Chinesische Hacker machen Cisco-Router zu Spionageplattformen

(Source: DCstudio / freepik.com)

(Source: DCstudio / freepik.com)

Die mutmasslich chinesische Cyberespionagegruppe Fire Ant hat ihre Angriffstaktik erweitert. Statt wie bisher vor allem VMware-Hypervisoren anzugreifen, kompromittiert die Gruppe nun auch Cisco-Router, Tacacs-Authentifizierungsserver und Linux-Managementsysteme, wie "Bleepingcomputer" unter Berufung auf das Incident-Response-Unternehmen Sygnia berichtet. 

Die Spezialisten stiessen demnach auf die neue Taktik, als sie auf einem Cisco IOS XR-Router einen aktiven GRE-Tunnel (Generic Routing Encapsulation) entdeckten. Dieser sei weder in der laufenden Konfiguration noch im Änderungsverlauf des Geräts aufgetaucht.

Weitere Untersuchungen hätten gezeigt, dass Fire Ant eigene Malware auf den Geräten installiert hatte. Diese unterdrückte laut Bericht gezielt Syslog-Meldungen und versteckte so Informationen vor Administratoren. Die Schadsoftware habe zudem Telnet-Verbindungen zur Infrastruktur der Angreifer aufgebaut und Shell-Zugriff ermöglicht, ohne entsprechende Aktivitäten zu protokollieren.

Router zeichneten Netzwerkverkehr auf

Die Angreifer nutzten ihre Administratorrechte ausserdem, um den Datenverkehr mehrerer Router aufzuzeichnen, wie "Bleepingcomputer" weiter schreibt. Die dabei entstandenen Dateien hätten sie so auf externe Server übertragen können. Solche Aufzeichnungen können gemäss Bericht unter anderem Informationen über interne Netzwerkstrukturen, administrative Verbindungen, Authentifizierungsvorgänge und Routing-Beziehungen enthalten. Damit werde der Router vom reinen Netzwerkgerät zur Plattform für die Informationsbeschaffung, schreibt Sygnia.

Die Forschenden entdeckten ausserdem eine bislang unbekannte Backdoor namens "BridgeAgent", welche die Spionagegruppe als legitimen Zabbix-Monitoring-Agenten tarnte. Den versteckten GRE-Tunnel habe Fire Ant zudem genutzt, um einen kompromittierten Router mit einem älteren Linux-Server zu verbinden. Von dort aus hätten die Angreifer nach weiteren Zugangsmöglichkeiten zu hochwertigen Zielsystemen gesucht - darunter auch solche von kritischen Infrastrukturen.

Sygnia bezeichnet diese Vorgehensweise laut Bericht als "Target behind the target": Die Angreifer kompromittieren zunächst vertrauenswürdige Infrastruktur und nutzen diese anschliessend als verdeckte Brücke zu einem attraktiveren Ziel.

Die Sicherheitsforscher sehen laut "Bleepingcomputer" starke Überschneidungen zwischen den Aktivitäten von Fire Ant und der chinesischen Spionagegruppe UNC3886. Eine eindeutige Gleichsetzung nehme Sygnia jedoch nicht vor.

Lesen Sie auch: Eine Sicherheitslücke in Ciscos Firewall-Software ASA und FTD erlaubt es Angreifern, verwundbare Geräte aus der Ferne zum Neustart zu zwingen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.