MarsSnake-Hintertür: Ein heimliches Cyber-Tool für globale Spionage

Eine weitere digitale Bedrohung entsteht

Im Bereich globaler Cyberspionage erregt eine neu entdeckte Hintertür namens MarsSnake die Aufmerksamkeit von Sicherheitsanalysten. MarsSnake wird mit einer schwer fassbaren Bedrohungsgruppe namens UnsolicitedBooker in Verbindung gebracht, die vermutlich Verbindungen nach China unterhält. Die Hintertür tauchte im Zuge einer Reihe von Cyberangriffen auf, die sich gegen eine internationale Organisation mit Sitz in Saudi-Arabien richteten.

UnsolicitedBooker, obwohl relativ unauffällig, hat Berichten zufolge gezielt Phishing-Kampagnen eingesetzt, um sich Zugang zu verschaffen. Diese E-Mails wirken legitim – oft mit Flugbuchungen als Köder – und wurden an Organisationen in ganz Asien, Afrika und dem Nahen Osten verschickt. Der anhaltende Charakter dieser Angriffe mit dokumentierten Vorfällen in den Jahren 2023, 2024 und erneut Anfang 2025 deutet auf ein anhaltendes Interesse an bestimmten geopolitischen Zielen hin.

Die Anatomie des Angriffs

Die Infiltrationsmethode der MarsSnake-Kampagne zeugt von einer gut geplanten Operation. Die Angreifer verschickten E-Mails, getarnt als Nachrichten von Saudia Airlines, samt Microsoft-Word-Anhang, der einen vermeintlichen Flugplan enthielt. Obwohl das Dokument harmlos wirkte, war es mit einem Makro manipuliert, das nach Aktivierung eine ausführbare Datei namens smssdrvhost.exe auf dem Computer des Opfers ausführte.

Diese Datei fungiert als Loader und installiert die MarsSnake-Backdoor. Sobald MarsSnake aktiv ist, stellt es Kontakt zu einem externen Command-and-Control-Server (C&C) her und ermöglicht den Angreifern so die Interaktion mit dem kompromittierten System. Der Zugriff, den MarsSnake ermöglicht, umfasst die Ausführung von Befehlen, die Manipulation von Dateien und möglicherweise die Installation weiterer Schadsoftware – alles ferngesteuert über die Infrastruktur des Angreifers.

Was ist MarsSnake und warum ist es wichtig?

MarsSnake ist nicht nur eine Backdoor, sondern auch ein äußerst leistungsfähiges und flexibles Werkzeug für die Cyberspionage. Da es ein breites Spektrum an Operationen ausführen kann, ist es ein wertvolles Werkzeug für jede Advanced Persistent Threat (APT)-Gruppe. MarsSnake ist derzeit exklusiv für UnsolicitedBooker verfügbar, was auf eine Spezialisierung seiner Entwicklung und Bereitstellung hindeutet.

Diese Exklusivität wirft auch Fragen zu den strategischen Zielen ihres Einsatzes auf. Cybersicherheitsexperten gehen davon aus, dass MarsSnake kein Werkzeug für Massenangriffe ist, sondern für die gezielte Infiltration bestimmter, hochrangiger Institutionen konzipiert ist. Die wiederholten Angriffe auf eine einzelne Organisation in Saudi-Arabien deuten darauf hin, dass das Ziel eher die langfristige Informationsbeschaffung als schnelle finanzielle Gewinne oder Störungen ist.

Verbindungen zu anderen Bedrohungsakteuren

Obwohl UnsolicitedBooker ein relativ neuer Name im APT-Ökosystem ist, ähneln seine Taktiken und Tools denen anderer mit China verbundener Gruppen. Die Verwendung bekannter Backdoors wie Chinoxy, DeedRAT , Poison Ivy und BeRAT entspricht dem Verhalten, das bei Operationen beobachtet wurde, die Bedrohungsclustern wie Space Pirates und APT15 zugeschrieben werden.

Darüber hinaus wurden ähnliche Kampagnen von Gruppen wie DigitalRecyclers beobachtet, einer weiteren Organisation, die unter dem Dach von APT15 operiert. DigitalRecyclers hat europäische Regierungsbehörden mit einer eigenen Malware-Suite, darunter einer Backdoor namens HydroRShell , ins Visier genommen. Wie MarsSnake ist HydroRShell auf die Remote-Befehlsausführung ausgelegt und nutzt ausgeklügelte Methoden zur Kommunikation mit seinem Kontrollserver, darunter Googles Protocol Buffers (Protobuf).

Das Gesamtbild: Was sind die Auswirkungen?

Die Entdeckung von MarsSnake und verwandten Kampagnen verdeutlicht die Entwicklung einer Cyber-Bedrohungslandschaft, in der Hintertüren immer ausgefeilter und auf ihre Ziele zugeschnitten werden. Für internationale Organisationen, insbesondere in den Bereichen Regierung, Diplomatie und kritische Infrastruktur, unterstreicht die Existenz von Tools wie MarsSnake die Bedeutung robuster Cybersicherheitsmaßnahmen.

Diese Angriffe spiegeln auch die allgemeinen geopolitischen Spannungen im digitalen Bereich wider. Im Wettstreit der Nationen um strategische Vorteile ist Cyberspionage zu einer beliebten Taktik geworden. Tools wie MarsSnake sind Teil eines breiteren Trends, bei dem staatlich verbündete Gruppen langfristige Überwachungsoperationen durchführen, um sensible Informationen zu sammeln.

Vorwärts gehen

Auch wenn MarsSnake den Durchschnittsnutzer möglicherweise nicht beeinträchtigt, signalisiert seine Präsenz doch den wachsenden Bedarf an internationaler Zusammenarbeit im Bereich Cybersicherheit. Unternehmen müssen wachsam gegenüber Spear-Phishing-Kampagnen sein und in Tools zur Bedrohungserkennung investieren, die subtile, langfristige Angriffe identifizieren können.

Für Forscher und Verteidiger bietet die Verfolgung von Malware-Familien wie MarsSnake wertvolle Einblicke in die Fähigkeiten und Absichten von Bedrohungsakteuren. Kontinuierliche Analysen und der Austausch von Bedrohungsdaten sind unerlässlich, um diesen ausgeklügelten Kampagnen immer einen Schritt voraus zu sein.

MarsSnake ist vielleicht nur ein Teil eines größeren Cyber-Puzzles, aber sein Auftauchen ist eine klare Erinnerung daran, dass der Kampf um die digitale Vorherrschaft noch immer in vollem Gange ist – und sich ständig weiterentwickelt.