Das Justizministerium erhebt Anklage gegen sieben Angeklagte in einer 14-jährigen Hacker-Kampagne der chinesischen Regierung

Das US-Justizministerium hat am Montag eine Anklage gegen sieben Männer aufgehoben, denen vorgeworfen wird, im Rahmen einer 14-jährigen Kampagne zur Förderung der Wirtschaftsspionage und der Sammlung ausländischer Geheimdienstinformationen durch die chinesische Regierung Dutzende US-Unternehmen gehackt oder versucht zu haben, diese zu hacken.

Alle sieben Angeklagten, so behaupteten die Bundesanwälte, standen in Verbindung mit Wuhan Xiaoruizhi Science & Technology Co., Ltd., einer Tarnfirma, die vom Hubei State Security Department gegründet wurde, einem Außenposten des Ministeriums für Staatssicherheit in der Provinz Wuhan. Die MSS wiederum hat eine Gruppe fortgeschrittener hartnäckiger Bedrohungen finanziert, die unter Namen wie APT31, Zirconium Violet Typhoon, Judgement Panda und Altaire verfolgt wird.

Unerbittliche 14-jährige Kampagne

„Seit mindestens 2010 waren die Angeklagten … im Auftrag des HSSD an Eingriffen in Computernetzwerke beteiligt, die sich als Reaktion darauf auf zahlreiche US-Regierungsbeamte, verschiedene US-Wirtschafts- und Verteidigungsindustrien sowie eine Reihe von Vertretern der Privatwirtschaft, ausländische Demokratieaktivisten, Akademiker und Parlamentarier richteten.“ geopolitische Ereignisse, die die VR China betreffen“, behaupteten die Bundesanwälte. „Diese Aktivitäten zum Eindringen in Computernetzwerke führten zu einer bestätigten und potenziellen Kompromittierung geschäftlicher und privater E-Mail-Konten, Cloud-Speicherkonten und Telefongesprächsaufzeichnungen von Millionen Amerikanern, einschließlich zumindest einiger Informationen, die zur Unterstützung böswilliger Einflussnahme auf demokratische Prozesse veröffentlicht werden könnten.“ und Institutionen sowie Wirtschaftspläne, geistiges Eigentum und Geschäftsgeheimnisse amerikanischer Unternehmen und trugen zu den geschätzten Milliarden von Dollar bei, die jedes Jahr durch den staatlich geförderten Apparat der Volksrepublik China verloren gehen, der US-Technologie in die Volksrepublik China transferiert.“

Die unermüdliche, 14 Jahre andauernde Kampagne richtete sich gegen Tausende von Einzelpersonen und Dutzende von Unternehmen durch den Einsatz von Zero-Day-Angriffen, die Ausnutzung von Website-Schwachstellen sowie durch Angriffe auf Heimrouter und persönliche Geräte hochrangiger US-Regierungsbeamter, Politiker und Wahlkampfmitarbeiter von beiden großen politischen Parteien der USA.

„Zu den angegriffenen US-Regierungsbeamten gehörten Personen, die im Weißen Haus, im Justiz-, Handels-, Finanz- und Außenministerium arbeiteten, sowie US-Senatoren und Vertreter beider politischer Parteien“, sagten Beamte des Justizministeriums. „Die Angeklagten und andere Mitglieder der APT31-Gruppe haben diese Personen sowohl über berufliche als auch über private E-Mail-Adressen gezielt angegriffen. Darüber hinaus haben die Angeklagten in einigen Fällen auch die Ehepartner der Opfer ins Visier genommen, darunter die Ehepartner eines hochrangigen Beamten des Justizministeriums, hochrangiger Beamter des Weißen Hauses und mehrerer US-Senatoren. Zu den Zielen gehörten auch Wahlkampfmitarbeiter beider großer politischer Parteien in den USA im Vorfeld der Wahlen 2020.“

Eine von den Angeklagten angeblich angewandte Technik war das Versenden von E-Mails an Journalisten, politische Funktionäre und Unternehmen. Die Nachrichten, die den Anschein erweckten, als kämen sie von Nachrichtenagenturen oder Journalisten, enthielten versteckte Tracking-Links, die bei Aktivierung den APT31-Mitgliedern Informationen über die Standorte, IP-Adressen, Netzwerkpläne und spezifischen Geräte der Ziele zur Verwendung bei der Verfolgung lieferten -auf Angriffe. Zu den Zielen dieser E-Mails gehörten ausländische Regierungsbeamte, die Teil der Interparlamentarischen Allianz zu China waren, einer Gruppe, die nach dem Massaker auf dem Platz des Himmlischen Friedens 1989 gegründet wurde und die chinesische Regierung kritisiert; jedes Mitglied der Europäischen Union ist Mitglied dieser Gruppe; und 43 britische Parlamentsberichte sind Teil der Gruppe oder kritisch gegenüber der Volksrepublik China.

APT31 nutzte verschiedene Methoden, um Netzwerke von Interesse mit benutzerdefinierter Malware wie RAWDOOR, Trochilus, EvilOSX, DropDoor/DropCa und später dem weit verbreiteten Sicherheitstesttool Cobalt Strike Beacon zu infizieren. Ende 2016 nutzte die Hackergruppe eine damals noch Zero-Day-Schwachstelle in namenloser Software aus, um sich Zugang zu einem unbekannten Verteidigungsunternehmen zu verschaffen. In ihrer Anklageschrift schrieben die Staatsanwälte:

Mithilfe des Zero-Day-Privilege-Escalation-Exploits verschafften sich die Verschwörer zunächst Administratorzugriff auf das Netzwerk einer Tochtergesellschaft, bevor sie schließlich in das Kernnetzwerk des Verteidigungsunternehmens eindrangen“, schreiben die Staatsanwälte in der Anklageschrift. „Die Verschwörer nutzten eine SQL-Injection, bei der sie bösartigen Code in ein Eingabefeld eines Webformulars eingaben, um Zugriff auf Informationen zu erhalten, die nicht angezeigt werden sollten, um im Netzwerk der Tochtergesellschaft ein Konto mit dem Benutzernamen „testdew23“ zu erstellen. Die Verschwörer nutzten Schadsoftware, um dem Benutzerkonto „testdew23“ Administratorrechte zu gewähren. Als nächstes luden die Verschwörer eine Web-Shell bzw. ein Skript namens „Welcome to Chrome“ auf den Webserver der Tochtergesellschaft hoch, das die Fernverwaltung des Computers ermöglicht. Anschließend nutzten die Verschwörer die Web-Shell, um mindestens zwei schädliche Dateien auf den Webserver hochzuladen und auszuführen, die so konfiguriert waren, dass sie eine Verbindung zwischen dem Netzwerk des Opfers und Computern außerhalb dieses Netzwerks, die von den Verschwörern kontrolliert wurden, herstellten. Mit dieser Methode gelang es den Verschwörern, sich unbefugten Zugriff auf das Netzwerk des Verteidigungsunternehmens zu verschaffen.

Weitere Ziele von APT31 sind militärische Auftragnehmer und Unternehmen aus den Branchen Luft- und Raumfahrt, IT-Dienstleistungen, Software, Telekommunikation, Fertigung und Finanzdienstleistungen. Es ist seit langem bekannt, dass APT31 nicht nur Einzelpersonen und Organisationen mit Informationen von primärem Interesse ins Visier nimmt, sondern auch Unternehmen oder Dienstleistungen, auf die die primären Ziele angewiesen sind. Hauptziele waren Dissidenten und Kritiker der Volksrepublik China sowie westliche Unternehmen, die im Besitz technischer Informationen waren, die für die Volksrepublik China von Wert waren.

Nach Angaben der Staatsanwälte gehören zu den von APT31 erfolgreich gehackten Zielen:

• ein zugelassenes Verteidigungsunternehmen mit Sitz in Oklahoma, das militärische Flugsimulatoren für das US-Militär entwarf und herstellte
• ein zugelassener Luft- und Raumfahrt- und Verteidigungsunternehmer mit Sitz in Tennessee
• ein in Alabama ansässiges Forschungsunternehmen in der Luft- und Raumfahrt- und Verteidigungsindustrie
• ein in Maryland ansässiges Unternehmen für professionelle Unterstützungsdienste, das das Verteidigungsministerium und andere Regierungsbehörden betreut
• ein führender amerikanischer Hersteller von Software und Computerdienstleistungen mit Sitz in Kalifornien
• ein weltweit führender Anbieter von drahtloser Technologie mit Sitz in Illinois; ein Technologieunternehmen mit Sitz in New York
• ein Softwareunternehmen mit Sitz in Kalifornien, das die industrielle Steuerungsbranche bedient
• ein IT-Beratungsunternehmen mit Sitz in Kalifornien; ein IT-Dienstleistungs- und Raumverarbeitungsunternehmen mit Sitz in Colorado
• ein Unternehmen für Multifaktor-Authentifizierung; ein amerikanischer Handelsverband
• mehrere Schulungs- und Supportunternehmen für Informationstechnologie
• ein führender Anbieter von 5G-Netzwerkausrüstung in den Vereinigten Staaten
• ein IT-Lösungs- und 5G-Integrationsdienstleistungsunternehmen mit Sitz in Idaho
• ein Telekommunikationsunternehmen mit Sitz in Illinois
• ein Unternehmen für Sprachtechnologie mit Hauptsitz in Kalifornien;
• eine bekannte Handelsorganisation mit Niederlassungen in New York und anderswo
• ein Produktionsverband mit Sitz in Washington, D.C
• ein Stahlunternehmen
• ein Bekleidungsunternehmen mit Sitz in New York
• ein Ingenieurbüro mit Sitz in Kalifornien
• ein Energieunternehmen mit Sitz in Texas
• ein Finanzunternehmen mit Hauptsitz in New York
• Ein multinationales US-amerikanisches Managementberatungsunternehmen mit Niederlassungen in Washington, DC und anderswo
• ein Finanzratingunternehmen mit Sitz in New York
• eine Werbeagentur mit Sitz in New York
• ein Beratungsunternehmen mit Sitz in Virginia;
• mehrere globale Anwaltskanzleien mit Sitz in New York und in den gesamten Vereinigten Staaten
• ein Softwareanbieter für Anwaltskanzleien
• ein Labor für maschinelles Lernen mit Sitz in Virginia
• eine Universität mit Sitz in Kalifornien
• mehrere Forschungskrankenhäuser und -institute in New York und Massachusetts
• eine internationale Non-Profit-Organisation mit Hauptsitz in Washington, D.C.

Die Beklagten sind:

• Ni Gaobin (倪高彬), 38 Jahre
• Weng Ming, 37
• Cheng Feng, 34
• Peng Yaowen, 38
• Sun Xiaohui, 38
• Xiong Wang, 35
• Zhao Guangzong, 38

Den Männern wurde Verschwörung zum Computereinbruch und Verschwörung zum Überweisungsbetrug vorgeworfen. Obwohl sich keiner der Männer in US-Gewahrsam befindet oder wahrscheinlich strafrechtlich verfolgt wird, verhängte das US-Finanzministerium am Montag Sanktionen gegen die Wuhan Xiaoruizhi Science and Technology Company, Limited. Das Ministerium benannte außerdem Zhao Guangzong und Ni Gaobin wegen ihrer Rolle bei Hacks, die auf kritische Infrastruktur in den USA abzielten.

„Aufgrund der heutigen Maßnahme werden sämtliches Eigentum und Eigentumsanteile der oben beschriebenen benannten Personen und Organisationen, die sich in den Vereinigten Staaten befinden oder im Besitz oder unter der Kontrolle von US-Personen stehen, gesperrt und müssen dem OFAC gemeldet werden“, schrieben Beamte des Finanzministeriums . „Darüber hinaus werden auch alle Unternehmen gesperrt, die direkt oder indirekt, einzeln oder insgesamt zu 50 Prozent oder mehr einer oder mehreren blockierten Personen gehören. Sofern nicht durch eine vom OFAC ausgestellte allgemeine oder spezifische Lizenz genehmigt oder befreit, verbieten die Vorschriften des OFAC im Allgemeinen alle Transaktionen von US-Personen oder innerhalb (oder durch) der Vereinigten Staaten, die Eigentum oder Eigentumsanteile benannter oder anderweitig blockierter Personen betreffen.“

Das US-Außenministerium bietet 10 Millionen US-Dollar für Informationen, die zur Identifizierung oder zum Standort eines der Angeklagten oder anderer mit der Kampagne in Verbindung stehender Personen führen.