Spionage-Kampagne enttarnt:
Backdoor auf 1500 Servern gefunden

Das Sicherheitsunternehmen Nviso hat nach eigenen Angaben eine umfangreiche Cyberspionage-Kampagne aufgedeckt, bei der eine modulare Schadsoftware auf VShell-Basis zum Einsatz kam. Die Backdoor soll auf mehr als 1500 Servern installiert worden sein.

Wahrscheinlich staatlich unterstützt

Betroffen seien unter anderem Regierungsstellen, Forschungsinstitutionen sowie Einrichtungen im Gesundheits- und Militärbereich, darunter auch Organisationen in Europa, teilte das Unternehmen mit. Der vollständige Analysebericht ist nun öffentlich verfügbar.

Die Entdeckung geht auf eine forensische Untersuchung in einer europäischen Organisation zurück. Dabei stieß Nviso auf Hinweise, die schließlich zu einem Netzwerk von Command-and-Control-Servern führten. Diese Infrastruktur, über die Angreifer kompromittierte Systeme fernsteuern können, war demnach global verteilt, unter anderem in Regionen in Südamerika, Afrika und dem asiatisch-pazifischen Raum. Erst durch eine von Nviso entwickelte Erkennungsmethodik sei es gelungen, das Ausmaß der Kampagne sichtbar zu machen.


Nach Einschätzung der Sicherheitsexperten fügt sich der Vorfall in einen längerfristigen Trend ein: Staatlich unterstützte Angreifer setzten zunehmend auf unauffällige, langfristige Infiltrationsstrategien. Statt schnell Daten abzugreifen, gehe es verstärkt darum, dauerhaften Zugang zu kritischen Infrastrukturen zu gewinnen. Dazu würden auch Techniken genutzt, bei denen bereits vorhandene und eigentlich legitime Software missbraucht wird, was die Erkennung erheblich erschwere.

China im Verdacht

VShell selbst wurde ursprünglich als legitimes Open-Source-Projekt entwickelt, hat sich jedoch zu einem vielseitigen Werkzeug für Fernzugriffe entwickelt. Es unterstützt verschlüsselte Kommunikation, das Übertragen von Dateien, Bildschirmaufzeichnung und das Ausführen von Befehlen. Aufgrund seiner modularen Struktur lässt sich die Software in unterschiedlichen IT-Umgebungen einsetzen.

Zwar wird VShell häufig mit chinesischsprachigen Akteuren in Verbindung gebracht, doch aufgrund der offenen Verfügbarkeit könne die Malware nach Angaben von Nvisos auch von anderen Gruppen genutzt werden. Das Unternehmen warnt daher vor einer breiteren Bedrohungslage und empfiehlt Organisationen, ihre Systeme zu überprüfen. Hinweise zur Erkennung und Vorgehensstrategien wurden im Rahmen der Forschungsarbeit veröffentlicht. Die betroffenen Einrichtungen seien über die Vorfälle informiert worden.


Siehe auch: