Ocean Lotus: Vietnamesische Hacker spionieren Ziele in Deutschland aus

Recherchen des BR und Zeit Online decken Spionage-Aktionen vietnamesischer Hackergruppe Ocean Lotus auf, die weltweit Systemkritiker Vietnams zum Ziel haben. Auch in Deutschland lebende Vietnamesen und Deutsche scheinen wohl im Fokus der Angreifer gestanden zu haben.

Angriff auf BMW

Die Gruppe Ocean Lotus ist eigentlich bereits seit Jahren auf dem Radar von Sicherheitsforschern. Im Dezember 2019 hatte ich im Blog-Beitrag OceanLotus: Hacker im Netzwerk von BMW berichtet, dass Hacker der Gruppe in das Netzwerk des Autobauers BMW eingedrungen seien. Allerdings ist die Aktion aufgefallen und Sicherheitsexperten von BMW haben das Vorgehen beobachtet. Obwohl BMW keine Details herausgibt, wurde bekannt, dass die Hacker einen bestimmten Rechner mit einem "Cobalt Strike" genannten Programm infizieren konnten. Der infizierte Rechner wurde nach einiger Zeit abgeschaltet, die Hacker wurden so ausgesperrt. Der Bayrische Rundfunk (BR) berichtet seinerzeit hier über den Vorfall bei BMW. Die Hackergruppe OceanLotus soll im Auftrag des Staates Vietnam unterwegs sein, um sowohl Industriespionage zu treiben als auch Regimekritiker auszuspionieren.

Angriff auf einen Regimekritiker

Vor einigen Tagen legte der BR in diesem Artikel den Hacker-Angriff der Gruppe auf den Regimekritiker Vu Quoc Dung offen. Dieser lebt seit den 80er Jahren in Deutschland und besitzt die deutsche Staatsbürgerschaft. Er setzt sich für in Vietnam lebende Menschen ein und sieht sich massiven Hackerangriffen der in Vietnam verorteten Hackergruppe Ocean Lotus ausgesetzt.

2017 wurde die Internetseite des Vereins Veto durch Ocean Lotus angegriffen – wohl um herauszufinden, wer aus Vietnam auf dieser Website war. Im Jahr 2020 kam es dann zu einem Angriff auf Vu Quoc Dung selbst. Mit einer gefälschten E-Mail-Adresse, die sich an die Mail-Adresse von Vu Quoc Dung anlehnt, wurden Mails an Kontakte von Vu Quoc Dung geschickt. Diese versprachen Informationen über ein Leak aus der kommunistischen Partei Vietnams. Im Anhang fand sich ein Trojaner, der dann die Kontakte ausspionierte.

Heraus kam die Aktion, weil ich die Opfer bei Vu Quoc Dung meldeten. Dieser meldete sich bei der Polizei und stellte über den Verein Veto Strafanzeige. Im BR-Artikel lässt sich herauslesen, dass die deutsche Polizei sich schwer tut. Laut Polizei 'gibt es keinen politischen Hintergrund' – auf Nachfrage von BR und Zeit Online teilt die zuständige Polizeibehörde mit, dass der Fall im Betrugsdezernat gelandet ist. Besonders pikant: Polizeibeamte, die mit Vu Quoc Dung Kontakt aufnehmen wollten, schickten die Mails an die Adresse, die den Hacker gehörte. Da fühlt man sich doch nur noch hilflos.

Recherchen von BR und ZEIT Online

In diesem Artikel deckt der BR seine mit ZEIT Online durchgeführten Recherche-Ergebnisse auf. Laut diesem Artikel finden die Hackerangriffe der Gruppe Ocean Lotus permanent statt und richten sich auch gegen in Deutschland lebende Personen und Einrichtungen. Der BR zitiert Insider, dass die Hackergruppe im strategischen Interesse der vietnamesischen Regierung agiert.

Adam Meyers von der amerikanischen IT-Sicherheitsfirma Crowdstrike wird so zitiert: "Wir reden hier nicht von sechs Leuten, die im Keller ihrer Mama sitzen, sondern von einer militärischen Einheit. Wir reden von der digitalen Angriffstruppe eines voll funktionsfähigen Staates, die in der Lage ist, ein breitgefächertes Auftragsprofil zu erfüllen."

Auch das Bundesamt für Verfassungsschutz (BfV) beobachtet die Gruppe seit 2014, hat Thomas Haldenwang, Präsident des Bundesverfassungsschutzes, in einem Interview mit BR und Zeit Online gesagt. Ocean Lotus interessiere sich für "bestimmte Personen mit vietnamesischen Hintergrund" und das sei "einer der Gründe, weshalb wir eine deutliche Verbindung nach Vietnam sehen." Eine eindeutige Zuordnung, insbesondere zu den Nachrichtendiensten Vietnams, könne man aber nicht vornehmen.

Vietnamesische Botschaft bestreitet Vorwürfe

Harte Beweise gegen Vietnam gibt es also nicht. Die vietnamesische Botschaft in Berlin bestreitet die Vorwürfe auf Anfrage: 'Angriffe und Bedrohungen der Cybersicherheit müssen verurteilt und gemäß Vorschriften des Gesetzes streng bestraft werden', so die Stellungnahme. Was aber eine Binsenweisheit ist – frag niemals die Frösche, wenn Du einen Teich trocken legen willst. Jedenfalls sind die verlinkten Artikel und dieser Tagesschau-Beitrag sowie der Artikel bei heise mit einer Zusammenfassung ganz lesenswert.