Das Threat-Intelligence-Team von Google hat Details zu einer lang andauernden Cyberspionage-Kampagne der chinesischen APT-Gruppe APT24 (Pitty Tiger) veröffentlicht. Die Operation läuft nach aktuellen Erkenntnissen seit rund drei Jahren und zielt vor allem auf die Entwendung von geistigem Eigentum bei Organisationen in den USA und auf Taiwan ab. Im Mittelpunkt steht eine bislang kaum dokumentierte Malware-Familie mit der Bezeichnung BadAudio.
Ziele und Motivation der APT24-Cyberspionage
Nach Angaben von Google konzentriert sich APT24 auf Institutionen mit wertvollen Technologie- und Geschäftsgeheimnissen. Betroffen sind unter anderem Behörden, Unternehmen aus Gesundheitswesen, Bau und Engineering, Bergbau, Telekommunikation sowie Nichtregierungsorganisationen. Damit adressiert die Gruppe typische Hochwertziele, wie sie auch in Berichten zu sogenannten Advanced Persistent Threats (APT) von Anbietern wie Mandiant oder im Verizon Data Breach Investigations Report beschrieben werden.
Die primäre Motivation ist klar strategische Spionage und die systematische Abschöpfung von Wettbewerbsvorteilen. Im Fokus stehen Projektpläne, Forschungsdaten, kommerzielle Strategien und Informationen zu Lieferketten und Partnern – also Daten, die langfristig politischen oder wirtschaftlichen Nutzen stiften, nicht kurzfristige Erpressungsgewinne.
Mehrstufige Angriffe: Watering-Hole und Supply-Chain-Kompromittierung
Manipulierte Webseiten und gefälschte Update-Fenster
Zwischen November 2022 und September 2025 kompromittierte APT24 laut Google mehr als 20 legitime Webseiten in unterschiedlichen Top-Level-Domains. Die Gruppe setzte dabei auf die etablierte Taktik des Watering-Hole-Angriffs: Beliebte oder zielgruppenspezifisch häufig besuchte Seiten wurden mit bösartigem JavaScript versehen.
Das eingeschleuste Skript führte zunächst ein Fingerprinting von Windows-Systemen durch, also eine technische Bestandsaufnahme von Betriebssystem, Browser und Konfiguration. Nur wenn das System bestimmte Kriterien erfüllte, blendete der Code ein gefälschtes Popup-Fenster mit angeblichem Software-Update ein. Nutzer, die auf „Update“ klickten, luden in Wirklichkeit die BadAudio-Malware herunter.
Supply-Chain-Angriffe über kompromittierte JavaScript-Bibliotheken
Ab Juli 2024 wechselte APT24 zu einem besonders wirkungsvollen Vektor: Angriffe auf die Software-Lieferkette. Mehrfach wurde eine taiwanische Marketingfirma kompromittiert, die JavaScript-Bibliotheken an zahlreiche Kunden ausliefert. Die Angreifer injizierten schadhaften Code in eine weit verbreitete Bibliothek und registrierten parallel eine Domain, die einem legitimen CDN-Anbieter täuschend ähnlich sah.
Mit einem einzigen erfolgreichen Einbruch in diesen zentralen Knoten der Lieferkette konnte APT24 über 1000 Kunden-Domains potenziell kompromittieren. Das Vorgehen erinnert an bekannte Supply-Chain-Fälle wie SolarWinds oder die Kompromittierung von CCleaner, bei denen ebenfalls ein Plattform- oder Update-Kanal als Multiplikator für den Angriff diente.
Versteckte Telemetrie in JSON-Dateien
In einer zweiten Angriffswelle von Ende 2024 bis Juli 2025 zielte APT24 erneut auf dieselbe taiwanische Firma, nutzte jedoch ein anderes Verfahren. In modifizierten JSON-Dateien versteckten die Angreifer obfuskierten JavaScript-Code. Nach Ausführung sammelte dieser Informationen zu Website-Besuchern und übermittelte sie in base64-kodierter Form an einen Command-and-Control-Server der Gruppe. Diese Art verdeckter Telemetrie erschwert die Erkennung, weil sie sich nahtlos in legitimen Web-Traffic einfügt.
Gezieltes Phishing und Missbrauch von Cloud-Diensten
Parallel zu Web-Angriffen setzte APT24 ab August 2024 auf hochgradig zielgerichtete Phishing-Kampagnen. E-Mails wurden im Namen vermeintlicher Tierschutzorganisationen versendet – ein Thema, das Vertrauenswürdigkeit suggeriert und häufig wenig Verdacht auslöst.
In die Nachrichten integrierte Tracking-Pixel ermöglichten es den Angreifern, das Öffnen der E-Mails zu überwachen und besonders „interessante“ Ziele für weitere Social-Engineering-Schritte zu identifizieren. Für Datentransfer und C2-Kommunikation wurden teils legitime Cloud-Dienste wie Google Drive oder OneDrive missbraucht. Da solche Dienste im Geschäftsalltag üblich sind, erschwert dies die Erkennung durch klassische URL- und Inhaltsfilter.
BadAudio-Malware: Tarnung als legitime Windows-DLL
DLL Search Order Hijacking und Sideloading als Kerntechnik
BadAudio ist ein stark obfuskierter Malware-Loader, dessen einzige Aufgabe darin besteht, nachgelagerte Schadkomponenten unauffällig ins System zu bringen. Die Kampagne nutzt dazu DLL search order hijacking bzw. DLL sideloading: Eine manipulierte DLL wird in ein Verzeichnis gelegt, aus dem ein legitimes Windows- oder Drittanbieterprogramm Bibliotheken automatisch lädt.
Das Betriebssystem greift dann auf die schadhafte DLL zu, weil sie im Suchpfad priorisiert wird, und startet damit den BadAudio-Code unter dem Schutzschirm eines vertrauenswürdigen Prozesses. Diese Technik ist im MITRE-ATT&CK-Framework als verbreitete APT-Taktik dokumentiert und hilft, signaturbasierte sowie einige verhaltensbasierte Schutzmechanismen zu umgehen.
Starke Obfuskation und niedrige Erkennungsraten
Der Code von BadAudio ist in zahlreiche Teilsegmente zersplittert, deren Ausführung von einem zentralen „Dispatcher“ gesteuert wird. Automatisierte Analysesysteme (Sandboxes) und statische Analyzer haben es dadurch deutlich schwerer, den tatsächlichen Programmfluss zu rekonstruieren.
Nach erfolgreicher Ausführung sammelt BadAudio zunächst Basisinformationen wie Hostname, Benutzername und Systemarchitektur. Diese Daten werden mit einem im Code fest hinterlegten AES-Schlüssel verschlüsselt und an die Angreifer übermittelt. Als Antwort liefert der C2-Server eine weitere verschlüsselte Nutzlast, die direkt im Speicher entschlüsselt und via DLL-Sideloading ausgeführt wird. Schreibzugriffe auf die Festplatte werden so minimiert, was die forensische Aufklärung erschwert.
Google berichtet von acht identifizierten BadAudio-Samples, von denen nur zwei von mehr als 25 Antiviren-Engines auf VirusTotal erkannt werden. Einige Varianten aus Dezember 2022 wurden sogar von höchstens fünf Produkten detektiert. Diese niedrigen Erkennungsraten unterstreichen die Effektivität der Obfuskation und die eher gezielte, nicht massenhafte Nutzung der Malware.
Lehren für Unternehmen: Verteidigung gegen APT24 und ähnliche Gruppen
Die Operation von APT24 zeigt eindrücklich, wie kombiniert und mehrstufig moderne APT-Kampagnen heute ablaufen: Watering-Hole-Angriffe, kompromittierte Lieferketten, ausgefeilte Phishing-Mails und stealthy Loader wie BadAudio greifen nahtlos ineinander. Branchenreports wie Verizon DBIR und Mandiant M-Trends weisen seit Jahren auf diese zunehmende Professionalität hin.
Organisationen – insbesondere in kritischen Sektoren – sollten daher von punktuellen Schutzmaßnahmen zu einer ganzheitlichen Sicherheitsstrategie übergehen. Dazu gehören ein konsequentes Third-Party- und Lieferketten-Risikomanagement, Monitoring von Webassets, starke E-Mail-Sicherheit, der Einsatz von Endpoint Detection & Response (EDR) sowie regelmäßiger Threat Hunting nach Anzeichen von Obfuskation, verdächtigen DLL-Ladevorgängen und ungewöhnlichen Netzwerkverbindungen.
Praktisch bedeutet dies unter anderem: strengere Prüfungen externer Bibliotheken und Skripte (z.B. durch SRI-Signaturen und Integritätschecks), Härtung von Anwendungen gegen DLL-Sideloading, Schulungen zur Erkennung von zielgerichtetem Phishing, konsequente Multi-Faktor-Authentifizierung für kritische Dienste und der Aufbau eines qualifizierten Incident-Response-Prozesses. Wer seine Bedrohungsmodelle regelmäßig aktualisiert und in proaktives Monitoring investiert, erhöht die Chance erheblich, komplexe Kampagnen wie die von APT24 frühzeitig zu erkennen und den Abfluss von geistigem Eigentum zu verhindern.
