China-gekoppelte Hacker zielen auf Südostasiatische Edge-Routern mit eigenem Linux-Implantat

Technischer Hintergrund

Wie das Implant Edge-Routern die Kontrolle übernimmt Sobald router.elf installiert und ausgeführt ist, stellt es eine persistente Verbindung zu Servern des Angreifers über verschlüsselten HTTPS-Verkehr auf Port 443 her.

Um von DNS-Monitoring-Tools nicht entdeckt zu werden, leitet es seine Domain-Namensauflösungen über Cloudflares DNS-over-HTTPS-Dienst, der die Anfragen in scheinbar normale Webverkehr einhüllt. Dies ist eine absichtliche Ausweichtechnik, die dem Implant hilft, über lange Zeiträume verborgen zu bleiben.

Das Malware-Programm installiert zudem Firewall-Regeln direkt auf dem Router unter Verwendung eines integrierten Linux-Tools namens iptables. Diese Regeln leiten alle DNS-Abfragen von allen Geräten hinter dem Router stumm und unsichtbar zu Servern um, die von den Angreifern kontrolliert werden.

Technik und Auswirkungen

Dadurch können die Hacker manipulieren, welche Websites die Nutzer glauben zu besuchen, Software-Updates abfangen und bestimmte Ziele mithilfe einer dynamischen Liste namens evil_fix gezielt ansteuern.

Eine sekundäre Hintertür namens client_rc_start wurde neben dem Hauptimplantat installiert, um auch dann weiterhin Zugriff zu gewährleisten, wenn die primäre Last ausgeladen wird. Windows-Endpunkte geraten in den Kreuzfeuer der Operation. Die Kampagne beschränkt sich nicht auf die Router-Ebene.

Die Bedrohungsgruppe erweiterte ihre Reichweite auf Windows-Computer innerhalb derselben Netzwerke, indem sie einen Cobalt Strike Beacon – ein bekanntes Hacking-Framework – durch DLL-Sideloading einbrachte.

Eine bösartige Datei namens version.dll wird

Eine bösartige Datei namens version.dll wird in einen Ordner unter CrashReport.exe abgelegt; wenn der legitime Prozess ausgeführt wird, lädt er unbemerkt die Last des Angreifers zusammen mit sich selbst.

Der Beacon verbindet sich mit denselben Command-and-Control-Domänen wie das Router-Implantat und nutzt identische Webverkehrsmuster, Cookie-Marker sowie die gleiche Schlafzeit von fünfzig Sekunden zwischen den Check-ins. Diese enge Abstimmung zwischen beiden Angriffswerkzeugen bestätigt, dass keines isoliert eingesetzt wurde.

Derselbe Angreifer steuert beide Komponenten und arbeitet gemeinsam als Teil einer koordinierten Spionageoperation. Sicherheitsteams werden aufgefordert, umgehend alle Edge-Router auf unbefugte Firewall-Regeln zu berprfen, insbesondere solche, die DNS-Verkehr an unbekannte IP-Adressen weiterleiten.

Technischer Hintergrund

Alle aufgefhrten Domains und IP-Adressen mssen ohne Verzgerung an der Perimeter-Firewall blockiert werden. Linux-basierte Netzwerkgerte sollten auf die Dateien router.elf und client_rc_start untersucht werden, whrend Windows-Computer nach der bsartigen Version.dll sowie nach CrashReport.exe-Prozessen im Ordner AllUsers berprft werden mssen.

Langfristig sollten Organisationen die Integrittsberwachung der Firmware bei Netzwerkgerten durchsetzen, den Zugriff auf Verwaltungsfunktionen mittels Multi-Faktor-Authentifizierung einschrnken und Warnungen fr nderungen an Firewall-Regeln bei Routern und Gateways einrichten.

Indikatoren fr Kompromittierungen (IoCs): Dateiname: router.elf; Indikator: Primrer Linux-Router-RAT (benutzerdefiniertes Implantat). MD5-Hash: 6401cdc783b4afcbcc294954b4cc5dd2; Beschreibung: MD5-Hash von router.elf. SHA-256-Hash: Indikator: 6a43de021fa79dc3eb5f6ed509b605ef617f56af7de8b136698e5dd86c7775ae; Beschreibung: SHA-256-Hash von router.elf.

Dateiname: Indikator: client_rc_start; Beschreibung: Sekundärer Router-Backdoor

Dateiname: Indikator: client_rc_start; Beschreibung: Sekundärer Router-Backdoor für redundante Persistenz. MD5-Hash: Indikator: 92ED4D259940D4294190E60ADD5CC587; Beschreibung: MD5-Hash von client_rc_start. Dateiname: Indikator: version.dll; Beschreibung: Cobalt Strike Beacon DLL-Sideloading-Payload.

MD5-Hash: Indikator: 20C196FD5CF9A4845D048006321A52B8; Beschreibung: MD5-Hash von version.dll. Domain: Indikator: contextlayerrun.com; Beschreibung: C2-Domain für den Router-Implant. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern.

Entfangen Sie diese Adressen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrer SIEM. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenlecks sowie Malware-Angriffe.

Sicherheitslage und Risiko

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Microsoft Defender isoliert nun automatisch kompromittierte Geräte, um Ransomware-Angriffe zu stoppen. Eine Schwachstelle in Microsoft SharePoint Server ermöglicht Angriffe zur Ausführung von Remote-Code.

Ein Domain-Controller unter Windows Server 2016 kann bei einem Hostnamen mit 15 Zeichen ausfallen.