Seit Januar 2025 laufen offenbar wiederkehrende Cyberangriffe auf staatliche Organisationen in Zentralasien. Betroffen sind unter anderem Afghanistan, Kirgisistan, Tadschikistan, Usbekistan, Kasachstan sowie auch die Syrische Arabische Republik. Laut Kaspersky handelt es sich dabei um gezielte Angriffe auf Einrichtungen aus mehreren Bereichen – von Gesundheitswesen und Forschung bis hin zu Behörden, Logistik, Strafverfolgung sowie öffentlichen Bildungs- und Planungsstrukturen.
Im Zentrum der Analyse stehen zwei neuartige, verschleierte Backdoors, die als OctLurk und SilkLurk bezeichnet werden. Ergänzt wird das Setup durch ein spezielles Tool, das den Netzwerkverkehr vermittelt. Welche Einstiegsmethode genutzt wurde, bleibt zum Zeitpunkt der Berichterstattung unklar. Dennoch lässt sich anhand der beschriebenen Techniken gut erkennen, wie die Angreifer nach dem ersten Zugriff Kontrolle gewinnen und dauerhaft auf den kompromittierten Systemen bleiben.
Welche Organisationen und Sektoren stehen im Fokus?
Die betroffenen Zielgruppen betreiben laut den Forschern ihre Aktivitäten in verschiedenen Sparten. Dazu gehören unter anderem:
- Gesundheits- und Forschungseinrichtungen
- Regierungsstellen, Ministerien für Auswärtige Angelegenheiten
- Logistik- und Infrastrukturorganisationen
- Behörden und Einheiten im Bereich Strafverfolgung
- Stadtplanung sowie Facility-Management
- öffentliche Bildungseinrichtungen
Wichtig ist: Die Aktivität wurde nach Angaben von Kaspersky keinem zuvor bekannten Angreifer oder keiner eindeutig identifizierten Gruppe zugeordnet. Dennoch zeigen die verwendeten Werkzeuge und Abläufe typische Muster, die auf fortgeschrittene Operationen hindeuten.
OctLurk und SilkLurk: Zwei Backdoors, ein Multi-Plugin-Ansatz
Die Kampagne verwendet zwei neue Backdoors, die Forschende als OctLurk und SilkLurk verfolgen. Kennzeichnend ist vor allem ihre Ausführung und Erweiterbarkeit: Beide Familien sollen Plugins bzw. zusätzliche Module laden können, um weitere schädliche Aktionen nachzuladen oder anzupassen.
Die Backdoors gelten als stark verschleiert und arbeiten überwiegend im Arbeitsspeicher. Dadurch bleibt die Beobachtbarkeit reduziert, weil nur ein kleiner Loader auf der Festplatte verbleiben soll. Gleichzeitig erschwert das die forensische Analyse und das automatisierte Erkennen.
OctLurk: In-Memory-Ausführung und Kommando-Übermittlung
Bei OctLurk fanden die Analysten Hinweise darauf, dass die Schadsoftware in den Speicher injiziert und durch einen Loader bereitgestellt wird. Vor dem Start prüfen die Angreifer außerdem offenbar die Internetverfügbarkeit. Erst wenn die Bedingungen passen, wird eine Batch-Datei ausgeführt, die mit der Einrichtung des Proxy-Components (LurkProxy) verbunden ist.
Danach nimmt OctLurk Kontakt zu einer angegebenen Command-and-Control-Infrastruktur auf – in der Analyse wird dafür ein konkreter externer Zielserver genannt. Von dort empfängt die Backdoor Anweisungen und kann Funktionen erweitern, indem Plugins direkt in den Speicher eingebunden werden. Zu den beschriebenen Fähigkeiten gehören unter anderem das Starten von Befehlsshells, Dateioperationen, das Sammeln und Verändern von Zwischenablage-Inhalten sowie Screenshot-Aufnahmen und Mausbewegungen.
Welche Aktionen führt OctLurk nach dem Start aus?
Die nach Kompromittierung beobachtete Aktivität von OctLurk umfasst mehrere Schritte, die über reine Datenerfassung hinausgehen und sowohl Lateral Movement als auch Spionage unterstützen. Zu den genannten Aktivitäten zählen:
- Erfassen von Systeminformationen, anschließendes Verschlüsseln und Übermitteln an den C2-Server
- Ausführen von Befehlen zum Sammeln erfolgreicher Login-Ereignisse und Abfragen für bestimmte Benutzer
- Abgreifen von Kennworthashes über die Nutzung eines Tools, das auf Domain Controller abzielt
- Ein Keylogging-Modul, das sich als legitimes Tool tarnen soll, um Erkennung zu umgehen
- Entschlüsseln und Extrahieren gespeicherter Passwörter aus gängigen Browserprofilen
- Remote-Zugriff auf das betroffene System über einen Agenten
- Netzwerk-Scanning im internen und öffentlichen Umfeld, inklusive Identifikation von Diensten über Ports (z. B. SSH und Datenbankdienste)
- Versuche, diese Dienste mit Hilfe von Zugangsdaten aus einer Passwortdatei anzusprechen
- Anbindung an einen E-Mail-Server, Authentifizierung und anschließendes Sammeln bzw. Bearbeiten von E-Mail-Inhalten
Das Zusammenspiel aus Credential-Theft, Aufklärung, Remote Access und E-Mail-Manipulation deutet darauf hin, dass die Angriffe sowohl Spionage als auch Vorbereitung weiterer Schritte im Netzwerk beinhalten können.
LurkProxy: Netzwerkverkehr gezielt vermitteln
Neben den Backdoors spielt ein weiteres Tool eine Rolle: LurkProxy. Es ist darauf ausgelegt, Netzwerkverkehr zu protokollieren bzw. gezielt umzuleiten. Laut Analyse kann es in zwei Betriebsarten arbeiten: als SOCKS5-Proxy oder als transparenter Proxy. Wichtig ist dabei, dass die Malware zur gleichen Zeit nur in einem Modus agiert, um Datenpakete über die definierte Zieladresse weiterzuleiten.
Solche Proxy-Funktionen erleichtern es Angreifern typischerweise, ihren Verkehr besser zu strukturieren, Hops zu verbergen und Zugriffspfade in gesicherten Netzen zu nutzen.
SilkLurk: DLL-Side-Loading und Fernbefehle im Polling
Die dritte Komponente der Kampagne wird mit SilkLurk beschrieben. Der Start erfolgt offenbar über einen DLL-Mechanismus, bei dem eine DLL side-loading Kette verwendet wird. Anschließend erstellt die Backdoor einen TCP-Socket, verbindet sich mit einem im Konfigurationsprofil angegebenen C2-Server und übermittelt Informationen zum kompromittierten System.
Im Gegensatz zu reinen „Einmal“-Abläufen unterstützt SilkLurk eine interaktive Phase: Der Server kann Kommandos zurückschicken, etwa um lokale Systemzeit zu ermitteln, Abstände für Polling-Zyklen festzulegen oder Konfigurationen zu aktualisieren. Zudem kann SilkLurk weitere Plugins in den Speicher einbinden, wodurch die Fähigkeiten während der Kampagne erweitert werden können.
Konkrete Post-Compromise-Aktionen von SilkLurk
Für SilkLurk werden mehrere typische Schritte genannt, die auf das Ergreifen und Abfiltern sensibler Informationen abzielen. Dazu gehören:
- Start von cmd.exe zum Aufrufen von PowerShell, um mit administrativen Anmeldedaten auf freigegebene Netzlaufwerke zuzugreifen
- Suche und Bereitstellung vertraulicher Dokumente
- Trennen von den Netzfreigaben nach Abschluss
- Komprimieren gestohlener Daten mit legitimen Archivierungswerkzeugen wie WinRAR oder 7-Zip
- Start von cmd.exe zur Durchführung einer DLL side-loading Kette, um PlugX abzulegen (ein als Backdoor bekannter Bestandteil aus chinesischen Angreifernetzen)
Die Kombination aus Datenabzug, Verschleierung durch legitime Tools und dem Nachladen weiterer Malware zeigt, wie die Operation mehrere Stufen der Ausnutzung unterstützen kann.
Überschneidungen der Infrastruktur und Hinweise auf Weiterentwicklung
Kaspersky nennt außerdem Infrastruktur-Überlappungen zwischen dieser Kampagne und früheren Angriffen, die mit einem C++-basierten Implant namens SilentRaid in Verbindung gebracht wurden (auch unter weiteren Aliasnamen bekannt). Die genaue Frage, ob beide Aktivitäten gleichzeitig oder zu unterschiedlichen Zeitpunkten stattfanden, bleibt jedoch offen.
In jedem Fall unterstreicht die Einführung des OctLurk und SilkLurk-Multi-Plugin-Frameworks den Eindruck, dass Bedrohungsakteure ihre Methoden fortlaufend anpassen. Ziel ist dabei, Erkennung zu erschweren und die Kontrolle über kompromittierte Systeme zu behalten.
Warum die in-spezifischen Codierungen die Analyse erschweren
Ein besonders wichtiger Punkt aus der Analyse betrifft die Art, wie Payloads entschlüsselt und positioniert werden. Beide Backdoor-Familien sollen hauptsächlich im Speicher arbeiten. Auf dem System bleibt lediglich ein kleiner Loader zurück, der sich auf maschinenspezifische Daten stützt.
Für OctLurk wird genannt, dass die Entschlüsselung über die Laufwerksseriennummer erfolgt. Bei SilkLurk soll stattdessen der Computername verwendet werden. Diese victim-spezifische Codierung macht Reverse-Engineering und automatisierte Erkennung deutlich schwieriger, weil Identitäten und Payload-Standorte variieren.
Was Organisationen daraus ableiten können
Auch wenn der genaue Einstiegspfad noch unklar bleibt, liefern die beschriebenen Mechanismen konkrete Ansatzpunkte für die Verteidigung. Organisationen in betroffenen Regionen – und allgemein Organisationen mit vergleichbaren Systemlandschaften – sollten vor allem auf die Kombination aus Credential-Theft, Netzwerk-Scanning und Proxy-Nutzung vorbereitet sein.
Praktisch bedeutet das: Sensible Systeme sollten besonders überwacht werden (z. B. Anmeldungen, abweichende Login-Muster, Zugriffe auf Browser-Daten oder unerwartete Prozesse im Kontext von Kommandoshells). Zusätzlich hilft es, die Netzwerksegmentierung konsequent durchzusetzen, um Scans und Zugriff auf interne Dienste zu erschweren.
Schließlich lohnt es sich, Prozesse und Reaktionspläne so vorzubereiten, dass bei verdächtigen Signalen nicht nur ein „Einzellog“ isoliert behandelt wird, sondern das ganze Angriffskette-Denkmuster berücksichtigt wird.
Fazit
Die mutmaßliche Kampagne gegen zentrale asiatische Behörden zeigt, wie leistungsfähig moderne Backdoor-Frameworks geworden sind. OctLurk und SilkLurk setzen auf speichernahe Ausführung, verschleierte Module und erweiterbare Plugin-Mechanismen, um Funktionen wie Credential-Theft, Systemaufklärung, Datenexfiltration und Remote-Zugriff zu bündeln. Ergänzt wird das Ganze durch einen Proxy-Ansatz (LurkProxy), der den Netzwerkverkehr gezielt vermitteln kann.
Für betroffene Organisationen ist entscheidend, nicht nur einzelne Artefakte zu suchen, sondern Muster zu erkennen, die zu solchen In-Memory-Frameworks passen. So lassen sich verdächtige Aktivitäten schneller einordnen und die Zeit bis zur Eindämmung verkürzen.
Quelle: https://thehackernews.com/2026/08/suspected-chinese-speaking-hackers.html
