Chinesische APT nutzt Citrix-Zero-Day Salt Typhoon: Systematischer und verdeckter Angriff

Anbieter zum Thema

Darktrace Deutschland

Vitel GmbH

Eine Analyse von Darktrace zeigt, wie die APT-Gruppe Salt Typhoon mit Zero-Day-Exploits, DLL-Sideloading und verschleierter Kommunikation westliche Netze unterwandert. Der Fall verdeutlicht, warum klassische Abwehrmechanismen an ihre Grenzen stoßen.

Im Juli 2025 wurde ein europäischer Telekommunikationsanbieter Ziel einer komplex orchestrierten Cyberoperation. Dank frühzeitiger Erkennung konnte der Angriff jedoch gestoppt werden, bevor es zu Schäden kam. Der Vorfall trug alle typischen Merkmale der chinesischen APT-Gruppe Salt Typhoon, die auch unter den Namen Earth Estries, GhostEmperor oder UNC2286 bekannt ist. Die Gruppe gilt als einer der technisch versiertesten Bedrohungsakteure weltweit und ist auf die langfristige Infiltration kritischer Infrastrukturen spezialisiert.

Die Gruppe verfolgt dabei kein kurzfristiges Ziel. Stattdessen geht es um persistente Zugänge: Netzwerke werden unauffällig infiltriert, Kommunikationsströme überwacht und Daten über längere Zeiträume exfiltriert. Dabei kommen sowohl maßgeschneiderte Malware als auch legitime Tools zum Einsatz, um Aktivitäten zu verschleiern.

Initialer Zugriff: Citrix-Zero-Day und VPN-Verschleierung

In diesem Fall begann die Kompromittierung über CVE-2025-5777, eine Schwachstelle in Citrix NetScaler Gateway Appliances. Die initiale Infrastruktur umfasste einen Client, der über SoftEther VPN verbunden war. SoftEther ermöglicht dynamisches Tunneling über HTTPS und erleichtert es Angreifern damit, klassische Perimeter-Schutzmechanismen zu umgehen.

Nach erfolgreicher Ausnutzung der Schwachstelle folgte rasch eine laterale Bewegung zu Citrix Virtual Delivery Agent Hosts (VDA) im MCS-Subnetz (Machine Creation Services). Diese Systeme verfügen in vielen Unternehmensumgebungen über weitreichende Berechtigungen, da sie dauerhaft mit VDI-Systemen oder Authentifizierungsdiensten interagieren. Die Kombination aus Zero-Day-Schwachstelle und legitimer VPN-Infrastruktur ermöglichte es den Angreifern, tief in das interne Netzwerk vorzudringen – nahezu ohne klassische Sicherheitsalarme auszulösen.

Malware-Verteilung über DLL-Sideloading

Die Malware – vermutlich die Backdoor SNAPPYBEE (auch bekannt als Deed RAT) – wurde nicht direkt ausgeführt, sondern über DLL-Sideloading eingebracht. Die Angreifer nutzten legitime Installer bekannter Antivirenprogramme wie Norton Antivirus, Bkav oder IObit Malware Fighter und platzierten manipulierte DLL-Dateien in den jeweiligen Installationsverzeichnissen.

Dieser klassische Hijack Execution Flow (MITRE T1574.001) ist besonders effektiv, da die Payload im Kontext eines vertrauenswürdigen Prozesses ausgeführt wird. Die Angreifer nutzten gezielt solche vertrauenswürdigen Prozesse zur Ausführung. In einigen Fällen kamen zudem Evasion-Techniken zum Einsatz, um Erkennung und Analyse zu erschweren.

Command-and-Control: Mehrkanalig mit Protokollverschleierung

Die Backdoor kommunizierte über eine duale C2-Architektur. Die HTTP-basierte Kommunikation erfolgte über manipulierte POST-Requests unter Verwendung von Internet-Explorer-User-Agents. Parallel dazu zeigten mehrere Hosts Hinweise auf ein proprietäres, nicht dokumentiertes Protokoll über nicht standardisierte TCP-Ports. Domains und IP-Adressen – darunter aar.gandhibludtric[.]com und 89.31.121[.]101 – sind aus früheren Kampagnen von Salt Typhoon bekannt und werden mit VPS-Anbietern wie LightNode in Verbindung gebracht.

Die Angreifer setzten auf verdeckte Techniken wie DLL-Sideloading und die Nutzung legitimer Binaries (LOLBins), um einer Erkennung zu entgehen. Auf einigen Systemen wurden Hinweise auf missbräuchliche PowerShell-Nutzung und WMI-basierte Aufklärungsaktivitäten festgestellt. Diese Verhaltensmuster wurden in Kombination mit der verdeckten C2-Kommunikation durch die verhaltensbasierte KI von Darktrace erkannt – ein Hinweis auf die Notwendigkeit domänenübergreifender Transparenz und adaptiver Verteidigungsansätze.

Anomalieerkennung in Echtzeit: Entdeckung durch Cyber AI Analyst

Trotz der ausgefeilten Tarnmechanismen wurde der Angriff frühzeitig erkannt – nicht durch Signaturen, sondern durch KI-gestützte Anomalieerkennung. Die Darktrace ActiveAI Security Platform registrierte ungewöhnliche Datei- und Netzwerkaktivitäten, darunter:

• EXE-Dateien aus selten genutzten externen Quellen

• gleichzeitiger Aufbau mehrerer ausgehender TCP-Verbindungen

• EXE- und DLL-Dateien mit inkonsistenten Erstellungszeitpunkten

• verdächtige Registry-Änderungen durch neue Benutzerkonten

Diese Anomalien wurden automatisch durch den Darktrace Cyber AI Analyst miteinander verknüpft: Einzelereignisse wurden zu zusammenhängenden „Incidents“ konsolidiert, inklusive Zeitachsen, beteiligter Benutzer und betroffener Systeme. Die automatisierte Analyse reduzierte die Reaktionszeit des SOC erheblich und ermöglichte eine schnelle Isolation betroffener Hosts.

Lessons Learned: Warum klassische Abwehrmechanismen versagen

Salt Typhoon verdeutlicht die Grenzen traditioneller Verteidigungsstrategien. Signaturbasierte Systeme erkennen weder Sideloading-Techniken noch Zero-Day-Exploits. Isolierte Sicherheitslösungen – etwa getrennte Endpoint-, Netzwerk- oder Identity-Tools – liefern kein ganzheitliches Lagebild.

Solche Angriffe lassen sich nur durch Plattformen mit verhaltensbasierter, domänenübergreifender Analyse frühzeitig erkennen. In diesem Kontext ist KI kein optionales Element, sondern essenziell. Nur adaptive Anomalieerkennung kann Abweichungen im Verhalten von Hosts, Prozessen oder Benutzern erkennen, korrelieren und kontextualisieren, bevor Schaden entsteht.

Fazit: Adaptive Verteidigung gegen adaptive Bedrohungen

Salt Typhoon verfolgt ein klares Ziel: unentdeckt zu bleiben. Die Gruppe nutzt legitime Werkzeuge, modulare Malware, flexible C2-Kanäle und verschleierte Infrastruktur. Die Konsequenz für Verteidiger ist eindeutig: Nur wer Kontext erkennt, kann Angriffsmuster identifizieren. Nur wer ganzheitlich analysiert, kann koordiniert reagieren. Und nur wer autonome, KI-gestützte Reaktionen ermöglicht, kann Schäden begrenzen.

Der Angriff auf das europäische Telekommunikationsunternehmen wurde durch frühzeitige Erkennung und automatisierte Eindämmung neutralisiert – noch bevor sensible Daten exfiltriert oder Systeme beeinträchtigt wurden. Der Vorfall zeigt jedoch auch: Die nächste Operation ist nur eine Frage der Zeit. Proaktive, kontextbasierte Verteidigung muss zur Norm werden – denn die Angreifer haben sich bereits weiterentwickelt.

Über den Autor

Max Heinemeyer ist Global Field CISO bei Darktrace und hat über zehn Jahren Erfahrung in diesem Bereich. Seine Schwerpunkte liegen unter anderem in den Bereichen Penetrationstests, Red Teaming, SIEM- und SOC-Beratung sowie in der Jagd auf Advanced Persistent Threats (APT).

(ID:50788329)