Facebook enttarnt vietnamesische Hackergruppe APT32

Facebook hat überraschend die wahre Identität der Hackergruppe APT32 enthüllt, die als einer der aktivsten Gruppen weltweit gilt, die mit staatlicher Unterstützung agieren. Sie soll Verbindungen zur vietnamesischen Regierung unterhalten. Auf die Hacker stieß Facebooks Sicherheitsteam, als es Versuche von APT32 blockierte, Nutzer des Social Network mit Schadsoftware zu infizieren.

„Unsere Untersuchung brachte diese Aktivitäten mit der CyberOne Group in Verbindung, einem IT-Unternehmen in Vietnam, auch bekannt als CyberOne Security, CyberOne Technologies, Hành Tinh Company Limited, Planet und Diacauso“, sagten Nathaniel Gleicher, Head of Security Policy bei Facebook, und Mike Dvilyanski, Cyber Threat Intelligence Manager.

Den beiden Managern zufolge legte APT32 Konten und Seiten für nicht existierende Personen an, die sich als Aktivisten oder Unternehmen ausgaben. Per Social Engineering verbreiteten sie links zu mehreren Domains, die entweder gehackt oder von den Cyberkriminellen selbst betrieben wurden. Die Links wiederum führten Nutzer zu Phishing-Seiten oder zu Schadsoftware. Einige Links verwiesen sogar auf Android-Apps, die die Hacker zuvor in den offiziellen Google Play Store eingeschleust hatten – jeweils mit dem Ziel, Nutzer auszuspionieren.

Die Angriffe richteten sich gegen Menschenrechtsaktivisten und Vietnam und anderen Ländern, ausländische Regierungen, Nicht-Regierungsorganisationen, Nachrichtenagenturen und Unternehmen in zahlreichen Branchen. Als Gegenmaßnahme sperrte Facebook nicht nur die Konten und Seiten der Hacker, sondern auch deren Domains. Zudem veröffentliche es YARA-Regeln und Malware-Signaturen, die es anderen Sozialen Netzwerken und Sicherheitsanbietern ermöglichen, eigene Maßnahmen zum Schutz ihrer Kunden zu ergreifen.

Die APT32-Gruppe, die auch als OceanLotus bekannt ist, ist seit 2014 aktiv. Sie geht seitdem anscheinend gegen jegliche Ziele vor, die der vietnamesischen Regierung einen Vorteil bringen könnten. 2019 sollen die Hacker zahlreiche Autobauer wie BMW, Hyundai und Toyota angegriffen haben, um geistiges Eigentum zu stehlen, um den vietnamesischen Autobauer VinFast zu unterstützen, der wiederum vom vietnamesischen Staat finanziert wird. In diesem Jahr gingen die Hacker gegen Ziele vor, die über Informationen über das Corona-Virus verfügen könnten.

Der Cybersicherheitsfirma, die hinter der Hackergruppe stecken soll, ist laut Facebook immer noch aktiv. Allerdings sind die Website des Unternehmens und auch die offiziell hinterlegten Telefonnummern nicht mehr aktiv. Auch von ZDNet USA verschickte E-Mails mit der Bitte um eine Stellungnahme kamen als unzustellbar zurück.

Die Enthüllung der Identität der Hacker ist ungewöhnlich, weil schwer zu belegen. Bisher waren lediglich Strafverfolger oder anonyme Quellen dazu bereit, einzelne Hacker oder ganze Gruppen zu enttarnen. Einzige Ausnahme war bisher FireEye, dass Ende Oktober 2018 eine staatliche russische Forschungseinrichtung als Hintermänner der Triton-Malware beschuldigte. Gerüchten zufolge sollen russische Hacker nun an dem Unternehmen gerächt und seine Systeme kompromittiert haben.

WEBINAR

Beim Endpunkt-Schutz zählt jede Sekunde: Warum die Entschärfung in Echtzeit entscheidend ist

Carsten Maceus, Systems Engineer bei Fortinet, erläutert in diesem Webinar, wie eine moderne IT-Sicherheitsarchitektur in Unternehmen aussehen sollte. Er illustriert dies am Beispiel eines Fußballstadions wo Bengalos, Flitzer, Ordner und Zuschauer agieren. Spannend.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Salesforce schmiedet Datenallianz

Der CRM-Marktführer stellt ein neues Ökosystem vor, das die Integration von Kunden- und Marktdaten erleichtern…

9 Stunden ago

Microsoft veröffentlicht Notfall-Update für Windows Server 2019

Unter Umständen können derzeit die Mai-Patches für Windows Server 2019 nicht installiert werden. Das Update…

21 Stunden ago

Malware Gipy stiehlt Passwörter und Daten

Malware-Kampagne nutzt Beliebtheit von KI-Tools aus und tarnt sich als KI-Stimmengenerator und wird über Phishing-Webseiten…

2 Tagen ago

Podcast: Chancen und Risiken durch KI zum Schutz vor Hackerangriffen

Christoph Schuhwerk, CISO EMEA bei Zscaler, über den Einfluss von KI auf den permanenten Wettlauf…

3 Tagen ago

Außerplanmäßiges Update schließt Zero-Day-Lücke in Chrome

Von ihr geht ein hohes Risiko aus. Laut Google ist ein Exploit für die Chrome…

4 Tagen ago

Hacker setzen neuartige Infostealer gegen Unternehmen ein

Kaspersky stellt eine hohe Nachfrage nach datenstehlender Malware in kriminellen Kreisen fest. Die Infostealer sind…

4 Tagen ago