Das riesige US-Telekommunikationsunternehmen T-Mobile hat bestätigt, dass es zu den Unternehmen gehört, die von chinesischen Bedrohungsakteuren ins Visier genommen wurden, um Zugang zu wertvollen Informationen zu erhalten. Diese Gegner, als Salt Typhoon verfolgt, haben das Unternehmen im Rahmen einer monatelangen Kampagne kompromittiert, die darauf abzielt, Mobiltelefon-Kommunikationen hochrangiger Zielpersonen abzufangen.
Salt Typhoon, auch bekannt als Earth Estries, nutzte Schwachstellen und raffinierte Backdoors, um an sensible Daten zu gelangen. Obwohl unklar bleibt, welche spezifischen Informationen kompromittiert wurden, wird die US-Regierung durch eine umfassende Untersuchung erfahren, wie tief diese Attacke ging.
„T-Mobile überwacht diesen branchenweiten Angriff genau und zum jetzigen Zeitpunkt sind keine unserer Systeme oder Daten in signifikanter Weise betroffen“, sagte ein Unternehmenssprecher. „Wir arbeiten weiterhin eng mit Branchenkollegen und den zuständigen Behörden zusammen.“
Berichten zufolge betrifft dieser Angriff nicht nur T-Mobile, sondern auch andere große Telekommunikationsunternehmen wie AT&T und Verizon, welche ebenfalls Ziel der anhaltenden Spionagekampagne geworden sind. Laut Bericht gibt es bisher jedoch keine klaren Hinweise darauf, wie erfolgreich die Angreifer tatsächlich waren oder ob sie Malware installiert haben.
Die US-Regierung gab bekannt, dass die Angriffe durch die Volksrepublik China orchestriert wurden und eine „massive und signifikante“ Bedrohung darstellen. Diese Angriffe zielen darauf ab, Daten von Telekommunikationsanbietern zu stehlen, darunter auch Gesprächsdaten von Regierungs- und politischen Persönlichkeiten.
Die Bedrohungsakteure nutzen eine hochentwickelte Kombination aus Tools und Techniken, um defensiven Mechanismen zu entgehen und den Zugang zu ihren Zielen aufrechtzuerhalten. Zu diesen Methoden gehören der Einsatz von legitimen Werkzeugen wie cURL für Datenexfiltration sowie maßgeschneiderte Malware wie TrillClient und Backdoors wie Crowdoor.
Der Angriff begann oft damit, dass die Angreifer Schwachstellen in externen Systemen ausnutzten oder Fernverwaltungsdienste wie Microsoft Exchange missbrauchten. Durch die Installation von Web-Shells wie China Chopper und die Nutzung von Cobalt Strike konnten sie umfangreiche Daten sammeln und exfiltrieren.
Dieser mehrstufige Angriff stellt eine enorme Bedrohung dar, da er durch raffinierte und kontinuierlich aktualisierte Backdoors immer schwieriger zu erkennen ist.
