Double Dragon: APT41 soll für Staat und eigenen Geldbeutel hacken
Sie sollen für den chinesischen Staat hacken und außerdem Profit mit Angriffen auf Videospielehersteller machen. Das IT-Sicherheitsunternehmen Fireeye berichtet, "mit großer Sicherheit" eine chinesische Hackergruppe identifiziert zu haben und nennt sie APT41(öffnet im neuen Fenster) . Seit 2012 soll die Gruppe aktiv sein und Schadsoftware zur persönlichen Bereicherung genutzt haben.
Erst später seien staatlich motivierte Angriffe hinzugekommen. Doch ob die Gruppe wirklich zusätzlich im Auftrag Chinas tätig sei, könne Fireeye nur mit "mittlerer Sicherheit" sagen. Laut Fireeye hätten die Hacker dabei Spionageaufträge gegen Ziele wie Technologie- und Medienunternehmen sowie Telekommunikationsfirmen durchgeführt.
Unterschiedliche Ziele bei Tag und bei Nacht
Fireeye verglich die Zeiten, in denen die Gruppe mutmaßlich aktiv war und fand heraus, dass Spieleunternehmen primär in den Abend- und Nachtstunden angegriffen wurden – im Gegensatz zu den Spionagezielen. Zu den Werkzeugen von Double Dragon – so hat Fireeye die Gruppe getauft – gehörten Ransomware, gezielte Phishing-Angriffe sowie Supply-Chain-Angriffe.
Bei seinen Supply-Chain-Angriffen habe sich APT41 beispielsweise Zugang zu den Produktionsumgebungen von Spieleherstellern verschafft und Schadcode in Dateien eingepflanzt. Er landete so in den eigentlichen Programmen, erschien den Nutzern unverdächtig und konnte sich weiter verbreiten.
Lukrative In-Game-Währungen
Außerdem hätten die Hacker es auf virtuelle Währungen abgesehen. In einem der beschriebenen Fälle habe die Gruppe in weniger als drei Stunden mehrere zehn Millionen Dollar einer In-Game-Währung generiert. Diese sei, so vermutet Fireeye in einem ausführlichen Bericht(öffnet im neuen Fenster) , "vermutlich auf Schwarzmärkten verkauft und gewaschen" worden.
Zur Attribution der Angriffe hätten unter anderem zwei identifizierte Personen beigetragen, die in Foren aufgetaucht seien und dort ihre Fähigkeiten angepriesen hätten. Außerdem habe die Gruppe Werkzeuge genutzt, die sonst lediglich von anderen chinesischen Gruppen genutzt würden. Die Hauptarbeitszeiten von APT41 seien außerdem typisch für China: sechs Tage pro Woche, jeweils von 10 bis 23 Uhr.
Einiges bleibt Spekulation
Organisationen aus 14 Ländern auf unterschiedlichen Kontinenten seien von APT41-Operationen betroffen gewesen, darunter die USA ebenso wie Myanmar. Die Ziele stünden im Einklang mit chinesischen Fünfjahresplänen und mit politischen Schwerpunkten. In Deutschland verortet Fireeye keine Aktivitäten.
Wie die Gruppe es schafft, mutmaßlich sowohl für den Staat als auch aus eigener finanzieller Motivation zu arbeiten, kann Fireeye nicht eindeutig begründen. Vielleicht ist sie besonders geschützt, vielleicht übersehen die Auftraggeber die weiteren Aktivitäten wohlwollend, vielleicht hat sich APT41 der staatlichen Kontrolle entzogen. In diesem Punkt bleibt der Bericht spekulativ.
Immer wieder werden hinter Hackerangriffen und Spionageoperationen chinesische Akteure vermutet und beschuldigt: Die Gruppe Buckeye , die Backdoors bei Zielen in Hongkong und Belgien installieren wollte beispielweise. Ende 2018 erhoben die USA Anklage gegen zwei chinesische Staatsbürger. Sie sollen mutmaßlich Teil der Gruppe APT10 gewesen sein, die Industrieunternehmen und Regierungsbehörden gleichermaßen ausspioniert habe.