Eine neu identifizierte chinesischsprachige Hackergruppe mit der Bezeichnung UAT-7237 wurde dabei erwischt, wie sie es auf Webhosting und VPN Infrastruktur in Taiwan, laut einer Cisco Talos-Studie von Asheer Malhotra, Brandon White und Vitor Ventura.
Die Kampagne unterstreicht, dass Webhosting-Dienste weiterhin ein begehrtes Ziel für staatlich unterstützte Angreifer sind. Für Hosting-Käufer ist der Vorfall eine Erinnerung daran, dass Serverstandort, Patches und Sicherheitsmaßnahmen beim Hoster die Sicherheit der Website direkt beeinflussen können.
Was ist passiert?
Forscher von Cisco Talos haben herausgefunden, dass UAT-7237 seit mindestens 2022 aktiv ist. Es wird angenommen, dass es sich bei der Gruppe um eine Untergruppe eines größeren chinesischen APT-Clusters namens UAT-5918 handelt. Im Gegensatz zu Smash-and-Grab-Ransomware-Teams konzentriert sich diese Kampagne auf den langfristigen, heimlichen Zugriff auf Hosting-Systeme.
Statt schnellen finanziellen Gewinn streben die Angreifer nach Kontrolle über VPN und Cloud-Infrastruktur, also Ressourcen, die ihnen dauerhaften Zugriff auf vertrauliche Kommunikation und Daten ermöglichen.
Wie sind sie eingebrochen?
Die Angreifer verschafften sich zunächst Zugriff, indem sie ungepatchte, dem Internet ausgesetzte Server ausnutzten. Im Inneren setzten sie ein benutzerdefiniertes Tool namens „SoundBill“ ein, das weitere Payloads wie Cobalt Strike zur Fernsteuerung und Credential-Diebstahl-Programme wie Mimikatz lädt.
Sie stützten sich außerdem auf:
- Tools zur Rechteausweitung (JuicyPotato)
- Windows-Verwaltungsprogramme (SharpWMI, WMICmd)
- VPN Clients und RDP-Zugriff für Persistenz
- Techniken zum Sammeln von Anmeldeinformationen wie LSASS-Dumping
Anstatt sofort Web-Shells zu installieren, installierten die Angreifer SoftEther VPN Clients (auf Chinesisch konfiguriert), sodass sie sich seitlich bewegen und ihre Präsenz über einen längeren Zeitraum aufrechterhalten können, ohne Alarm auszulösen.
Weitere Informationen zu dieser Forschung über Cisco Talos Blog; IOCs für diese Forschung finden Sie auch hier GitHub-Repository.
Warum ist das für Hosting-Käufer wichtig?
Für Unternehmen und Entwickler, die einen Host auswählen, verdeutlicht dieser Vorfall drei Realitäten:
Patch-Management ist entscheidend
Die Angreifer nutzten veraltete Systeme aus. Ein zuverlässiger Webhoster sollte Software schnell aktualisieren und Kunden nicht bekannten Sicherheitslücken aussetzen.
Sicherheit ist Teil der Betriebszeit
Wir sprechen oft über Verfügbarkeitsgarantien, aber ein kompromittierter Server kann genauso schädlich sein wie ein Ausfall. Wenn Ihr Hosting-Anbieter seine Infrastruktur nicht sichert, kann Ihre Website zum Kollateralschaden einer größeren Spionagekampagne werden.
Managed Security ist eine Überlegung wert
Shared Hosting bietet oft nur begrenzte Isolation. VPS oder Managed WordPress Hosting bietet normalerweise stärkere Sicherheitsebenen, einschließlich Containerisolierung, dedizierte Firewalls oder Malware-Überwachung, die die Risiken durch Nachbarn auf demselben Server reduzieren.
Lektionen für Hosting-Benutzer
- Wählen Sie einen Host, der proaktives Patchen unterstützt. Fragen Sie, wie schnell sie Sicherheitsupdates bereitstellen.
- Suchen Sie nach Anbietern, die Malware-Scans, Intrusion Detection oder DDoS Schutz.
- Wenn Sie sensible Workloads ausführen, sollten Sie VPS-Hosting oder dediziertes Hosting in Betracht ziehen, die Ressourcen isolieren und das Risiko einer lateralen Bewegung reduzieren.
- Überwachen Sie Ihre eigene Kontoaktivität. Auch wenn Ihr Host die Sicherheit verwaltet, sollten Sie dennoch auf ungewöhnliche Anmeldeversuche oder neue Prozesse achten.
Fazit
Cyber-Spionage-Kampagnen wie UAT-7237 erinnern uns daran, dass die Webhosting-Infrastruktur im Mittelpunkt sowohl der Geschäftstätigkeit als auch der globalen Sicherheitsinteressen steht. Während diese Kampagne gezielt Taiwanesische Anbieter, die Techniken (Ausnutzung veralteter Server, Installation VPN Hintertüren, Sammeln von Anmeldeinformationen) sind nicht durch die Geographie beschränkt.
Für Websitebesitzer ist die Lektion einfach: Wählen Sie einen Host, der Sicherheit ernst nimmt.
Unabhängig davon, ob Sie einen E-Commerce-Shop, eine Mitgliederplattform oder eine Unternehmenssite betreiben, wirken sich die Patch-Geschwindigkeit und die Sicherheitslage Ihres Hosts direkt auf Ihr Risiko aus.
Wie immer empfehlen wir, die Hosting-Optionen sowohl im Hinblick auf die Leistung als auch auf die Sicherheit zu prüfen.
