Sicherheitsforscher von Volexity haben eine Cyber-Spionagekampagne aufgedeckt, bei der die, vermutete, chinesische Hackergruppe UNC5221 (auch VerdantBamboo genannt) über einen Zeitraum von mindestens 18 Monaten unbemerkt in Microsoft-365-Umgebungen aktiv war.
Die Angreifer haben dabei nicht nur die bereits bekannte Backdoor Brickstorm benutzt, sondern haben zusätzlich auch noch zwei unbekannte Programme namens Plenet und AgentPSD eingesetzt. Ziel war es natürlich, sich dauerhaft im Netzwerk festzusetzen, die Security zu umgehen und möglichst lange unentdeckt zu bleiben.
Zugang über VPN und gestohlene Zugangsdaten
Die Angreifer haben über eine SSL-VPN-Verbindung und gestohlene Anmeldedaten Zugriff auf die Microsoft-365-Umgebung des Unternehmens bekommen.
Laut Volexity sind die Angreifer deswegen so eingestiegen, um den Datenverkehr wie legitime Benutzeraktivitäten aussehen zu lassen und Sicherheitsmaßnahmen wie Conditional Access zu umgehen.
Selbst nachdem das Unternehmen den Angriff bereinigt hatte, ist es den Hackern erneut gelungen in das Netzwerk einzudringen. Wieder sind sie mit gestohlenen Zugangsdaten über den VPN-Zugang ins System und haben noch mehr Malware auf einem Synology-NAS installiert.
Auch Managed Service Provider betroffen
Die Untersuchung des Incidents hat ergeben, dass nicht nur das eigentliche Unternehmen kompromittiert war. Auch der zuständige Managed Service Provider (MSP) war schon seit ca. 18 Monaten infiltriert. Die Experten gehen davon aus, dass die Angreifer den MSP als Sprungbrett nutzten, um auf die Netzwerke ihrer Kunden zuzugreifen.
Das zeigt nur wieder, wie professionell moderne Cyber-Spionage mittlerweile abläuft. Die Angreifer kombinieren eigene entwickelte Malware mit legitimen Systemfunktionen, dadurch ihre Aktivitäten über die lange Zeit unerkannt geblieben sind.