CopperDragon: Drei Cyberspionage-Cluster greifen Ziele in 21 Ländern an

Nach einer einjährigen Untersuchung hat Check Point Research (CPR) drei mit China verbundene Cyberspionage-Cluster identifiziert. Diese greifen über eine gemeinsame technische Infrastruktur namens CopperDragon Behörden, Telekommunikationsunternehmen, Militär, Forschungseinrichtungen sowie kritische Infrastrukturen an. Betroffen sind Ziele in insgesamt 21 Ländern in Lateinamerika, Asien und Europa.

Drei Spionage-Cluster über eine gemeinsame Plattform

Die identifizierten Aktivitäten teilen sich laut CPR in drei spezifische Gruppierungen auf: SilentDelivery, OceanGate und DarkWire. SilentDelivery operiert in Europa und Asien – darunter in Deutschland, Frankreich, Tschechien, Taiwan, Nepal, Hongkong und Indonesien.

Die Gruppe setzt auf kompromittierte Websites sowie gefälschte Zertifikatswarnungen für den Browser Chrome, um Schadsoftware wie SquadC oder Varianten der SparrowDoor-Backdoor einzuschleusen.

Das Cluster OceanGate hat seinen Schwerpunkt in Indien. Es kompromittiert vorrangig Linux-Server, nutzt dort Backdoors sowie Methoden zum Diebstahl von Zugangsdaten und weitet Angriffe anschließend auf Windows-Systeme aus. DarkWire wiederum nimmt Verwaltungen sowie mindestens drei große Telekommunikationsunternehmen in Lateinamerika ins Visier und setzt dabei die Schadprogramme CopperDoor und CopperDNS ein.

Wer sich mit den aktuellen Methoden der Cyberspionage befasst, erkennt schnell, dass technische Sicherheitslücken oft das erste Einfallstor sind. IT-Verantwortliche erfahren in diesem kostenlosen E-Book, wie sie proaktiv Sicherheitslücken schließen und ihr Unternehmen vor modernen Cyberangriffen schützen können. IT-Sicherheit ohne teure Investitionen stärken

Zu den im Rahmen der Analyse neu dokumentierten Werkzeugen zählen Schadprogramme wie SquadC, AnnobinDoor und SparrowShell für Linux sowie CopperLogger und CopperLsa für Windows. Zudem dient eine Variante des Reptile-Rootkits zur Tarnung. Den Ursprung dieser Verknüpfungen sieht CPR im Sparrow-Framework, insbesondere in der SparrowDoor-Backdoor der Gruppe FamousSparrow.

Die Untersuchung verbindet zudem Aktivitäten von FamousSparrow, Earth Estries, TropicTrooper und UAT-9244. Das Verhältnis von FamousSparrow zur Gruppierung Salt Typhoon bleibt jedoch unklar. CopperDragon fungiert den Erkenntnissen nach eher als möglicher gemeinsamer Entwickler oder Lieferant für mehrere Akteure denn als einzelne Gruppe.

Mobilfunknetze im Fokus von Abhöroperationen

Ergänzend zu den CPR-Erkenntnissen hat das Sicherheitsunternehmen Enea einen bislang unbekannten Akteur namens SilentAir aufgedeckt. Dieser nutzt kompromittierte Technik in asiatischen Mobilfunknetzen, um Telefongespräche und SMS ausgewählter Nutzer umzuleiten und Codes zur Zwei-Faktor-Authentifizierung (2FA) abzufangen.

Die Angriffsquellen verortet Enea in mindestens sechs asiatischen Staaten, während die Angriffsziele überwiegend in Taiwan liegen, darunter auch hochrangige politische und staatliche Persönlichkeiten.

SilentAir wird mit hoher Sicherheit als staatlicher Akteur eingestuft, eine Zuordnung zu China gilt jedoch nur mit geringer Sicherheit als wahrscheinlich.

Angriffe auf die Zwei-Faktor-Authentifizierung zeigen deutlich, wie wichtig eine ganzheitliche Absicherung der digitalen Identität geworden ist. Experten erläutern in diesem kostenlosen Leitfaden, wie Unternehmen sich wirksam gegen Phishing-Versuche und psychologische Manipulationstaktiken absichern. Anti-Phishing-Paket jetzt kostenlos herunterladen

Als Indizien dafür gelten der Fokus auf Taiwan, das Fehlen chinesischer Angriffsziele sowie Arbeitszeiten in der Zeitzone UTC+8. Technisch nutzt die Gruppe SS7- und teils Diameter-Signalisierungsangriffe über IPX sowie UpdateLocation-Nachrichten.

Abfangangriffe machen 18,3 % der bei SilentAir beobachteten Aktionen aus – im Vergleich zu früheren Werten von 2,1 % bei einem typischen Überwachungsdienstleister. Zudem werden nachts stille SMS in Wellen an wenige bis mehrere tausend Teilnehmer pro Monat versandt.

Enea informierte die betroffenen Mobilfunkbetreiber und störte die Aktivitäten vorerst, hält eine Rückkehr der Gruppe jedoch für möglich. Zudem blockierte das Unternehmen Datenverkehr über GTPDoor und stellte bei fünf bis zehn Betreibern Infektionen oder deutliche Hinweise fest. Eine Verbindung zu der Gruppe Liminal Panda ist nicht schlüssig bewiesen.

Komplexe Zuordnung und Abwehrmaßnahmen

CPR betont, dass eine geteilte Infrastruktur wie CopperDragon nicht denselben Akteur beweist; auch die geopolitische Motivation einzelner Angriffe lasse sich nicht zweifelsfrei bestimmen. Angesichts der komplexen Vorgehensweisen empfiehlt ein Sicherheitsanalyst von Check Point Verteidigern, Verbindungen über Endpunkte und Netzwerke hinweg sowie Linux- und Windows-Umgebungen einheitlich zu überwachen.