Die Google Threat Intelligence Group (GTIG) hat eine neue Angriffstechnik analysiert, mit der staatlich unterstützte Akteure aus Nordkorea Schadsoftware über öffentliche Blockchains steuern. Die Methode erschwert Ermittlungen und könnte die Bekämpfung solcher Angriffe langfristig komplizierter machen.

Foto: Ps - stock.adobe.com Foto: Privat Robert Wallace, Consulting Leader bei Mandiant – Google Cloud und Mitautor der Untersuchung Die Google Threat Intelligence Group (GTIG) hat neue Forschungsergebnisse veröffentlicht, die den Einsatz einer bisher nicht beobachteten Angriffstechnik durch die nordkoreanische Bedrohungsgruppe UNC5342 dokumentieren. Die Methode, die den Namen „EtherHiding“ trägt, nutzt dezentrale Blockchain-Strukturen, um Steuerbefehle für Malware zu verschleiern und damit Angriffe widerstandsfähiger gegen Gegenmaßnahmen zu machen.

GTIG zufolge handelt es sich um den ersten bekannten Fall, in dem ein staatlich unterstützter Akteur die EtherHiding-Technik einsetzt. Das Team beobachtete die Methode im Rahmen einer Social-Engineering-Kampagne, die von Palo Alto Networks als „Contagious Interview“ bezeichnet wurde. Ziel der Angriffe ist es, Entwickler zur Installation infizierter Software zu verleiten – mit dem Ziel, Kryptowährungen und sensible Daten zu stehlen.

Malware über die Blockchain gesteuert

Die Kampagne von UNC5342 folgt einem mehrstufigen Infektionsprozess, der Windows-, macOS- und Linux-Systeme betrifft. Besonders bemerkenswert ist die Art der Steuerung: Der Schadcode wird in einer öffentlichen, unveränderlichen Blockchain gespeichert und über sogenannte „Read-only“-Abfragen abgerufen. Dadurch behalten die Angreifer laut GTIG kontinuierliche und anonyme Kontrolle über ihre Operationen. Gleichzeitig können sie die Schadsoftware flexibel aktualisieren, ohne ihre Infrastruktur offenzulegen oder verwundbar zu machen.

Diese Nutzung der Blockchain als Kommunikationskanal macht traditionelle Gegenmaßnahmen weitgehend wirkungslos. Da die Daten in der Blockchain nicht gelöscht oder verändert werden können, lassen sich die Angriffe kaum unterbrechen.

Eine neue Eskalationsstufe der Bedrohungslandschaft

Der Einsatz von EtherHiding durch eine staatlich unterstützte Gruppe markiert aus Sicht von Sicherheitsexperten einen Wendepunkt. „Diese Entwicklung signalisiert eine neue Eskalationsstufe in der Bedrohungslandschaft“, erklärt Robert Wallace, Consulting Leader bei Mandiant – Google Cloud und Mitautor der Untersuchung. „Staatlich unterstützte Angreifer setzen nun auf Techniken, um Malware zu verbreiten, die gegen Abschaltungen durch Strafverfolgungsbehörden resistent ist und sich leicht für neue Kampagnen anpassen lässt.“

Mit der Veröffentlichung ihrer Untersuchung will die GTIG auf die wachsende Herausforderung hinweisen, die durch den Missbrauch öffentlicher Blockchain-Technologien im Cyberkontext entsteht. Während dezentrale Systeme ursprünglich für Transparenz und Unveränderlichkeit konzipiert wurden, zeigen aktuelle Entwicklungen, dass dieselben Eigenschaften auch für verdeckte und schwer nachvollziehbare Angriffe genutzt werden können.

Der vollständige Forschungsbericht der Google Threat Intelligence Group ist online verfügbar.