Forschende haben eine neue Cyber-Espionage-Kampagne identifiziert, die sich gegen Regierungs- und IT-Institutionen in Myanmar richtet. Im Fokus steht die Kampagne Operation QUICSILVER, die dabei eine mehrstufige Infektionskette einsetzt, um eine Go-basierte Hintertür namens QUICAgent zu platzieren.
Die Aktivität wurde erstmals im April 2026 beobachtet. Seitdem fanden Analysten weitere Artefakte in den Folgemonaten, die auf eine fortlaufende Weiterentwicklung der Methode hindeuten. Nach Einschätzung der Beteiligten handelt es sich mit moderater Zuversicht um das Werk eines China-nahen Bedrohungsakteurs.
Lockvogel: Einladung zur Abschlussfeier als Köder
Ein zentrales Element der Operation QUICSILVER sind Lockvögel, die Nutzer zur Interaktion verleiten sollen. Bei der ersten Sichtung diente eine manipulierte Datei mit dem Namen „HolidayNotice.pdf.exe“ als Einstieg. Dazu wurde ein fälschtes belgisch-myanmarisches Feiertagskalender-Dokument präsentiert.
Später fanden Forschende weitere Artefakte, die die Infektionskette über eine Virtual Hard Disk (VHD) anstoßen. In dieser VHD befindet sich ein Windows Shortcut (LNK), der so gestaltet ist, dass er wie ein PDF-Dokument wirkt. Wird das vermeintliche PDF geöffnet, erscheint zunächst ein Decoy: eine offizielle Einladung zur Abschlussfeier, verfasst in burmesischer Sprache.
Die Einladung ist als Mitteilung des Information Technology and Cyber Security Department (ITCSD) dargestellt, das dem Ministerium für Transport und Kommunikation in Myanmar zugeordnet ist. Die täuschende Wirkung soll den Nutzer ablenken, während im Hintergrund weitere Schritte starten.
Unauffälliger Start: ftp.exe als legitim signiertes Werkzeug
Während die Lockvogel-Information auf dem Bildschirm sichtbar bleibt, startet die Shortcut-Datei einen weiteren Bestandteil der Kette: Sie bringt ftp.exe zum Einsatz. Dabei handelt es sich um eine legitime, Microsoft-signierte Windows-Komponente.
Bemerkenswert ist, dass die Kampagne dabei eine spezielle Option nutzt, um Befehle aus einer lokalen Skriptdatei auszuführen. Dadurch kann der Angreifer die eigentliche Schadlogik in nachgelagerten Dateien unterbringen und gleichzeitig die Interaktion nach außen hin harmlos wirken lassen.
Payload-Rekonstruktion aus zwei „Dokumenten“-Teilen
Ein weiterer Schritt sorgt dafür, dass der eigentliche Code nicht einfach als einzelne Datei geliefert werden muss. Die Forschenden beschreiben, dass das Skript nach zwei Dokumentdateien sucht: header.doc und body.doc. Diese liegen im versteckten Verzeichnis _rels.
Im Anschluss werden die beiden Teile mithilfe des nativen Windows-Befehls copy /b zusammengefügt. Das Ergebnis ist die Rekonstruktion der nächsten Stufe, also des eigentlichen Payload-Inhalts, der dann weiterverarbeitet und aktiviert wird. So lässt sich die Nutzlast stärker verschleiern und analysen erschweren.
QUICAgent: Go-basierte Hintertür mit Sandbox-Umgehung
Die entdeckte zweite Stufe ist ein Implant, das in Go entwickelt wurde und den Namen QUICAgent trägt. Vor dem Aufbau der Verbindung zu einem Command-and-Control-Server (C2) führt es Mechanismen zur Sandbox-Evasion durch.
Dazu gehört unter anderem eine zufällige Verzögerung im Bereich von 100 bis 600 Millisekunden. Zusätzlich werden 1.000 Iterationen von SHA-256-Hash-Berechnungen ausgeführt. Ziel ist es, automatisierte Sandbox-Ausführungszeitlimits gezielt auszureizen.
Erst wenn diese Prüfungen die Wahrscheinlichkeit einer realen Umgebung erhöhen, versucht das System den nächsten Schritt: die Kommunikation mit dem C2.
QUIC-Kommunikation über dynamisch gelöste C2-Adresse
Die Operation QUICSILVER nutzt für die C2-Ermittlung einen dynamischen Prozess. QUICAgent sendet dafür einen HTTP-GET an zwei Cloudflare Workers-Domains. Aus der Antwort wird dann die Basisadresse für den Server abgeleitet.
Nachdem die Adresse ermittelt wurde (genannt wird dabei 104.64.211[.]22), wird ein Port 443 ergänzt, um das endgültige Ziel zu bilden. Für die eigentliche Kommunikation verwendet die Schadsoftware QUIC über UDP-Port 443. Damit weicht sie von klassischen HTTP(S)-Mustern ab und kann sich im Netzwerk leichter an unternehmensübliche Muster anpassen.
Der erste Kontakt enthält außerdem grundlegende Informationen über den kompromittierten Host. Laut den Analysen erfolgt ein Beaconing im Abstand von fünf Sekunden. Jeder infizierte Rechner erhält dafür eine eindeutige Kennung, die als X-Agent-ID beschrieben wird.
Begrenzte Befehle, klare Funktionen
Obwohl QUICAgent insgesamt als eher „schlicht“ charakterisiert wird, deckt es mehrere relevante Funktionen ab. Es unterstützt fünf Befehlsarten, darunter das Ausführen von Kommandos, das Übertragen von Dateien, das Durchsuchen von Verzeichnissen sowie das Anpassen des Beacon-Intervalls. Damit lassen sich infizierte Systeme relativ gezielt steuern, ohne dass sofort ein sehr komplexes Tooling erforderlich wäre.
Persistenz über LNK in den Startup-Ordnern
Damit die Hintertür nach einem Neustart oder nach dem erneuten Login weiter aktiv bleibt, setzt die Kampagne auf Persistenz. Konkret wird eine LNK-Datei im Windows Startup-Ordner des aktuellen Benutzers platziert. Beim nächsten Anmelden wird die Datei automatisch ausgeführt, wodurch der Zugriff wiederhergestellt wird.
Diese Methode ist in Umgebungen mit Windows-typischen Nutzerprofilen vergleichsweise zuverlässig und erfordert keine tiefen Rechteanforderungen über das normale Benutzerkonto hinaus.
Einordnung: Verbindung zu weiteren China-nahen Aktivitäten
Die Veröffentlichung der Erkenntnisse erfolgt nicht im luftleeren Raum. Im selben Umfeld wurde berichtet, dass der mit China in Verbindung gebrachte Akteur Mustang Panda eine aktualisierte Version eines bekannten Backdoors namens COOLCLIENT einsetzte.
Dabei geht es um zusätzliche Fähigkeiten, darunter das Bereitstellen eines signierten Kernel-Treibers mit dem Namen Msagent.sys. Solche Kernel-Mode-Erweiterungen sollen die Tarnung verbessern. Laut den genannten Beobachtungen wird die Komponente über PlugX mithilfe von DLL sideloading installiert.
Für COOLCLIENT werden Funktionen wie Keylogging, Diebstahl von Zwischenablagedaten, Credential Harvesting, Dateiverwaltung, Systemabfragen sowie pluginbasierte Erweiterungen beschrieben. Besonders hervorzuheben ist, dass der Treiber den Prozess verstecken und zugehörige Dateien sowie Registry-Einträge schützen soll, wodurch Inspektion und Manipulation erschwert werden.
Die Forschenden ordnen die neuen Hinweise in den Kontext von Intrusionen ein, die unter anderem in Myanmar, aber auch in weiteren Ländern wie Mongolei, Pakistan und Russland beobachtet wurden. Insgesamt deuten die Informationen darauf hin, dass mehrere Bausteine eines größeren Vorgehenssystems parallel verbessert und kombiniert werden.
Warum diese Kampagne besonders aufmerksam macht
Die Operation QUICSILVER fällt vor allem durch die Kombination mehrerer Taktiken auf: ein glaubwürdig gestalteter Lockvogel, eine mehrstufige Rekonstruktion der Payload aus Dokumentteilen sowie die Nutzung eines legitimen Tools (ftp.exe) als Zwischenschritt. Ergänzt wird das Ganze durch Sandbox-Umgehung und eine ungewöhnlich wirkende C2-Verbindung über QUIC.
Für Unternehmen und Behörden bedeutet das: Selbst wenn die Dateianmutung harmlos wirkt, können die technischen Details im Hintergrund stark von Standardmustern abweichen. Besonders relevant sind daher Maßnahmen wie das Überwachen ungewöhnlicher Prozessketten, das Erkennen von LNK-basierten Ausführungen und das Analysieren von Netzwerkverbindungen, die QUIC-typische Muster über UDP 443 zeigen.
Fazit
Die Forschung zu Operation QUICSILVER zeigt, wie gezielt Cyberangreifer Social Engineering mit technischer Verschleierung verbinden. Mit QUICAgent, einer rekonstruierten Go-Payload, Sandbox-Umgehung und einer dynamisch aufgebauten C2-Anbindung entsteht eine Kampagne, die auf reale Zielsysteme abzielt und ihre Spuren bestmöglich reduziert.
Wer in relevanten Umgebungen tätig ist, sollte die beschriebenen Muster als Warnzeichen verstehen und Sicherheitskontrollen entsprechend schärfen – vom Umgang mit Lockvögeln bis hin zur Erkennung auffälliger Transport- und Ausführungswege.
Quelle: https://thehackernews.com/2026/08/operation-quicsilver-targets-myanmar.html
