Trend Micro: Earth Estries aktiv
Gefahr durch langfristige und gezielte Angriffe
Die vom BSI als in Deutschland aktiv gelistete APT-Gruppe Earth Estries (auch bekannt als Salt Typhoon, FamousSparrow, GhostEmperor und UNC2286) wurde von Trend Micro in einem Blogbeitrag detailliert analysiert. Die Gruppe nimmt kritische Branchen weltweit ins Visier, um diese auszuspionieren.
Die Analyse gibt Einblicke in die langfristigen und gezielten Angriffe, zu denen sie ausgeklügelte Techniken und neue Backdoors nutzt.
Earth Estries hat seit 2023 vor allem kritische Sektoren wie Telekommunikation und Regierungsstellen in den USA, im asiatisch-pazifischen Raum, im Nahen Osten und in Südafrika ins Visier genommen. Dazu setzt die Gruppe fortschrittliche Angriffstechniken und mehrere Backdoors wie Ghostspider, Snappybee und Masol Rast ein.
Die Akteure nutzen Schwachstellen in öffentlich zugänglichen Servern aus, um einen ersten Zugang zu erhalten, und verwenden Binärdateien, die sich von selbst replizieren, um sich lateral in Netzwerken zu bewegen, Malware zu verbreiten und langfristige Spionage zu betreiben.
Earth Estries setzt auf einer komplexen C&C-Infrastruktur (Command and Control) auf, die von verschiedenen Teams verwaltet wird, und ihre Operationen überschneiden sich oft mit TTPs anderer bekannter chinesischer APT-Gruppen, was auf die mögliche Nutzung gemeinsamer Tools von Malware-as-a-Service-Anbietern hindeutet.
Bemerkenswerterweise nehmen die Angreifer nicht nur kritische Dienste (wie Datenbank- und Cloud-Server) ins Visier, sondern auch Lieferantennetzwerke. Die Forscher haben beobachtet, dass die Angreifer zum Beispiel das Demodex-Rootkit auf den Rechnern der Lieferanten installiert haben.
Earth Estries ist offenbar eine gut organisierte Gruppe mit einer klaren Arbeitsteilung. Basierend auf Beobachtungen aus mehreren Kampagnen vermuten die Trend-Micro-Experten, dass Angriffe, die auf verschiedene Regionen und Branchen abzielen, von unterschiedlichen Akteuren lanciert werden. Darüber hinaus scheine die C&C-Infrastruktur, die von verschiedenen Backdoors genutzt wird, von unterschiedlichen Infrastrukturteams verwaltet zu sein, was die Komplexität der Operationen der Gruppe weiter unterstreicht.
Lesen Sie mehr zum Thema
