behörden und Betreiber kritischer Infrastrukturen verschiebt sich damit der Fokus der Cyberabwehr: Nicht allein die Identifizierung einzelner Schadprogramme ist entscheidend, sondern die Fähigkeit, zusammenhängende Angriffsmuster über verschiedene Systeme, Netzwerke und Regionen hinweg zu erkennen.

Die Untersuchung macht deutlich, wie wichtig integrierte Sicherheitsüberwachung, plattformübergreifende Threat Intelligence und eine konsequente Absicherung kritischer Zugangspunkte für die Abwehr langfristig angelegter Spionagekampagnen sind.