MirrorFace APT: Eine anhaltende Cyberbedrohung, die auf Japan abzielt

Eine langjährige Spionageoperation

Japans Cybersicherheitslandschaft steht vor einer anhaltenden Herausforderung in Form von MirrorFace APT, einer hochentwickelten Cyber-Spionagegruppe, die vermutlich Verbindungen nach China hat. Dieser Bedrohungsakteur orchestriert seit mindestens 2019 gezielte Angriffe und konzentriert seine Bemühungen auf die Infiltration von Organisationen, Unternehmen und hochrangigen Personen in ganz Japan. Behörden der National Police Agency (NPA) und des National Center of Incident Readiness and Strategy for Cybersecurity (NCSC) haben MirrorFace als einen wichtigen Akteur bei Cyberoperationen bezeichnet, die darauf abzielen, Informationen im Zusammenhang mit der nationalen Sicherheit und dem technologischen Fortschritt zu sammeln.

MirrorFace und seine Verbindungen zu APT10

MirrorFace, auch bekannt als Earth Kasha, gilt als Mitglied der größeren APT10-Gruppe, die bereits in der Vergangenheit gegen mehrere Länder Cyber-Spionage betrieben hat. Die Gruppe hat für ihre Operationen eine Reihe von benutzerdefinierten und öffentlich verfügbaren Tools verwendet, darunter ANEL, LODEINFO und NOOPDOOR (auch als HiddenFace bezeichnet).

Die Bedrohungsgruppe ist dafür bekannt, Spear-Phishing-Taktiken anzuwenden und Sicherheitslücken auszunutzen, um in Zielsysteme einzudringen. Während Japan nach wie vor im Fokus steht, wurden ihre Aktivitäten auch in Taiwan und Indien beobachtet, was auf ein breiteres strategisches Interesse schließen lässt.

Kampagnen entwickeln sich im Laufe der Zeit

Die Aktivitäten von MirrorFace lassen sich in drei unterschiedliche Kampagnen unterteilen. Jede dieser Kampagnen nutzt spezifische Techniken und Tools, um in Netzwerke einzudringen und Daten abzugreifen:

Zielgerichtete Bekämpfung von politischen und medialen Akteuren (2019–2023)

Die erste große Kampagne, die von Dezember 2019 bis Juli 2023 dauerte, konzentrierte sich auf politische Institutionen, Medien, Regierungsstellen und Forschungsorganisationen. Durch den Einsatz von Spear-Phishing-E-Mails verteilten die Angreifer bösartige Payloads wie LODEINFO, NOOPDOOR und eine angepasste Variante von Lilith RAT (LilimRAT), die für die Informationsbeschaffung und den Fernzugriff entwickelt wurde.

Ausnutzung von Sicherheitslücken in kritischen Branchen (2023)

Zwischen Februar und Oktober 2023 kam es zu einer zweiten Angriffswelle, die den Fokus auf Branchen richtete, die für Japans wirtschaftliche und technologische Infrastruktur von entscheidender Bedeutung sind. Sektoren wie Halbleiterherstellung, Kommunikation, Luft- und Raumfahrt und Wissenschaft waren die Hauptziele. In dieser Phase wurden bekannte Schwachstellen in internetfähigen Geräten ausgenutzt, insbesondere in solchen, die mit Array Networks, Citrix und Fortinet in Verbindung stehen. Angreifer nutzten diese Schwachstellen aus und setzten Tools wie Cobalt Strike Beacon , LODEINFO und NOOPDOOR ein, um in Unternehmensnetzwerken Fuß zu fassen.

Aktuelle Taktiken und Anpassungen (2024–heute)

Die jüngste bekannte Kampagne, die im Juni 2024 auftauchte, konzentrierte sich erneut auf Hochschulen, Forschungseinrichtungen, Politiker und Medienschaffende. Spear-Phishing bleibt die primäre Einstiegsmethode, wobei Angreifer ANEL (auch UPPERCUT genannt) einsetzen, um Systeme zu kompromittieren und dauerhaften Zugriff zu erlangen.

Fortgeschrittene Techniken für Tarnung und Persistenz

MirrorFace hat bewiesen, dass es seine Taktiken anpassen kann, um moderne Sicherheitsmaßnahmen zu umgehen. Eine seiner bemerkenswerten Techniken besteht in der Verwendung von Remote-Tunneln in Visual Studio Code, wodurch die Gruppe verdeckt die Kontrolle über kompromittierte Systeme behalten und gleichzeitig der Entdeckung entgehen kann.

Darüber hinaus wurde beobachtet, dass die Gruppe bösartige Payloads in Windows Sandbox ausführte, einer Funktion, die für sichere Anwendungstests entwickelt wurde. Indem sie schädlichen Code in dieser isolierten Umgebung ausführen, stellen die Angreifer sicher, dass Spuren ihrer Aktivitäten beim Neustart des Systems verschwinden, wodurch verhindert wird, dass die forensische Analyse entscheidende Beweise zutage fördert.

Auswirkungen auf die Cybersicherheit und Verteidigung

Die fortgesetzten Aktivitäten von MirrorFace unterstreichen die sich entwickelnden Cyberbedrohungen, denen Japan und die gesamte Asien-Pazifik-Region ausgesetzt sind. Da sich die Gruppe auf nationale Sicherheit, Technologie und Industrie konzentriert, könnten ihre Aktivitäten erhebliche Auswirkungen sowohl auf die Regierungspolitik als auch auf die Sicherheitsstrategien des privaten Sektors haben.

Unternehmen, die in Hochrisikosektoren tätig sind, müssen wachsam bleiben und proaktive Cybersicherheitsmaßnahmen ergreifen, um solchen Bedrohungen entgegenzuwirken. Dazu gehört die Stärkung der E-Mail-Sicherheit, die regelmäßige Aktualisierung der Software zum Patchen bekannter Schwachstellen und der Einsatz fortschrittlicher Erkennungstools, die ungewöhnliche Netzwerkaktivitäten identifizieren können.

Ein anhaltender Cyber-Konflikt

Die Aktivitäten von MirrorFace APT unterstreichen die hartnäckige Natur der Cyber-Spionage und die Bedeutung koordinierter Cybersicherheitsmaßnahmen. Zwar konnten die Behörden die Methoden der Gruppe verfolgen und analysieren, aber die Herausforderung besteht weiterhin darin, ihre Auswirkungen einzudämmen und zukünftigen Angriffen einen Schritt voraus zu sein. Da die Bedrohungsakteure ihre Techniken ständig verfeinern, müssen Länder und Organisationen ihre Abwehrmaßnahmen verbessern, um vertrauliche Informationen vor unbefugtem Zugriff zu schützen.