Behörden warnen: Chinesische Hacker attackieren VMware-Systeme
Die US-amerikanischen Sicherheitsbehörden Cisa und NSA sowie das kanadische Centre for Cyber Security haben eine gemeinsame Warnung vor laufenden Angriffen chinesischer Hacker auf VMware-Systeme herausgegeben. Die Angreifer nutzen laut Pressemitteilung(öffnet im neuen Fenster) eine Backdoor-Malware namens Brickstorm, um VMware-vSphere- und Windows-Umgebungen zu infiltrieren.
Die Cisa hat nach eigenen Angaben acht Brickstorm-Proben von betroffenen Organisationen erhalten und untersucht. Die Backdoor verfüge über fortschrittliche Funktionen, um die Kommunikation zu verschleiern, tiefer in die Netzwerke der Opfer einzudringen sowie die Malware bei Störungen automatisch neu zu installieren oder neu zu starten, heißt es.
Raffinierte Angreifer aus China
Hauptziele der Angreifer sind laut Mitteilung Regierungsbehörden und Unternehmen aus dem IT-Sektor. Hinter den Angriffen soll eine vom chinesischen Staat unterstützte Hackergruppe stecken. Sicherheitsforscher von Crowdstrike nennen die Gruppe in einem eigenen Bericht(öffnet im neuen Fenster) Warp Panda und schreiben ihr "ein hohes Maß an technischer Raffinesse" sowie weitreichende Kenntnisse in den Bereichen Operative-Sicherheit, Cloud und Virtualisierung zu.
Warp Panda zeichne sich durch ein hohes Maß an Tarnung aus und konzentriere sich darauf, einen dauerhaften, langfristigen und verdeckten Zugriff auf kompromittierte Netzwerke aufrechtzuerhalten, heißt es weiter bei Crowdstrike. Dafür verwendeten die Angreifer neben Brickstorm auch noch eine JSP-Webshell sowie zwei andere Malware-Erzeugnisse namens Junction und Guestconduit.
Analyse liefert technische Details
Organisationen mit VMware-Umgebungen wird dringend empfohlen, eigene Untersuchungen einzuleiten, um festzustellen, ob sie betroffen sind. Administratoren finden in einer von der Cisa veröffentlichten Analyse(öffnet im neuen Fenster) weitere technische Details zu Brickstorm und den Aktivitäten von Warp Panda – etwa wie die Malware funktioniert und auf die jeweiligen Zielsysteme gelangt.
Auch für die Erkennung und Abwehr nützliche Informationen sowie mögliche vorbeugende Schutzmaßnahmen sind in der Analyse zu finden. Der Bericht von Crowdstrike(öffnet im neuen Fenster) enthält ebenfalls für eigene Untersuchungen potenziell nützliche Kompromittierungsindikatoren.