Eine bislang unbekannte, mutmasslich mit China in Verbindung stehende Hackergruppe haben Sicherheitsforscher von Eset identifiziert. Mit ihren Angriffen nehmen die Hacker gezielt Regierungsnetze ins Visier. Die Gruppe mit dem Namen "LongNosedGoblin" missbrauche den Experten zufolge dabei ausgerechnet ein zentrales Verwaltungswerkzeug von Windows-Systemen: Gruppenrichtlinien (Group Policies), die üblicherweise in Active-Directory-Umgebungen eingesetzt werden. Auf diese Weise könnne sich die Schadsoftware unauffällig im Netzwerk ausbreiten – mit weitreichenden Folgen für betroffene Behörden.
"Der Missbrauch von Gruppenrichtlinien zur flächendeckenden Malware-Verteilung ist technisch anspruchsvoll und deutet auf eine hohe Expertise der Hacker hin", betont Eset-Forscher Anton Cherepanov. "In Kombination mit Cloud-basiertem Command & Control erschwert dies die Erkennung erheblich."
Nach Erkenntnissen von Eset liegt das Hauptaugenmerk von "LongNosedGoblin" in der Cyberspionage. Ziel seien vor allem Regierungsinstitutionen in Südostasien und Japan. Erste Spuren der Aktivitäten reichten mindestens bis September 2023 zurück, heisst es. Im Jahr 2024 stiessen die Forscher erstmals auf bislang unbekannte Schadprogramme im Netzwerk einer südostasiatischen Regierungsbehörde. Seit September dieses Jahres registrieren die Sicherheitsforscher erneut verstärkte Aktivitäten der Gruppe in der Region.
Bemerkenswert sei die Vorgehensweise der Angreifer: Die Schadsoftware werde nicht nur über kompromittierte interne Netzwerke verteilt, sondern nutzt auch legitime Cloud-Dienste wie Microsoft Onedrive, Google Drive – und in einem weiteren Fall sogar Yandex Disk – als Kommandozentrum für die Angriffe. Das erschwere die Erkennung erheblich.
Zum weiteren Repertoire von "LongNosedGoblin" gehören Eset zufolge auch mehrere spezialisierte Werkzeuge. So analysiere die Schadsoftware "NosyHistorian" den Browserverlauf gängiger Browser wie Chrome, Edge und Firefox, um gezielt weitere Angriffe zu planen. "Nosydoor" wiederum sammle detaillierte Systeminformationen, kommuniziere mit den Kontrollservern der Angreifer und könne unter anderem Dateien stehlen, löschen oder beliebige Befehle auf den kompromittierten Rechnern ausführen. Weitere Module seien auf den Diebstahl von Browserdaten, das heimliche Nachladen von Schadcode direkt im Arbeitsspeicher sowie das Mitschneiden von Tastatureingaben ausgelegt.
Aber auch Europa sei von den Angriffen von "LongNosedGoblin", so Eset weiter. "Wir haben später eine weitere Variante von Nosydoor entdeckt, die gezielt eine Organisation in einem EU-Mitgliedstaat angriff – mit abweichenden Techniken und unter Nutzung von Yandex Disk als Kontrollserver", erklärt Cherepanov. "Dies deutet darauf hin, dass die eingesetzte Malware möglicherweise von mehreren chinesischen Hackergruppen gemeinsam genutzt wird."
Für Behörden und Betreiber kritischer Infrastrukturen sei der Fund ein weiteres Warnsignal: Selbst etablierte Verwaltungsmechanismen und vertrauenswürdige Cloud-Dienste können von staatlich unterstützten Angreifern missbraucht werden und bleiben dabei lange unentdeckt.
