Chinesische Hackergruppe APT41 missbraucht Google Command and Control (GC2)-Tool für Angriffe
von Tina Siering
Bildquelle: Google
Google-Experten warnen davor, dass die staatlich geförderte chinesische Hackergruppe APT41 das Google Command and Control (GC2)-Tool missbraucht. Bekannt sind Angriffe auf taiwanesische Medienunternehmen und ein nicht genanntes italienisches Rekrutierungsunternehmen.
Google Command and Control ist ein in der Programmiersprache Go geschriebenes Open-Source-Programm, das zur Simulation von Angriffen entwickelt wurde und im Red Teaming zum Einsatz kommt.
APT 41 (auch bekannt als HOODOO) ist eine vom chinesischen Staat gesponserte Hackergruppe, die bekannt dafür ist, eine Vielzahl von Branchen in den USA, Asien und Europa anzugreifen. In der Vergangenheit wurde festgestellt, dass sich ihre Aktivitäten mit denen anderer bekannter chinesischer Hackergruppen wie BARIUM und Winnti überschneiden.
GC2 für Red-Team Operationen entwickelt
Google Command and Control wurde entwickelt, um während einer Red-Team-Operation eine Verwaltung und Kontrolle zu ermöglichen, die keine spezifische Konfiguration (z. B. benutzerdefinierte Domain, VPS, CDN usw.) erfordert. Das Programm interagiert ausschließlich mit Google-Domains (*.google.com), um eine Enttarnung zu erschweren.
GC2 sollte nur von legitimen Sicherheitsexperten und Red Teams verwendet werden, mit dem Ziel der Identifizierung und Behebung von Schwachstellen in Systemen.
Arbeitsweise: GC2 wird als Agent auf kompromittierten Geräten installiert. Er ermöglicht es einem Angreifer, Befehle über Google Sheet auf dem Zielcomputer auszuführen und zusätzliche Nutzdaten von Google Drive zu installieren, herunterzuladen oder gestohlene Daten in den Cloud-Speicherdienst zu exfiltrieren.
Quelle: Google
GC2 für Angriffe missbraucht – und vereitelt
Laut Googles Threat Horizons Report (April 2023) vereitelte die TAG einen APT41-Phishing-Angriff auf ein taiwanesisches Medienunternehmen, bei dem versucht wurde, den GC2-Agenten über Phishing-E-Mails zu verbreiten, die Links zu einer passwortgeschützten Datei auf Drive enthielten.
GC2 wurde auch bei Angriffen auf eine italienische Rekrutierungswebsite im Juli 2022 eingesetzt.
Obwohl nicht bekannt ist, welche Malware bei diesen Angriffen verbreitet wurde, ist die Gruppe APT41 dafür bekannt, eine Vielzahl von Malware auf kompromittierten Systemen zu installieren, darunter Rootkits, Bootkits, Winnti-Malware, Backdoors, Cobalt Strike oder Point-of-Sale-Malware, kurzum Tools, die häufig von chinesischen Hackergruppen verwendet werden.
Umstieg auf legitime Tools
Die Verwendung von GC2 durch APT41 ist ein weiterer Indikator für den Trend, dass Hackergruppen bei ihren Angriffen auf legitime, frei verfügbare und quelloffene Tools und Remote Monitoring and Management (RMM)-Plattformen zurückgreifen, um die Zuordnung von Angriffen zu erschweren.
Ein Grund dafür ist, dass Cobalt Strike in Angriffsmustern immer leichter zu erkennen ist.
Fazit
Unternehmen und Organisationen sollten daher wachsam bleiben und für die nötige Awareness und gezieltes Monitoring Ihrer Umgebung sorgen. Testen Sie Ihre Detektionsstrategien und Response-Prozesse.
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Damit Ihre Geschäftsprozesse reibungslos ablaufen können, müssen Ihre digitalen Unternehmensdaten jederzeit verfügbar sein. Schnell kann es jedoch passieren, dass Ihre Daten in die Hände von Hackern gelangen oder von Mitarbeitern versehentlich gelöscht werden. Damit Sie in solchen Fällen keine langen Ausfallzeiten und Umsatzverluste fürchten müssen, sollten Sie jederzeit eine lückenlose Sicherungskopie in der Hinterhand haben, mit der Sie Ihren Datenbestand schnell wiederherstellen können. Wir verraten Ihnen, mit welchen Backup-Methoden und Speichermedien Sie für den Ernstfall gerüstet sind.
Weiterlesen … Zuverlässige Backups: So gelingt die lückenlose Datensicherung
1972 wagte ein kanadischer IT-Berater namens Ian Sharp eine Prognose, die als eine der größten Fehleinschätzungen der Computertechnologie eingehen sollte. Herr Sharp war damals felsenfest überzeugt, dass die „E-Mail ein total unverkäufliches Produkt“ sei. Heute, 50 Jahre später, ist die elektronische Post zum wichtigsten digitalen Kommunikationsmittel überhaupt geworden. Mehr als 200 Milliarden E-Mails werden 2022 verschickt – und das pro Tag. Doch nicht nur für die Kommunikation zwischen Privatpersonen oder Unternehmen ist die E-Mail unverzichtbar geworden, auch als Marketinginstrument wird die Mail gerne und häufig eingesetzt. Rund zwei Milliarden Euro investiert die deutsche Wirtschaft jährlich in E-Mail-Werbung. Trotz oder gerade wegen der langen Geschichte ranken sich um die E-Mail immer noch Sicherheits-Mythen. Die fünf größten Sicherheits-Irrtümer im Umgang mit E-Mails haben wir in diesem Beitrag für Sie kompakt zusammengefasst. Es überrascht dabei nicht, dass die E-Mail nach wie vor eines der Haupteinfallstore für Cyber-Angriffe auf Unternehmen darstellt.
Weiterlesen … E-Mails: Die fünf größten Sicherheits-Irrtümer
Aufgrund des Krieges in der Ukraine gibt secion eine Einschätzung der Bedrohungslage für Unternehmen ab und beleuchtet die Frage, ob verstärkt russische Angriffe auf Unternehmen in Deutschland, Österreich sowie der Schweiz zu erkennen sind. Es liegen dabei derzeit keine Erkenntnisse über eine akut gesteigerte Gefährdung durch staatliche russische Akteure in Westeuropa vor, jedoch eine erhöhte Aufmerksamkeit in der Öffentlichkeit, mit der diese Cyberattacken aktuell wahrgenommen werden. Zudem sorgen „Dritt-Akteure“ für eine neue Dynamik.