APT37 Datenlöschung nutzt Android Find Hub aus

Der Datenlöschangriff von APT37 zeigt, wie nordkoreanische Akteure vertrauenswürdige Android-Funktionen als Waffen einsetzen, nachdem sie Anmeldeinformationen gestohlen haben. Die Gruppe nutzt Spear-Phishing, um Opfer zu kompromittieren, und löst anschließend über Find Hub Fernlöschungen aus, um Beweise zu vernichten und die Wiederherstellung zu verhindern.

Wie APT37 initialen Zugriff erhält

Die Angreifer beginnen mit zielgerichteten KakaoTalk-Nachrichten, die legitime Mitteilungen südkoreanischer Regierungsbehörden imitieren. Die Nachricht enthält eine signierte MSI- oder ZIP-Datei, die ein gefälschtes Fehlermeldungsfenster anzeigt. Die Datei installiert lautlos einen AutoIT-Loader, der Persistenz einrichtet und weitere Komponenten nachlädt.

Sicherheitsforscher verbanden die Payloads mit Werkzeugen, die häufig von APT37 und verwandten Gruppen eingesetzt werden, darunter RemcosRAT, QuasarRAT und RftRAT. Diese Tools geben dem Operator vollständige Kommando- und Kontrollfähigkeit und ermöglichen den Diebstahl von Google- und Naver-Kontozugangsdaten. Sobald APT37 Zugriff auf Cloud-Konten erhält, eskaliert der Angriff.

Missbrauch von Googles Find Hub

Der Datenlöschangriff von APT37 nutzt keine Android-Schwachstelle aus. Stattdessen missbraucht der Bedrohungsakteur die legitime Fernverwaltungsfunktion Find Hub.

Die Angreifer melden sich im Google-Konto des Opfers an, verfolgen den Standort des Geräts und wählen die Option zum Zurücksetzen auf Werkseinstellungen. Sie überwachen die GPS-Bewegung, um sicherzustellen, dass sich das Opfer nicht in der Nähe des Geräts befindet, was das Risiko einer Unterbrechung reduziert. Der Löschvorgang entfernt lokale Daten, unterbricht Kommunikationskanäle und verschleiert Spuren des vorherigen Eindringens.

Auswirkungen auf die Opfer

Forscher beobachteten intensive Angriffe auf Personen, die in Programmen für nordkoreanische Überläufer tätig sind. Ein Opfer unterstützte junge Überläufer, was auf ein klares nachrichtendienstliches Motiv hindeutet. Weitere Ziele fanden sich in den Bereichen Bildung, Regierung und Kryptowährungen.

Eine vollständige Zurücksetzung entfernt Protokolle, gespeicherte Nachrichten und Indikatoren, die die Aktivitäten der Angreifer offenbaren könnten. Der Operator behält jedoch häufig den Zugriff auf die Cloud-Konten des Opfers, was Folgekampagnen nach dem Reset ermöglicht.

Verteidigungsmaßnahmen

Sicherheitsteams können das Risiko des Datenlöschangriffs von APT37 reduzieren, indem sie die folgenden Maßnahmen umsetzen:

• Aktivieren Sie Multi-Faktor-Authentifizierung für Google- und andere hochwertige Konten.
• Nutzen Sie Schutzprogramme für Hochrisiko­konten, sofern verfügbar.
• Behandeln Sie unerwartete KakaoTalk-Anhänge als verdächtig.
• Bestätigen Sie dringende Nachrichten über einen zweiten Kommunikationskanal.
• Überwachen Sie ungewöhnliche Anmeldungen und Fernlöschbefehle.
• Halten Sie Off-Device-Backups bereit, um eine schnelle Wiederherstellung zu ermöglichen.

Diese Schritte schwächen die Angriffskette und schützen Nutzer, die Ziel von Spear-Phishing werden.

Fazit

Der Datenlöschangriff von APT37 macht deutlich, welche Risiken entstehen, wenn gestohlene Anmeldeinformationen mit legitimen Geräteverwaltungsfunktionen kombiniert werden. Der Bedrohungsakteur nutzt vertrauenswürdige Android-Werkzeuge, um Beweise zu löschen und Ermittlungen zu verzögern. Organisationen und Einzelpersonen müssen Kontosicherheit und proaktive Überwachung priorisieren, um eine Eskalation zu verhindern. Geeignete Kontrollen stärken die Resilienz gegenüber zukünftigen Kampagnen mit derselben Strategie.