Sicherheitsexperten des IT-Sicherheitsunternehmens Seqrite haben eine neue Cyberspionage-Kampagne identifiziert, die gezielt Regierungsmitarbeiter in Myanmar ins Visier nimmt. Die unter dem Namen Operation QUICSILVER bekannt gewordene Aktivität wird Akteuren mit Verbindungen nach China (China-nexus) zugeschrieben. Dabei setzen die Angreifer auf speziell angepasste Köder in burmesischer Sprache, um Zugang zu sensiblen Systemen zu erhalten.
Gezielte Täuschung durch lokalisierte Köder
Die Kampagne zeichnet sich durch eine präzise Zielgruppenansprache aus. Den Untersuchungen zufolge nutzen die Angreifer getarnte Dateien im VHD-Format (Virtual Hard Disk), um Sicherheitsmechanismen zu umgehen. In diesen Containern befinden sich Dokumente mit Inhalten in burmesischer Sprache, die darauf ausgelegt sind, das Vertrauen der Regierungsangestellten zu gewinnen und sie zum Ausführen schädlicher Dateien zu verleiten.
Ein zentrales Element des Angriffs ist eine bösartige LNK-Datei (Verknüpfungsdatei). Sobald ein Nutzer diese öffnet, wird die legitime Windows-Komponente ftp.exe gestartet. Dieser Prozess wird von den Angreifern zweckentfremdet, um eine bösartige ausführbare Datei namens Windowsupdate.exe zu rekonstruieren. Bei dieser Datei handelt es sich um eine Hintertür, die von den Sicherheitsforschern als QUICAgent identifiziert wurde.
Technischer Ablauf und die Hintertür QUICAgent
Die Analyse der Infektionskette zeigt, dass die Angreifer für die Rekonstruktion des QUICAgent eine RC4-Verschlüsselung verwenden. Diese Methode dient dazu, die Schadsoftware vor einer Entdeckung durch herkömmliche Antiviren-Programme zu schützen, während sie auf dem Zielsystem zusammengesetzt wird.
Der QUICAgent selbst ist in der Programmiersprache Go geschrieben. Diese Sprache wird in den letzten Jahren zunehmend von Akteuren im Bereich der Cyberspionage genutzt, da sie die plattformübergreifende Entwicklung erleichtert und die Analyse durch Sicherheitsspezialisten erschweren kann. Einmal aktiv, ermöglicht die Hintertür den Angreifern weitgehende Kontrolle über das kompromittierte System und bildet die Basis für die weitere Spionagearbeit.
Wer sich mit derartigen Cyberspionage-Methoden befasst, erkennt schnell die Notwendigkeit einer proaktiven Absicherung für das eigene Unternehmen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken ohne hohe Investitionen schließen können. IT-Sicherheit stärken und Unternehmen schützen
Infrastruktur über Cloudflare und verschlüsselter Datenverkehr
Für die Steuerung der infizierten Rechner und den Abzug von Daten nutzen die Hintermänner der Operation QUICSILVER eine moderne Command-and-Control-Infrastruktur (C2). Hierbei greifen die Akteure auf Cloudflare Workers zurück, was es erschwert, den bösartigen Datenverkehr von legitimem Web-Traffic zu unterscheiden.
Besonders auffällig ist die Nutzung des QUIC-Protokolls über den Port UDP/443 für die Kommunikation zwischen dem Opfer-System und dem C2-Server. Das QUIC-Protokoll bietet eine schnellere und verschlüsselte Datenübertragung, was im Kontext einer Spionage-Kampagne dazu dient, die Exfiltration von Daten effizienter und unauffälliger zu gestalten.
Die zunehmende Komplexität von Cyberangriffen stellt Unternehmer heute vor neue Herausforderungen bei der Erfüllung gesetzlicher Anforderungen. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und technischen Risiken Sie jetzt kennen müssen. Gratis-Report zu Cyberrisiken und KI-Gesetzen anfordern
Zur Identifizierung der Bedrohung haben Sicherheitsexperten verschiedene Indikatoren (Indicators of Compromise, IOCs) veröffentlicht. Dazu gehören unter anderem die Domains register[.]mediumser[.]com sowie appupdate[.]0cmds20cj2cdf8[.]workers.dev.
Zudem wurden die IP-Adressen 104[.]64[.]211[.]22 und 38[.]60[.]244[.]141 sowie spezifische SHA-256-Hashes mit der Kampagne in Verbindung gebracht. Die Erkenntnisse unterstreichen die anhaltende Bedrohungslage für staatliche Institutionen in Südostasien durch hochspezialisierte Akteure.
