Die Bedrohungsgruppe Earth Baku, die von China unterstützt wird, hat ihre Angriffsaktivitäten von der Indo-Pazifik-Region auf Europa, den Nahen Osten und Afrika ausgeweitet. Seit Ende 2022 wurden neue Länder wie Italien, Deutschland, die Vereinigten Arabischen Emirate und Katar ins Visier genommen, wobei auch mutmaßliche Angriffe in Georgien und Rumänien festgestellt wurden. Regierungen, Medien- und Kommunikationsunternehmen, Telekommunikation, Technologie, Gesundheitswesen und Bildungseinrichtungen gehören zu den Sektoren, die als Teil des Angriffsziels identifiziert wurden.
Experten von Trend Micro haben festgestellt, dass die Gruppe ihre Werkzeuge, Taktiken und Verfahren (TTPs) in jüngsten Kampagnen aktualisiert hat und nun öffentlich zugängliche Anwendungen wie IIS-Server als Einstiegspunkte für Angriffe nutzt. Anschließend setzen sie ausgefeilte Malware-Toolsets in der Umgebung des Opfers ein.
Die Erkenntnisse bauen auf kürzlich veröffentlichten Berichten von Zscaler und dem von Google besessenen Mandiant auf, die ebenfalls die Verwendung von Malware-Familien wie DodgeBox (auch bekannt als DUSTPAN) und MoonWalk (auch bekannt als DUSTTRAP) durch die Bedrohungsgruppe detailliert beschrieben haben. Trend Micro hat ihnen die Namen StealthReacher und SneakCross gegeben.
Earth Baku, eine Bedrohungsgruppe, die mit APT41 in Verbindung gebracht wird, ist für die Verwendung von StealthVector seit Oktober 2020 bekannt. Die Angriffsketten beinhalten die Ausnutzung öffentlich zugänglicher Anwendungen, um die Godzilla-Web-Shell abzulegen, die dann zur Bereitstellung von Folge-Payloads verwendet wird.
StealthReacher wurde als verbesserte Version des StealthVector-Backdoor-Loaders klassifiziert, der für die Einführung von SneakCross, einem modularen Implantat und wahrscheinlichen Nachfolger von ScrambleCross, verantwortlich ist, das Google-Dienste für seine Befehls- und Kontrollkommunikation (C2) nutzt.
Die Angriffe zeichnen sich auch durch die Verwendung anderer Post-Exploitation-Tools wie iox, Rakshasa und eines Virtual Private Network (VPN)-Dienstes namens Tailscale aus. Die Datenexfiltration in den MEGA-Cloud-Speicherdienst wird mithilfe eines Kommandozeilen-Dienstprogramms namens MEGAcmd durchgeführt.
“Die Gruppe hat neue Loader wie StealthVector und StealthReacher eingesetzt, um heimlich Backdoor-Komponenten zu starten, und SneakCross als ihren neuesten modularen Backdoor hinzugefügt”, sagten die Forscher.
“Earth Baku hat auch mehrere Tools während seiner Post-Exploitation eingesetzt, darunter ein angepasstes iox-Tool, Rakshasa, TailScale zur Aufrechterhaltung der Persistenz und MEGAcmd zur effizienten Datenexfiltration.”
Die Ausweitung der Aktivitäten von Earth Baku auf Europa, den Nahen Osten und Afrika hat erhebliche Auswirkungen auf KMU in diesen Regionen. Angesichts der zunehmenden Bedrohungen durch Cyberangriffe ist es für Unternehmen unerlässlich, ihre IT-Sicherheitsmaßnahmen zu verstärken und sich auf die digitale Transformation vorzubereiten. Cloud-Services bieten eine Möglichkeit, die Sicherheitslücken zu schließen und die Cybersecurity zu verbessern. Es ist ratsam, dass KMU geeignete Sicherheitslösungen implementieren und bewährte Verfahren im Umgang mit der zunehmenden Bedrohung durch Cyberangriffe befolgen.
Die jüngsten Angriffe von Earth Baku verdeutlichen die Notwendigkeit, dass Unternehmen, insbesondere KMU, proaktiv Maßnahmen ergreifen, um ihre IT-Infrastruktur zu schützen und sich gegen Cyberangriffe zu wappnen. Die Implementierung von Cloud-Services und IT-Sicherheitslösungen kann dazu beitragen, die Angriffsfläche zu verringern und die Unternehmensdaten zu schützen.
In Anbetracht der komplexen Natur der Angriffe von Earth Baku ist es von entscheidender Bedeutung, dass Unternehmen die Best Practices im Bereich der IT-Sicherheit anwenden und sich auf die Bewältigung potenzieller Sicherheitslücken vorbereiten. Durch die Implementierung geeigneter Sicherheitsmaßnahmen und die Nutzung von Cloud-Services können Unternehmen ihre Widerstandsfähigkeit gegenüber Cyberangriffen stärken und ihre Daten schützen.
Die jüngsten Erkenntnisse zu den Aktivitäten von Earth Baku verdeutlichen die Bedeutung einer ganzheitlichen Herangehensweise an die IT-Sicherheit und die Notwendigkeit, sich auf die zunehmenden Bedrohungen durch Cyberangriffe vorzubereiten. Unternehmen, insbesondere KMU, sollten die Implementierung von Cloud-Services und die Verbesserung ihrer IT-Sicherheitsmaßnahmen in Betracht ziehen, um sich gegen die wachsende Bedrohung durch Cyberangriffe zu wappnen.
Die Ausweitung der Aktivitäten von Earth Baku auf Europa, den Nahen Osten und Afrika unterstreicht die Notwendigkeit für Unternehmen, ihre IT-Sicherheitsmaßnahmen zu verstärken und sich auf die zunehmenden Bedrohungen durch Cyberangriffe vorzubereiten. Die Implementierung von Cloud-Services und die Verbesserung der IT-Sicherheitsmaßnahmen können dazu beitragen, die Angriffsfläche zu verringern und die Unternehmensdaten zu schützen.
Die jüngsten Erkenntnisse zu den Aktivitäten von Earth Baku verdeutlichen die Notwendigkeit, dass Unternehmen, insbesondere KMU, ihre IT-Sicherheitsmaßnahmen verstärken und sich auf die zunehmenden Bedrohungen durch Cyberangriffe vorbereiten. Die Implementierung von Cloud-Services und die Nutzung bewährter Sicherheitslösungen können dazu beitragen, die Widerstandsfähigkeit gegenüber Cyberangriffen zu stärken und die Unternehmensdaten zu schützen.
