Koreanische Seiten nutzen AnySign4PC-Lücke für Backdoors

Was ist passiert

Die Cybersicherheitslandschaft Südkoreas wurde von einer hochentwickelten Angriffskampagne erschüttert, die einer staatlich geförderten Gruppe zugeschrieben wird. Laut einer gemeinsamen Warnung der Korea Internet & Security Agency (KISA), des Nationalen Nachrichtendienstes und vier führender einheimischer Sicherheitsfirmen (AhnLab, S2W, ENKI Whitehat und Plainbit) hat eine nicht identifizierte Gruppe vertrauenswürdige inländische Websites kompromittiert. Die Angreifer nutzten diese Websites als "Wasserlöcher" (Watering Holes), um lokal installierte Finanzsicherheitssoftware auszunutzen und gezielte Besucher zu infizieren.

Im Zentrum des Angriffs steht eine Software namens AnySign4PC, die weithin für zertifikatbasierte elektronische Signaturprozesse verwendet wird. Die Angreifer nutzten eine bisher unbekannte Zero-Day-Schwachstelle in älteren Versionen dieser Software aus. Dieser Fehler ermöglichte es ihnen, das System eines Benutzers mit Malware zu infizieren, ohne dass eine Download-Bestätigung oder eine Benutzerinteraktion erforderlich war. Der bloße Besuch einer kompromittierten Nachrichten-, Gesundheits- oder Bildungswebsite reichte aus, um ein System zu infizieren.

Die Sicherheitsfirma AhnLab gab bekannt, dass sie im Jahr 2026 bei 72 verschiedenen Organisationen Beweise im Zusammenhang mit dieser Angriffskampagne identifiziert hat. Zusätzlich wurden 15 legitime Websites identifiziert, die von den Angreifern genutzt wurden, um ihre Ziele zu erreichen. Die Angriffe zielten darauf ab, Backdoor-Software, bekannt als SIGNBT oder COPPERHEDGE, auf den Systemen der Opfer zu installieren. Diese Backdoors verschaffen den Angreifern die volle Kontrolle über das System, die Möglichkeit zum Datendiebstahl und die Fähigkeit, sich lateral innerhalb eines Netzwerks zu bewegen. Die Untersuchung ergab auch, dass einige Elemente dieser Angriffskette mit der Infrastruktur und den Techniken früherer Gunra-Ransomware-Angriffe übereinstimmen, obwohl keine endgültigen Beweise dafür vorgelegt wurden, dass derselbe Akteur beide Operationen durchgeführt hat.

Welche Daten wurden kompromittiert

Die gemeinsame Warnung und die Analysen der Sicherheitsfirmen enthalten keine spezifischen Informationen über die genauen Arten von Daten, die von den Angreifern gestohlen wurden, oder über das Volumen der exfiltrierten Daten. Die Fähigkeiten der auf den Systemen installierten Backdoor-Malware namens SIGNBT und COPPERHEDGE geben jedoch wichtige Hinweise auf die Absichten der Angreifer. Diese Malware verschaffte den Angreifern die folgenden Fähigkeiten:

• Remote-Code-Ausführung: Angreifer konnten die volle Kontrolle über infizierte Systeme erlangen, indem sie beliebige Befehle aus der Ferne ausführten.
• Datendiebstahl: Sie hatten die Fähigkeit, beliebige Dateien vom Computer des Opfers oder aus dessen verbundenem Netzwerk zu identifizieren, zu kopieren und auf ihre eigenen Server zu übertragen. Dies könnte den Diebstahl sensibler Informationen wie Geschäftsgeheimnisse, persönliche Daten, Finanzdokumente oder Staatsgeheimnisse bedeuten.
• Interne Aufklärung: Vom anfänglich kompromittierten System aus konnten die Angreifer das interne Netzwerk der Organisation scannen, um andere wertvolle Ziele wie Server und Datenbanken zu identifizieren.
• Bereitstellung zusätzlicher Payloads: Sie konnten die vorhandene Backdoor nutzen, um zerstörerischere Malware, wie z. B. Ransomware, auf das System herunterzuladen.

Angesichts dieser Fähigkeiten scheint der Zweck des Angriffs langfristige Spionage und Datendiebstahl zu sein. Da solch komplexe Angriffe in der Regel auf bestimmte Sektoren oder Institutionen abzielen, könnte die Art der gestohlenen Daten von entscheidender Bedeutung sein. Eine umfassende Datenleck Suche könnte ein wichtiger Schritt für Einzelpersonen und Organisationen sein, um ihren Status nach solchen Vorfällen zu überprüfen.

Wie ist der Angriff abgelaufen

Der Angriff wurde als komplexe, mehrstufige Kette durchgeführt. Die von den Angreifern verwendeten Techniken deuten auf eine gezielte und auf Tarnung ausgerichtete Operation hin.

1. Erstzugang: Phishing und Watering Hole
Die Angreifer nutzten zwei primäre Methoden, um ihre Ziele zu erreichen. Die erste war das Versenden von Spear-Phishing-E-Mails, die als Lebensläufe, Stellenangebote, Investitionsmaterialien oder Branchenumfragen getarnt waren. Die zweite, effektivere Methode war das Hacken legitimer Websites, die von ihren Zielen häufig besucht wurden, einschließlich Nachrichten-, Gesundheits-, Bildungs- und Fertigungs-Websites. Bösartiger JavaScript-Code, der auf diesen Websites platziert wurde, machte jeden, der sie mit einer anfälligen Version von AnySign4PC besuchte, zu einem potenziellen Opfer.

2. Ausnutzung der Schwachstelle: Zero-Day-Lücke
Wenn ein Opfer eine kompromittierte Webseite besuchte, kommunizierte der im Hintergrund laufende bösartige Code über das WebSocket-Protokoll mit der lokal installierten AnySign4PC-Software. Laut dem Bericht von AhnLab mit dem Titel "Operation Double Barrel" wurden bei dieser Kommunikation vier PNG-Bilddateien verwendet. Diese Dateien dienten tatsächlich zum: Schlüsselaustausch, Überprüfung der installierten Softwareversion, Bereitstellung von versionsspezifischem Exploit-Code und schließlich zur Meldung, ob die Ausführung erfolgreich war. Am Ende dieses Prozesses wurde eine Pufferüberlauf-Schwachstelle (Buffer Overflow) in der AnySign4PC-Software ausgelöst, die es den Angreifern ermöglichte, ihren eigenen Code (Shellcode) auszuführen.

3. Tarnung und Installation: Prozessinjektion
Sobald der Code der Angreifer ausgeführt wurde, wurde die bösartige Nutzlast (Payload) nicht direkt auf die Festplatte geschrieben. Stattdessen wurde sie, um der Entdeckung zu entgehen, in legitime Microsoft-Prozesse injiziert. Die Analyse von Plainbit ergab, dass die bösartige DLL ohne Download-Aufforderung auf dem System erstellt wurde und ihre nachfolgenden Stufen im Speicher entschlüsselte. Der Code wurde dann in einen vertrauenswürdigen Windows-Prozess wie `svchost.exe` injiziert. Diese Technik ist sehr effektiv, um Sicherheitssoftware zu umgehen.

4. Installation der Backdoors: SIGNBT und COPPERHEDGE
In der letzten Phase wurde je nach Art des Eindringens eine von zwei verschiedenen Backdoors auf dem System installiert: Struggle, das AhnLab SIGNBT 3.0 zuordnet, oder Brandoor, bekannt als COPPERHEDGE. Diese Backdoors verschafften den Angreifern einen dauerhaften Zugang und ermöglichten Datendiebstahl und weitere Aktionen innerhalb des Netzwerks. Weitere Informationen zu solch ausgeklügelten Angriffen können über aktuelle Datenleck Nachrichten verfolgt werden.

Wer war betroffen

Die Angriffskampagne richtete sich direkt gegen Institutionen und Organisationen in Südkorea. Laut dem Bericht von AhnLab wurden im Jahr 2026 in 72 Organisationen Beweise im Zusammenhang mit dem Angriff gefunden. Der Bericht stellt jedoch fest, dass diese Zahl keine Zählung vollständig bestätigter Kompromittierungen darstellt, sondern eher einen ersten Befund.

Das Profil der für den Watering-Hole-Angriff verwendeten Websites gibt Aufschluss über die Zielgruppe. Die Angreifer kompromittierten Nachrichtenportale, Gesundheitsdienstleister, Bildungseinrichtungen und Websites von Produktionsunternehmen. Dies deutet darauf hin, dass die Angreifer Personen ins Visier nahmen, die in diesen spezifischen Sektoren arbeiten oder mit diesen Websites interagieren. Kurz gesagt, jeder, der eine anfällige Version von AnySign4PC installiert hatte und eine dieser kompromittierten Websites besuchte, war ein potenzielles Opfer.

Was Sie tun können

Es gibt konkrete Schritte, die sowohl einzelne Benutzer als auch Organisationen unternehmen können, um sich vor diesem Angriff zu schützen oder einen potenziellen Verstoß zu verhindern. Die Empfehlungen der koreanischen Behörden und Sicherheitsfirmen lauten wie folgt:

• Überprüfen Sie Ihre AnySign4PC-Version: Prüfen Sie, ob Sie die AnySign4PC-Software auf Ihrem System installiert haben. Laut KISA sind alle Versionen von 1.1.4.4 bis 1.1.4.6 anfällig für diesen Angriff.
• Aktualisieren oder entfernen Sie die Software: Die klarste Empfehlung von KISA ist, die anfälligen Versionen vollständig vom System zu deinstallieren. Anschließend sollten Sie die Version 1.1.5.0 oder höher installieren, in der die Schwachstelle behoben sein soll. Wenn Sie die Software nicht verwenden, ist das vollständige Entfernen die sicherste Option.
• Halten Sie Ihre gesamte Software auf dem neuesten Stand: Dieser Vorfall zeigt einmal mehr, wie wichtig es ist, nicht nur Sicherheitssoftware, sondern auch Betriebssysteme, Browser und alle anderen Anwendungen aktuell zu halten.
• Verwenden Sie Sicherheitslösungen: Eine fortschrittliche Antiviren- oder EDR-Lösung (Endpoint Detection and Response) kann helfen, verdächtige Aktivitäten wie Prozessinjektion und anormalen Netzwerkverkehr zu erkennen.
• Seien Sie vorsichtig bei verdächtigen E-Mails: Da Phishing einer der Angriffsvektoren war, vermeiden Sie das Klicken auf Anhänge und Links in unerwarteten E-Mails oder solchen von nicht verifizierten Quellen.

Was das Unternehmen sagt

Der Quellartikel enthält keine direkte Stellungnahme des Entwicklers der AnySign4PC-Software. Die umfassendsten Informationen über den Angriff stammen jedoch aus einem gemeinsamen Warnbericht, der von südkoreanischen offiziellen Stellen und den privaten Sicherheitsfirmen, die den Vorfall untersucht haben, erstellt wurde.

In ihrer gemeinsamen Erklärung gaben die Korea Internet & Security Agency (KISA), der Nationale Nachrichtendienst, die Nationale Polizeibehörde und das Institut für Finanzsicherheit an, dass solche staatlich geförderten Phishing- und Watering-Hole-Angriffe weiterhin identifiziert werden. KISA warnte Benutzer und Organisationen ausdrücklich davor, anfällige AnySign4PC-Versionen sofort zu löschen und auf die sichere Version 1.1.5.0 zu aktualisieren.

AhnLab, das zur Untersuchung beigetragen hat, veröffentlichte seinen Bericht "Operation Double Barrel", in dem die technischen Aspekte der Angriffe, die verwendete Malware und die potenziellen Verbindungen zu den Gunra-Ransomware-Operationen detailliert beschrieben werden. Die Firma ENKI Whitehat bestätigte, dass die Angreifer eine Zero-Day-Schwachstelle ausnutzten und dass sie diese Aktivität seit der zweiten Hälfte des Jahres 2025 beobachtet hatten. Diese gemeinsame Anstrengung unterstreicht die Ernsthaftigkeit der Bedrohung und die Notwendigkeit einer öffentlichen Reaktion.

Quelle

https://thehackernews.com/2026/07/hackers-exploit-anysign4pc-via-hacked.html