Chinas staatlich unterstützte Akteure stehlen sensible Daten

Die US-Behörde für Cybersicherheit und Infrastrukturschutz (CISA) hat eine Warnung (AA26-281A) veröffentlicht, die Cyberaktivitäten beschreibt, die mit chinesischen, staatlich verbundenen Akteuren in Verbindung gebracht werden. Diese Akteure, die mit Gruppen wie Integrity Tech assoziiert sind und unter Namen wie Flax Typhoon bekannt sind, nutzen eine Kombination aus automatisierter Aufklärung und direkten Intrusionen, um sensible Daten zu stehlen.

Laut dem CISA-Bericht unterstützt Integrity Tech diese Operationen durch die Entwicklung oder den Erwerb von Werkzeugen, das Hosten von Infrastruktur und das Kompromittieren von Netzwerken. Zu den Zielen gehörten kritische US-Infrastrukturen sowie Organisationen in Südostasien, Afrika und Nordamerika. Die beschriebenen Taktiken umfassen die Ausnutzung von Web-Schwachstellen, den Einsatz von Malware und die Etablierung von persistentem, unauffälligem Fernzugriff.

Die Bedrohungsakteure nutzen umfangreiche Botnetze, VPNs und eine Sammlung von Hacking-Tools. Sie kombinieren bereits vorhandene Werkzeuge auf den Systemen der Opfer und legitime Fernzugriffssoftware mit speziell entwickelten Werkzeugen zur Datensammlung. Insbesondere nutzen sie Cross-Site-Scripting (XSS)-Schwachstellen auf Webseiten aus und setzen Malware wie DiagTrack.exe für den Datendiebstahl ein, während sie SoftEther VPN-Clients verwenden, um die Persistenz in kompromittierten Systemen zu gewährleisten. Picus Security, ein Cybersicherheitsunternehmen, hat eine Analyse dieser Angriffstechniken veröffentlicht. Das Unternehmen bietet seine Plattform an, um Flax Typhoon-Bedrohungen zu simulieren, damit Organisationen ihre Sicherheitskontrollen gegen solche hochentwickelten Angriffe validieren können.