Selektive Cyberspionage gegen militärische Kräfte: die Staatskampagne, die Schlüsseldokumente mit Präzision aussuchte

Ein Drohungs-Untersuchungsteam hat eine Cyber-Espionage-Operation dokumentiert, die an südostasiatische Militärorganisationen gerichtet ist, die nach Angaben mindestens 2020 zurückreicht. Die Analysten, die den Bericht unterzeichnen Einheit 42 von Palo Alto Networks Sie gruppieren diese Aktivität als CL-STA-1087: eine Familie von Intrusionen mit Anzeichen von Staatssponsorship und ein konsistentes Muster der selektiven Intelligenzsammlung.

Was diese Kampagne unterscheidet, ist nicht die Masse gestohlener Daten, sondern die Genauigkeit, mit der die Angreifer bestimmte Dokumente suchten.- Berichte über operative Kapazitäten, organisatorische Strukturen und Aufzeichnungen von Kooperationen mit westlichen Armeen - anstatt große Mengen von irrelevanten Informationen zu übernehmen. Diese bewusste Suche zielt auf Intelligenzzwecke, die strategische Analyse und militärische Planung ernähren könnten.

Aus technischer Sicht zeigt die Operation charakteristische Merkmale von APT-Gruppen: maßgeschneiderte Nutzlasten, stabile Kontroll- und Kontrollinfrastrukturen, Verteidigungstechniken und Ausführungsketten in mehreren Phasen, die den dauerhaften und stehlen Zugang zu gefährdeten Systemen erleichtern. Unter den identifizierten Werkzeugen sind die Backdoors bekannt als AppleChris und MemFun, und ein Extraktor von Anmeldeinformationen namens Getpass, eine benutzerdefinierte Variante des bekannten Mimikatz-Dienstprogramms ( Mimikatz Repository)

Eines der interessanten Betriebszeichen ist die Nutzung öffentlicher Dienste als Repositories, um den tatsächlichen Standort des Befehls- und Steuerservers zu verbergen. Sowohl ApplChris als auch MemFun erholen C2-Adressen, die in Publikationen gespeichert sind Pastebin (eine "tote Tropfenlösung" nach MITRE Taxonomie) codiert in Base64; eine Variante verwendet sogar Dropbox als Hauptquelle und Pastebin nur als Backup. Diese nachvollziehbaren Publikationen stammen aus September 2020, die dazu beitragen, die Langlebigkeit der Operation zu charakterisieren.

Die Art der Einführung von Persistenz umfasst bekannte, aber dennoch wirksame Techniken, um Kontrollen zu vermeiden: Anwendung Chris kann aktiviert werden DLL Entführung, und bietet Funktionen wie Festplattenexploration, Verzeichnis-Listen, Dateiübertragung, Remote-Befehlsausführung und Stille Prozess-Erstellung. Die Entwicklung der Tunnel zeigt wiederum eine größere Raffinesse bei der Verwaltung von Netzwerk-Proxys und bei der Gewinnung der Adressen von C2.

MemFun verhält sich mehr wie eine modulare Plattform: seine Ausführung erfolgt über eine Kette von Stufen, in denen ein anfänglicher Loader Shellcode injiziert, die in Speicher eine Komponente, die wiederum die Konfiguration von Pastebin erhält und eine DLL vom Befehlsserver erholt. Indem die DLL in Laufzeit bringt, können die Betreiber die Nutzlasten austauschen, ohne die ursprünglich eingesetzten Artefakte zu berühren, was Änderungen und furtive Updates erleichtert.

Um die Erkennung durch automatisierte Analyseumgebungen zu vermeiden, führen einige Varianten Verzögerungen bei der Ausführung durch. Sie instrumentieren Schlaf-Timer, um die typischen Sandbox Beobachtungsfenster zu überschreiten; außerdem führt MemFun anti-forensische Kontrollen vor der Änderung von Zeitmarken und Verwendungen durch Prozesshaltung um die Nutzlast im Kontext legitimer Prozesse wie dllhost.exe zu betreiben, wodurch der Festplattenfußabdruck reduziert und die forensische Zuschreibung erschwert wird.

Die Entfernung von Anmeldeinformationen verdient eine separate Anmerkung: Getpass arbeitet auf dem Speicher von lsass.exe, um zu versuchen, Passwörter in Klartext zu erhalten, hashes NTLM und andere Authentifizierungsmaterialien, Replikation klassische Taktiken von lateralen Bewegungen und erhöhte Privilegien. Diese Kapazität macht Angreifer zu einer noch größeren Bedrohung für Netzwerke mit geringer Segmentierung oder schwachen Zugangskontrollkonfigurationen.

Was bedeutet das für militärische Organisationen und Organisationen, die mit Verteidigungsoperationen verbunden sind? Erstens zeigt die Kampagne, dass die Angreifer selektiv und geduldig sind: Sie halten latenten Zugang für lange Zeiträume, priorisieren gezielte Sammlung und wenden operative Sicherheitsmaßnahmen an, um ihren Aufenthalt zu verlängern. Zweitens, die kombinierte Verwendung von modularen Werkzeugen, öffentlichen Diensten als temporäre Repositories und Vermeidung Techniken macht die Verteidigung mehr als nur Antivirus Signaturen.

Aus praktischer Sicht können frühe Erkennungen auf der Überwachung verdächtiger PowerShell-Ausführungen, der Überwachung von Prozessen, die lsass.exe lesen, und der Identifizierung von Verbindungen zu Weide- oder Lagerdiensten beruhen, die nicht dem legitimen Nutzungsmuster entsprechen. Microsoft bietet Mechanismen zum Schutz der Anmeldeumgebung und Empfehlungen zur Minderung der Speicherdiebstahl; zum Beispiel Funktionen wie Creative Guard helfen, das Risiko der direkten Extraktion von lsass zu reduzieren ( Microsoft-Dokumentation)

Es wird auch empfohlen, grundlegende, aber effektive Hygienekontrollen anzuwenden: Netzsegmentierung, Mindestprivilegien, kontinuierliche Prozess- und ausgehende Anschlussleistungserfassung und -analyse, und die Integration von EDR-Fähigkeiten, die Speicherinjektion, Prozesshohlung und anormale DLL-Nutzungsmuster erkennen können. Um die spezifischen Techniken, die von den Angreifern verwendet werden, zu verstehen, ist es angebracht, die von MITRE abgebildeten Techniken zu überprüfen, die Vektoren wie die Gewinnung von C2 über öffentliche Dienste und die Techniken der Entführung und Aushöhung bereits erwähnt ( Pastebin, DLL Entführung, Prozesshaltung)

Die Zuschreibung an einen in China ansässigen Schauspieler bleibt auf dem Gebiet des informierten Verdachts: Technische Indikatoren und Ziele stimmen mit früheren Kampagnen im Zusammenhang mit staatlichen Betreibern zusammen, die Sicherheitsgemeinschaft ist jedoch oft über die vollständige Zuschreibung ohne zusätzliche Korroborierung vorsichtig. Was unbestreitbar ist, ist die strategische Natur des Ziels: Befehls- und Kontrollsysteme, Organisationsstrukturen und militärische Kooperationsprotokolle sind genau die Arten von Daten, die Nachrichtendienste interessieren.

Kurz gesagt, wir stehen vor einer Operation, die Geduld, Präzision und aktuelle Techniken der Evasion vereint. Für Verteidiger und Sicherheitsbeamte in sensiblen Sektoren ist die Lektion klar: Widerstand durch kontinuierliche Überwachung, verhaltensbasierte Erkennung und Maßnahmen zum Schutz von Anmeldeinformationen und Prozessen. Diejenigen, die kritische Infrastruktur verwalten, müssen annehmen, dass die geschulten und staatlich finanzierten Angreifer an einem langen Zeithorizont und mit sehr spezifischen objektiven Auswahlkriterien arbeiten und ihre Verteidigung entsprechend vorbereiten.