BadAudio-Malware aufgedeckt in APT24-Spionagekampagne

BadAudio-Malware wurde bekannt, nachdem Forscher eine langjährige Spionagekampagne der China-nahen Gruppe APT24 aufgedeckt hatten. Der Akteur nahm Windows-Systeme in mehreren Branchen ins Visier und nutzte eine Kombination aus Watering-Hole-Angriffen, zielgerichtetem Phishing und Kompromittierungen der Lieferkette, um die Schadsoftware zu verbreiten. Die Kampagne wuchs über drei Jahre hinweg stetig an und zeigte, wie fortgeschrittene Akteure heute mehrere Infektionswege kombinieren, um ihre Erfolgsquote zu erhöhen.

Wie APT24 die Malware auslieferte

APT24 setzte mehrere Auslieferungsmethoden ein. Die Gruppe kompromittierte mehr als zwanzig öffentliche Websites und injizierte schädliches JavaScript, das Besucher profilierte und ausgewählten Zielen gefälschte Update-Hinweise anzeigte. Da die Websites legitim wirkten, vertrauten viele Opfer den Hinweisen und installierten BadAudio-Malware ohne Verdacht.
Der Akteur drang außerdem in einen Anbieter digitaler Marketingdienste ein, der JavaScript-Bibliotheken an über tausend Domains auslieferte. Dieser Einbruch schuf einen Infektionsweg über die Lieferkette, bei dem schädliche Skripte auf viele nicht verwandte Websites gelangten. Diese Skripte ermöglichten es BadAudio-Malware, sich unauffällig in hochwertigen Netzwerken auszubreiten.
APT24 ergänzte dies durch zielgerichtete Phishing-Angriffe. Die Gruppe verschickte thematische E-Mails mit Tracking-Pixeln, um festzustellen, ob ein Ziel die Nachricht öffnete. Die E-Mails führten zu Cloud-Dateien, die sich als Dokumente oder Updates ausgaben. Sobald das Ziel die Datei öffnete, lieferte sie die erste Phase der BadAudio-Malware aus.

Wie BadAudio-Malware funktioniert

BadAudio-Malware nutzt Loader-Techniken, die die Analyse erschweren. Sie missbraucht die DLL-Suchreihenfolge, um schädlichen Code auszuführen, während sie sich als legitime Anwendung tarnt. Der Loader verwendet starke Obfuskation, die Analysten zwingt, jede Ausführungspfad manuell nachzuverfolgen.
Nach dem Start sammelt die Malware grundlegende Systeminformationen und verschlüsselt die Daten mit einem hartcodierten Schlüssel. Anschließend kontaktiert sie einen Command-and-Control-Server und lädt eine zusätzliche Payload herunter. Die Malware entschlüsselt diese Payload im Arbeitsspeicher und lädt sie per DLL-Sideloading, was ihr hilft, viele Erkennungsmethoden zu umgehen. Forscher beobachteten sogar Cobalt-Strike-Beacon-Aktivität in mindestens einer Infektionskette.

Warum die Erkennung so niedrig blieb

BadAudio-Malware blieb während der gesamten Kampagne schwer zu entdecken. Mehrere Proben lösten nur sehr wenige Antivirus-Warnungen aus. Die Kombination aus Obfuskation, Sideloading und vielfältigen Auslieferungswegen ermöglichte APT24 einen langanhaltenden Zugriff auf kompromittierte Systeme. Die geringe Sichtbarkeit verzögerte die Entdeckung und eröffnete dem Akteur weitreichende Möglichkeiten zur Informationsgewinnung.

Fazit

BadAudio-Malware zeigt, wie fortgeschrittene Bedrohungsakteure mehrere Angriffsvektoren kombinieren, um dauerhaften Zugriff zu sichern. APT24 führte eine mehrjährige Kampagne durch, die Lieferkettenangriffe, zielgerichtetes Phishing und Watering-Hole-Angriffe miteinander verband. Organisationen müssen ihre Überwachung verstärken, Drittanbieter-Code validieren und ungewöhnliche DLL-Aktivitäten genau beobachten. Die Aufdeckung von BadAudio-Malware verdeutlicht, wie schnell Spionageoperationen eskalieren können, wenn Erkennungslücken bestehen bleiben.