Ein riesiges Netzwerk chinesischsprachiger Glücksspiel-Websites hilft Bedrohungsakteuren dabei, Malware- und Spionageinfrastruktur zu verbergen. Forscher warnen, dass Sicherheitsteams diese Domains häufig als harmlose Verstöße gegen Unternehmensrichtlinien abtun.
Forscher verfolgen 1,7 Millionen Casino-Websites
Infoblox gibt an, rund 1,7 Millionen chinesischsprachige Casino-Websites zu verfolgen, die mit illegalem Glücksspiel in Verbindung stehen. Nach Angaben des Unternehmens erleichtern diese Aktivitäten auch Steuerhinterziehung und nordkoreanische Geldwäsche.
Die Forscher entdeckten jedoch eine direktere Cybersicherheitsbedrohung innerhalb dieses weitläufigen Netzwerks. Einige Websites verbergen Command-and-Control-Infrastruktur, die mit dem Malware-Framework PeckBirdy verbunden ist.
Wenig bekannte, China nahestehende APT-Gruppen nutzen PeckBirdy Berichten zufolge gegen Unternehmen und Regierungsorganisationen in ganz Asien.
Die Größe des Casino-Ökosystems hilft dabei, bösartige Aktivitäten in einer großen Menge verdächtigen, aber scheinbar gewöhnlichen Glücksspiel-Datenverkehrs zu verbergen. Dadurch können Sicherheitsteams einen schwerwiegenden Angriff übersehen, nachdem sie eine Warnung lediglich als Verstoß eines Mitarbeiters gegen die Internetnutzungsrichtlinien eingestuft haben.
PeckBirdy nutzt Glücksspielseiten als Tarnung
PeckBirdy verwendet JScript, eine ältere Skriptsprache, die in verschiedenen Ausführungsumgebungen eingesetzt werden kann. Bedrohungsakteure haben das Framework über chinesischsprachige Glücksspiel- und Erwachsenen-Websites verbreitet.
Einige dieser Websites bieten tatsächlich illegale Glücksspieldienste und sogar Kundensupport an. Auf dem chinesischen Festland ist Glücksspiel seit Jahrzehnten verboten, doch Offshore-Betreiber richten ihre Angebote weiterhin an chinesischsprachige Nutzer.
Andere Websites imitieren lediglich legitime Online-Casinos. Ihre Glücksspieloberflächen dienen als Kulisse, hinter der sich Malware-Verbreitung und Command-and-Control-Aktivitäten verbergen.
Infoblox identifizierte außerdem eine PeckBirdy-Command-and-Control-Domain, für die VirusTotal zum Zeitpunkt der Veröffentlichung der Forschungsergebnisse keine Erkennungen meldete. Dadurch konnte die Infrastruktur betrieben werden, ohne Warnungen des Scan-Dienstes auszulösen.
Gefälschte Updates verleiten Besucher zur Installation von Malware
Bei einer Kampagne schleusten Angreifer bösartige Skripte in Glücksspiel-Websites ein. Diese Skripte luden PeckBirdy und zeigten gefälschte Seiten für Softwareupdates an.
Die gefälschten Hinweise sollten Besucher dazu bringen, Malware herunterzuladen und zu installieren. Da die Seiten über Websites erschienen, die bereits verdächtig wirkten, konnten Sicherheitsteams die Aktivitäten leicht falsch einordnen.
Forscher fanden außerdem PeckBirdy-Links auf kompromittierten Regierungswebsites. In anderen Fällen führten Angreifer das Framework über MSHTA aus.
MSHTA ist eine legitime Windows-Komponente, die Microsoft HTML Application-Code ausführt. Cyberkriminelle missbrauchen solche vertrauenswürdigen Systemtools häufig, da sie bösartigen Skripten dabei helfen können, einer Erkennung zu entgehen.
Große Cloud-Plattformen hosten Teile des Netzwerks
Einige der Casino-Websites nutzen Infrastruktur großer US-amerikanischer Cloud- und Technologieanbieter. Die Forscher identifizierten Dienste, die mit Amazon, Microsoft, Cloudflare und Google verbunden sind.
Die Unternehmen unterstützen die bösartigen Aktivitäten möglicherweise nicht wissentlich. Stattdessen könnten Angreifer gestohlene Konten verwenden oder die tatsächlichen Eigentümer ihrer Infrastruktur auf andere Weise verschleiern.
Infoblox bezeichnete diese Vorgehensweise als Infrastrukturwäsche. Bedrohungsakteure nutzen seriöse Hosting-Plattformen, um bösartige Systeme vertrauenswürdiger erscheinen zu lassen und ihre Abschaltung zu erschweren.
Dieser Ansatz stellt Sicherheitsteams vor eine erhebliche Herausforderung. Eine vollständige Blockierung großer Cloud-Anbieter könnte legitime Geschäftsabläufe beeinträchtigen. Gleichzeitig können Angreifer zwischen Konten, Domains und Diensten wechseln.
Sicherheitsteams könnten wichtige Warnungen ignorieren
Das chinesische Casino-Malware-Netzwerk profitiert davon, wie Organisationen riskante Internetaktivitäten klassifizieren.
Eine Sicherheitswarnung im Zusammenhang mit einer Glücksspiel- oder Erwachsenen-Website kann den Eindruck erwecken, dass lediglich ein Mitarbeiter gegen Unternehmensrichtlinien verstößt. Daher könnte ein Analyst den Fall schließen, ohne die Netzwerkverbindungen der Domain oder heruntergeladene Inhalte zu untersuchen.
Die PeckBirdy-Betreiber verlassen sich auf diese Reaktion. Die meisten dieser Websites ähneln tatsächlich den illegalen Glücksspiel- oder Erwachsenenplattformen, als die sie sich ausgeben. Dadurch erscheint es zunächst nachvollziehbar, die Warnung als weniger relevant einzustufen.
Dieselben Domains können jedoch bösartige Skripte laden, Besucher zu gefälschten Updates weiterleiten oder mit Command-and-Control-Servern kommunizieren.
Sicherheitsteams sollten Casino-Domains untersuchen
Infoblox fordert Sicherheitsteams dazu auf, Warnungen zu Casino-Domains nicht mehr pauschal als routinemäßige Vorfälle im Zusammenhang mit der Internetnutzung zu behandeln. Analysten sollten zugehörige Downloads, Skripte, Weiterleitungen und externe Verbindungen untersuchen, bevor sie eine Warnung schließen.
Sie sollten außerdem Aktivitäten im Zusammenhang mit unbekannten chinesischsprachigen Glücksspiel- und Erwachsenen-Websites untersuchen. Verbindungen zu seriöser Cloud-Infrastruktur bedeuten nicht automatisch, dass eine Domain sicher ist.
Die Forschung zeigt, wie Angreifer ausgeklügelte Kampagnen in einem Ökosystem verbergen können, das Sicherheitsteams bereits als unseriös betrachten. Indem chinesische Casino-Malware-Betreiber diese Annahme ausnutzen, können sie Spionageaktivitäten praktisch vor aller Augen verbergen.
0 Kommentare zu „Chinesisches Casino-Malware-Netzwerk verbirgt PeckBirdy-Angriffe“