„`html
Was ist passiert?
Die chinesisch ausgerichtete Hackergruppe Webworm setzt seit 2025 neue Custom-Backdoors namens EchoCreep und GraphWorm ein. Diese Malware nutzt Discord und die Microsoft Graph API für Command-and-Control-Kommunikation (C2). Dadurch können Angreifer Befehle ausführen und Daten exfiltrieren, ohne traditionelle Malware-Infrastruktur zu benötigen.
Hintergrund & Bedeutung
Webworm wurde erstmals im September 2022 von Symantec (Broadcom) dokumentiert und ist seit mindestens 2022 aktiv. Die Gruppe konzentriert sich primär auf Regierungsbehörden und kritische Infrastrukturen. Die Verwendung von Discord und Microsoft Graph API ist besonders tückisch, da diese Dienste in Unternehmensumgebungen vertraut und häufig nicht ausreichend überwacht werden. Dies ermöglicht es Angreifern, ihre Aktivitäten unter legitimen Traffic zu verstecken und Netzwerk-Filter zu umgehen.
Empfehlungen für IT-Teams
- API-Monitoring: Microsoft Graph API Zugriffe protokollieren und verdächtige Aktivitäten analysieren
- Discord-Beschränkung: Discord-Zugriff in kritischen Bereichen blockieren oder stark limitieren
- EDR-Lösung: Endpoint Detection & Response implementieren zur Erkennung verdächtiger Prozesse
- Threat Intelligence: Regelmäßig über Webworm-Indikatoren und IoCs informieren
- Patch-Management: Sicherheitsupdates zeitnah einspielen
Fazit
Webworms Einsatz von legitimen Cloud-Services unterstreicht die wachsende Sophistication chinesischer APT-Gruppen. Organisationen sollten ihre Sicherheitsstrategien entsprechend anpassen und Anomalien in Cloud-APIs priorisieren.
Quelle: The Hacker News
„`