APT37-Hacker dringen mit neuer Malware in isolierte Netzwerke ein

APT37-Hacker haben neue Malware eingesetzt, um isolierte Netzwerke zu kompromittieren, was eine deutliche Eskalation im Bereich gezielter Cyber-Spionage darstellt. Forscher entdeckten ein Framework, das darauf ausgelegt ist, abgeschottete Systeme über Wechseldatenträger zu infiltrieren, anstatt sich auf herkömmliche Internetverbindungen zu stützen.

Luftisolierte Umgebungen werden häufig in Behörden, im Verteidigungssektor und in kritischen Infrastrukturen eingesetzt. Diese Netzwerke sind physisch von unsicheren Systemen getrennt, um Fernzugriffe zu verhindern. Die neue Kampagne zeigt jedoch, dass physische Isolation allein kein ausreichender Schutz ist, wenn Angreifer die Nutzung von Wechseldatenträgern ausnutzen können.

Wie die Infektionskette beginnt

Der Angriff startet mit einer bösartigen Windows-Verknüpfungsdatei. Öffnet ein Opfer diese Datei, wird ein PowerShell-Skript ausgeführt, das eingebetteten Shellcode extrahiert und den Infektionsprozess einleitet. Diese stufenweise Ausführung reduziert das Risiko einer sofortigen Entdeckung und ermöglicht es der Malware, weitere Komponenten dynamisch nachzuladen.

Nach der Aktivierung verteilt das Framework mehrere Schadmodule. Ein Loader lädt verschlüsselte Module nach, während ein weiteres Modul einen versteckten Ruby-basierten Interpreter installiert, um Persistenz zu gewährleisten. Die modulare Architektur erlaubt es den Angreifern, die Funktionen je nach Zielumgebung anzupassen.

Jede Phase arbeitet mit geringer Sichtbarkeit. Die Malware vermeidet auffällige ausgehende Kommunikationsmuster, die in überwachten Umgebungen Alarm auslösen würden.

Kompromittierung isolierter Netzwerke über USB-Geräte

APT37-Hacker nutzen Wechseldatenträger als Brücke in isolierte Netzwerke. Nachdem sie ein internetverbundenes System infiziert haben, überwacht die Malware angeschlossene USB-Geräte. Anschließend platziert sie versteckte Verzeichnisse und Schadkomponenten auf dem Datenträger.

Wird der USB-Stick später mit einem physisch isolierten System verbunden, aktiviert sich die Malware und installiert zusätzliche Module. Das Framework verwandelt den Wechseldatenträger in einen bidirektionalen Kommunikationskanal. Auf diese Weise können Angreifer Befehle in das isolierte Netzwerk einschleusen und gesammelte Daten exfiltrieren, sobald das Medium erneut mit einem vernetzten System verbunden wird.

Eine Backdoor-Komponente sammelt Systeminformationen und bereitet sensible Dateien für den Abfluss vor. Ein weiteres Modul bietet Spionagefunktionen wie Dateimanipulation und Remote-Shell-Zugriff, sobald die Kommunikation über den USB-Kanal wiederhergestellt ist.

Zuordnung zu APT37

Sicherheitsforscher führen die Operation auf APT37 zurück, eine nordkoreanische staatlich unterstützte Bedrohungsgruppe, die auch unter den Namen ScarCruft und Ricochet Chollima bekannt ist. Die Gruppe ist seit Jahren für gezielte Spionagekampagnen gegen strategische Sektoren bekannt.

Ermittler stellten Code-Übereinstimmungen und operative Muster fest, die mit früheren Aktivitäten von APT37 übereinstimmen. Der Einsatz maßgeschneiderter Loader und mehrstufiger Frameworks entspricht den bekannten Taktiken der Gruppe. Der Fokus auf verdeckte Persistenz und systematische Datensammlung deutet auf nachrichtendienstlich motivierte Ziele hin und nicht auf finanziell motivierte Cyberkriminalität.

Sicherheitsauswirkungen für isolierte Umgebungen

Die Kampagne legt strukturelle Schwächen bei Organisationen offen, die sich stark auf Luftisolierung als primären Schutzmechanismus verlassen. Prozesse rund um Wechseldatenträger eröffnen oft unterschätzte Angriffsflächen. Ohne strenge Kontrollen und kontinuierliche Überwachung können USB-Geräte selbst robuste Perimeter-Sicherheitsmaßnahmen umgehen.

Organisationen sollten klare Richtlinien für den Umgang mit Wechseldatenträgern etablieren und Endpunkte kontinuierlich überwachen. Gerätekontrolllösungen, verhaltensbasierte Erkennungssysteme und forensische Analysen isolierter Systeme können das Risiko reduzieren. Sicherheitsverantwortliche müssen zudem sicherstellen, dass Isolationsrichtlinien auch physische Medienprozesse umfassen.

Isolierte Netzwerke erfordern mehrschichtige Sicherheitsmodelle. Physische Trennung bleibt ein wichtiger Schutzmechanismus, muss jedoch durch strikte Prozesse und fortschrittliche Erkennungsfähigkeiten ergänzt werden.

Fazit

APT37-Hacker haben gezeigt, dass isolierte Netzwerke weiterhin verwundbar sind, wenn Wechseldatenträger als Infektionsvektor missbraucht werden. Ihr neues Malware-Framework kombiniert stufenweise Ausführung, modulare Schadkomponenten und verdeckte USB-Kommunikation, um abgeschottete Systeme zu infiltrieren und sensible Daten zu exfiltrieren. Organisationen, die auf physische Netzwerktrennung setzen, müssen den Umgang mit Wechseldatenträgern stärker absichern und ihre Überwachungsmaßnahmen ausbauen, um dieser sich entwickelnden Bedrohung wirksam zu begegnen.