Cyberrisiken
Earth Sirrush, ein sich weiterentwickelndes Spionage-Tool
Earth Sirrush hat seine Tools und Verbreitungsmethoden wiederholt geändert, doch wir zeigen auch, wie gemeinsamer Code, wiederverwendete Artefakte und Infrastrukturmuster weiterhin die Verbindungen zwischen den einzelnen Kampagnen offenlegen.
Save to Folio
Wichtigste Erkenntnisse
- Earth Sirrush fährt seit mindestens 2022 Spear-Phishing-Kampagnen gegen Ziele in der ukrainischen Regierung, im Verteidigungsbereich, bei der Grenzschutzbehörde und in der Logistik.
- Die Hackergruppe hat mehr als zehn Malware-Familien entwickelt, von in PowerShell und Golang erstellten bis hin zu solchen, die auf dem .NET Framework basieren. Darunter ist eine bisher undokumentierter .NET-Infostealer und RAT.
- Die Kontinuität über die verschiedenen Familien hinweg wird durch mehrere unabhängige Indikatoren gestützt.
Seit mindestens 2022 führt die mit Russland in Verbindung stehende Gruppe Earth Sirrush – zuvor als„SHADOW-EARTH-065 bekannt -- anhaltende Spear-Phishing-Kampagnen gegen ukrainische Regierungsbehörden, Verteidigungsorganisationen, Grenzschutzverbände und Logistikunternehmen. Wir haben deren Aktivitäten von 2022 bis Juli 2026 verfolgt und einen Angreifer entdeckt, der seine Malware kontinuierlich austauscht, dabei jedoch erkennbare Muster in Entwicklung, Verbreitung und Infrastruktur beibehält.
Von PowerShell-Loadern zu besser getarnten .NET-Implantaten
Die frühen Kampagnen von Earth Sirrush stützten sich auf PowerShell- und Go-basierte Tools (darunter die Familien LONEPAGE, SEAGLOW und OVERJAM), die über bösartige Archive, HTA-Dateien und über die Ausnutzung der WinRAR-Sicherheitslücke CVE-2023-38831 verbreitet wurden. Die frühe Command-and-Control-Kommunikation (C&C) erfolgte üblicherweise über unverschlüsseltes HTTP auf Ports mit hohen Nummern.
Zwischen 2024 und 2025 stellte die Gruppe auf compilierte C#-Malware um. In dieser Phase kamen MATCHBOIL, MATCHWOK und DRAGSTARE zum Einsatz, über die CERT-UA berichtete und die – im Falle von DRAGSTARE – auch von FortiGuard Labs analysiert wurden. Dabei handelt es sich um Tools, die zum Laden von Payloads, zur Ausführung verschlüsselter Aufgaben, zum Diebstahl von Anmeldedaten und zur Systemaufklärung entwickelt wurden.
Die bemerkenswerteste Entwicklung in diesem Zeitraum war ein bislang undokumentierter .NET-Infostealer und Remote-Access-Trojaner (RAT), ASHVEIN, von seinen Entwicklern als „TelemetryBrowser“ bezeichnet.
ASHVEIN zielt auf Mitarbeiter der ukrainischen Regierung ab und kombiniert den Diebstahl von Anmeldedaten mit Überwachungs- und Fernsteuerungsfunktionen. Der RAT versteckt Aufgaben außerdem in unsichtbaren HTML-Elementen. Einige Varianten nutzen einen GitHub-basierten Dead-Drop-Resolver als Ausweichmechanismus, und zu den Verbreitungsmethoden gehört das Sideloading von DLLs, VHD-Container und dedizierte .NET-Dropper. Weitere Einzelheiten im Originalbericht.
Steganografie wird zum Übertragungsmechanismus
2026 weitete Earth Sirrush den Einsatz bildbasierter Steganografie aus, und die CINDERBLOT-Kampagne nutzte Phishing-Köder, die sich als staatlicher Grenzschutzdienst der Ukraine ausgaben. Eine spätere Kampagne gab sich als Hersteller von Drohnen- oder UAV-Ersatzteilen aus. Die Opfer wurden auf eine professionell gestaltete Website weitergeleitet, bevor sie mit Schadcode versehene ZIP-Dateien herunterluden. Die extrahierten Payloads waren in PNG-Bildern versteckt und wurden über geplante Aufgaben eingesetzt.
Die Gruppe setzte zudem mehrere steganografische Techniken ein. Einige Payloads wurden in PNG-Bilddaten eingebettet, während andere mittels PowerShell-Skripts aus Pixeldaten extrahiert wurden. Diese Variation deutet darauf hin, dass die Betreiber mehrere Verbreitungsmechanismen parallel nutzen, um die Erkennung und Analyse zu erschweren.
Eine taktische Umstellung im Juli 2026
Im Juli 2026 dokumentierte CERT-UA eine neue Infektionskette, an der drei Tools beteiligt waren: LUNCHPOKE, ein bösartiges Notepad++-Plugin, um die Infektionskette zu initiieren; BURNYBEAR, einen .NET-Loader, um Payloads abzurufen und auszuführen; sowie MATCHBOIL.V2, einen aktualisierten Loader mit stärkerer Verschlüsselung und überarbeiteter Verschleierung.
Die Kampagne missbrauchte zudem umbenannte Kopien von „schtasks.exe“ und erstellte geplante Aufgaben, die in kurzen Intervallen ausgeführt wurden. Eine parallele Infektionskette nutzte PowerShell-Skripte, um Payloads aus PNG-Bildern zu extrahieren und Persistenz über „Run“-Schlüssel in der Registrierung herzustellen.
Diese Techniken verdeutlichen ein einheitliches operatives Ziel: Malware in vertrauter Software, legitim wirkenden Dokumenten und gewöhnlichen Windows-Speicherorten zu verstecken.
Mehrere Hinweise für eine einzige Angriffsgruppe
Obwohl Earth Sirrush seine Tooling-Umgebung wiederholt neu aufgebaut hat, identifizierte TrendAI™ Research mehrere unabhängige Indikatoren, die die Kampagnen miteinander verbinden:
- Wiederverwendung derselben PKCS #7-Signaturdatei als Social-Engineering-Requisit
- Wiederkehrende Entwicklerkontonamen und PDB-Pfad-Artefakte
- Russischsprachige Indikatoren
- Strukturell identische XOR-basierte Zeichenfolgenverschlüsselung bei ASHVEIN, MATCHBOIL und DRAGSTARE
- Identische WMI-Fingerprinting-Abfragen bei ASHVEIN und CINDERBLOT
- Gemeinsames „TelemetryUP“-Branding in den ASHVEIN-Metadaten und der zugehörigen Infrastruktur
- Gemeinsame Nutzung von .library-ms-Dateien und des Verzeichnisses C:\Users\Public\Libraries\
- Ähnliche hybride AES- und RSA-Verschlüsselungsschemata
- Wiederholte Techniken zur Umgehung von Anti-Debugging-Maßnahmen und zur Umgehung der TLS-Zertifikatsvalidierung
Die Infrastrukturanalyse liefert zusätzliche Belege. Viele bestätigte C&C-Domains wurden über denselben Registrar registriert und über Cloudflare bereitgestellt. Die Backend-Systeme sind in AS399629 (BL Networks) gebündelt. Eine Backend-IP verbindet direkt Domains, die sowohl mit ASHVEIN als auch mit CINDERBLOT in Verbindung stehen.
Kein einzelner Indikator ist ausschlaggebend. Das Zusammenspiel aus Code-Ähnlichkeiten, wiederverwendeten Artefakten, Infrastrukturbeziehungen und konsistenten Angriffszielen stützt jedoch unsere mit hoher Sicherheit getroffene Einschätzung, dass diese Operationen zu demselben nachverfolgten Intrusion-Set gehören.
Die Zielauswahl geht über den staatlichen Bereich hinaus
Earth Sirrush hat Ministerien, Streitkräfte, Grenzschutzbehörden sowie Organisationen ins Visier genommen, die mit den Logistik- und Verteidigungsversorgungsketten der Ukraine in Verbindung stehen. Unsere Telemetriedaten zeigen zudem Aktivitäten gegen weitere Transport- und Logistikunternehmen.
Diese Zielauswahl deutet eher auf eine langfristige Mission zur Informationsbeschaffung hin als auf eine kurzlebige „Smash-and-Grab“-Operation. Da Logistik und Infrastruktur für die Widerstandsfähigkeit der Ukraine im Krieg immer wichtiger werden, sind sie auch zu attraktiveren Zielen für Cyberspionage.
Risikominimierung
Da Earth Sirrush seine Tools und Verbreitungsmethoden ständig anpasst, kann eine mehrschichtige Verteidigung Organisationen dabei helfen, ihre Anfälligkeit für potenzielle Angriffe zu begrenzen:
- Blockieren Sie bestätigte C&C-Domains und IP-Adressen und betrachten Sie gemeinsam genutzte Backend-Systeme dabei als unterstützende Indikatoren, nicht als eigenständige.
- Überwachen Sie die Erstellung von ausführbaren Dateien unter C:\Users\Public\Libraries\ und anderen für Benutzer beschreibbaren Staging-Verzeichnissen.
- Erkennen Sie umbenannte Kopien von „schtasks.exe“ und „Notepad++“, die DLLs aus ungewöhnlichen Plugin-Speicherorten laden.
- Suchen Sie nach PE-Dateien, die an PNG-Bilder angehängt sind, und überwachen Sie verdächtige VHD-Einbindungen.
- Lösen Sie Warnungen bei Unicode-Auffülltechniken aus, die zur Verschleierung von Dateierweiterungen verwendet werden.
- Aktivieren Sie die DPAPI-Überwachung, die PowerShell-ScriptBlock-Protokollierung und den eingeschränkten Sprachmodus.
- Überwachen Sie ungewöhnliche Zugriffe auf die „Local State“-Datei von Chrome und die Profildaten von Firefox.
- Schulen Sie Mitarbeiter in Behörden, Logistikunternehmen, Grenzschutzbehörden und verteidigungsnahen Organisationen darin, maßgeschneiderte Spear-Phishing-Köder zu erkennen.
- Überprüfen Sie digitale Signaturen auf eingehenden Dokumenten, insbesondere bei wiederverwendeten oder nicht übereinstimmenden PKCS-#7-Dateien.
Fazit
Die Entwicklung der Gruppe unterstreicht eine zentrale Erkenntnis für Verteidiger: Malware-Familien mögen sich ändern, doch Entwicklungsgewohnheiten, Verbreitungsmuster, Infrastrukturentscheidungen und operative Konventionen können die Verbindungen zwischen Kampagnen aufrechterhalten. Das Aufdecken dieser Zusammenhänge kann Organisationen dabei helfen, das gesamte Ausmaß des Eindringens zu erkennen, bevor aus einem einzelnen Vorfall eine dauerhafte Kompromittierung wird.
Unsere vollständige Analyse finden Sie in unserem technischen Bericht hier.