OceanLotus-APT kompromittiert FireAnt-MetaKit in Supply-Chain-Angriff auf Aktieninvestoren

Technik und Auswirkungen

Forscher gehen davon aus, dass OceanLotus diese inländischen Ermittlungsmaßnahmen unterstützt hat und als digitale Komponente des staatlichen Überwachungsapparats fungierte. OceanLotus APT: Kompromittierung von FireAnt MetaKit.

FireAnt ist ein vietnamesisches Fintech-Unternehmen, das Echtzeit-Marktdaten, Werkzeuge für technische Analysen und KI-gestützte Investitionsinsights bietet. MetaKit ist ein spezialisierter Softwarekomponente innerhalb dieses Ökosystems, der darauf ausgelegt ist, Finanzdaten direkt in Handelsplattformen wie AmiBroker und MetaTrader einzuspeisen. Am 2.

Oktober 2025 erkannten Forscher den ersten bösartigen Payload, der von der legitimen Update-URL von FireAnt MetaKit unter http://metakit.fireant[.]vn/Software/setup.exe stammt. Die Konfigurationsdatei für das Update enthielt keinen Mechanismus zur Integritätsprüfung, sodass nichts vorhanden war, um zu verifizieren, ob die bereitgestellte Software echt war.

Technischer Hintergrund

Aufgrund dieser Lücke führte Metakit.exe den bösartigen Downloader stillschweigend aus, als wäre es eine routinemäßige Aktualisierung. Der Downloader profilierte dann den Host-Computer und übermittelte diese Daten an einen Staging-Server, um die nächste Stufe der Payload zu beantragen.

Die Infrastruktur des Angreifers entwickelte sich im Verlauf der Kampagne. Die Command-and-Control-Server nutzten zunächst die IP-Adresse 139.162.11[.]152, bevor sie auf 142.91.98[.]77 migrierten.

SPECTRALVIPER wurde anschließend über DLL-Side-Loading bereitgestellt, wobei eine Datei namens DtlCrashCatch.dll zusammen mit einem umbenannten ausführbaren Programm namens IntelAudioService.exe verwendet wurde, das den Backdoor in den Prozess OneDrive.Sync.Service.exe injizierte.

Technischer Hintergrund

SPECTRALVIPER Backdoor: Architektur und Fähigkeiten SPECTRALVIPER fungiert als voll funktionsfähiger Backdoor und kommuniziert über HTTPS mit seinem Command-and-Control-Server. Er sendet ein initiales Beacon an eine fest codierte URL und verschlüsselt Host-Informationen innerhalb des HTTP-Cookie-Headers.

In dieser Kampagne verwendete der Backdoor die Domain financemachinelearning[.]com, die sorgfältig so gestaltet wurde, dass sie sich in Netzwerkverkehr im Zusammenhang mit Börsenaktivitäten einfügt.

Die Malware unterstützt laterale Bewegungen durch ein Orchestrierungsmodell, bei dem eine Instanz als Controller fungiert und Befehle über benannte Rohrkanäle an andere infizierte Maschinen verteilt. Zudem kann sie zusätzliche Binärdateien oder Shellcode, die vom Server empfangen werden, in Zielprozesse injizieren.

Was die Studie zeigt

Bemerkenswert ist ein Fehler im Betriebsschutz, der interne Klassennamen in einer Probe unverändert ließ und Forschern einen seltenen Einblick in die zugrundeliegende Architektur des Backdoors ermöglichte.

Organisationen, die auf Investmenttools von Drittanbietern angewiesen sind, sollten die Integrität empfangener Software-Updates überprüfen, insbesondere wenn diese Anwendungen keine HTTPS-basierten Update-Protokolle verwenden. Das Update-Mechanismus von FireAnt MetaKit setzte keine TLS-Verschlüsselung ein und war somit der Abhörung ausgesetzt.

Unsignierte und unverifizierte Software-Updates sollten stets mit der gleichen Vorsicht behandelt werden wie verdächtige E-Mail-Anhänge. Indikatoren für Kompromittierungen (IoCs): URL: Indikator: http://metakit.fireant[.]vn/Software/setup.exe; Beschreibung: Legitime FireAnt MetaKit-Update-URL, die zur Auslieferung der bösartigen Last verwendet wurde.

Technik und Auswirkungen

URL: Indikator: http://metakit.fireant.vn/Software/version.xml; Beschreibung: Konfigurationsdatei für FireAnt MetaKit ohne Integritätsprüfung. URL: Indikator: https://financemachinelearning[.]com/apparatus/wind/twig/statement.html; Beschreibung: SPECTRALVIPER C&C-Baken-URL, die im Aktieninvestoren-Kampagnen eingesetzt wurde.

IP-Adresse: Indikator: 139.162.11[.]152; Beschreibung: Initialer C&C-Staging-Server (Akamai Connected Cloud). IP-Adresse: Indikator: 142.91.98[.]77; Beschreibung: Migrierter C&C-Staging-Server (LEASEWEB SINGAPORE PTE. LTD.).

IP-Adresse: Indikator: 139.180.128[.]42; Beschreibung: C&C-IP-Adresse, die mit der Domain gatewayrvcenter[.]com (IRT-CHOOPALL-AP) verknüpft ist. IP-Adresse: Indikator: 139.99.33[.]239; Beschreibung: C&C-IP-Adresse, die mit coachcybersecurity[.]com (OVH Singapore PTE. LTD.) verknüpft ist.

Technik und Auswirkungen

IP-Adresse: Indikator: 166.88.77.186; Beschreibung: C&C-IP-Adresse, die mit mxprodesign.com (Evyxt Enterprise) in Verbindung steht. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein Senior-Berichter für Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenlecks sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. CISA fordert Bundesbehörden auf, kritische Schwachstellen innerhalb von drei Tagen zu patchen. Forscher hat Google mit KI gehackt und 500.000 US-Dollar Bug-Bounty erhalten.

CISA warnt vor einer Check Point Security Gateway-Schwachstelle, die aktiv in Ransomware-Angriffen ausgenutzt wird.