Chinesische Hacker saßen 18 Monate unbemerkt in Microsoft 365

Rund anderthalb Jahre lang lasen mit einem Staat verbundene chinesische Hacker Firmen-E-Mails, öffneten interne Dateien und bewegten sich durch Unternehmensnetze, während sie für jedes Überwachungswerkzeug wie ganz normale Mitarbeiter wirkten, die sich zur Arbeit anmelden. Der Einbruch, den die Sicherheitsfirma Volexity dokumentiert hat, knackte Microsoft 365 nicht. Er gab sich als die Leute aus, die ohnehin schon die Schlüssel hatten.

Genau dieser Unterschied ist die ganze Geschichte, und er erklärt, warum der Vorfall jeden betrifft, dessen Arbeit in einem Cloud-Konto stattfindet. Microsoft 365 ist heute der Ort, an dem die meisten Firmen ihre Post, ihre Dokumente und die Single-Sign-on-Identität ablegen, die alles andere aufschließt. Die Angreifer mussten dieses System nie besiegen. Sie liehen sich eine gültige Anmeldung und kamen durch die Vordertür, und die Abwehr, die fragen sollte „sind Sie das wirklich?“, entschied: ja.

Die Gruppe wird als UNC5221 geführt, auch bekannt als VerdantBamboo, eine Operation mit China-Bezug, die Forscher seit Jahren beobachten, weil sie die Geräte am Rand der Firmennetze angreift. Ihre jüngste Kampagne traf Kanzleien für Rechtsdienstleistungen, Softwarefirmen, Anbieter von Prozessauslagerung und Technologieunternehmen. Das sind keine zufälligen Ziele: Es sind Organisationen, die die Geheimnisse anderer Organisationen verwahren, von Mandantenakten über Quellcode bis zu den Schlüsseln, die bis zu den Kunden reichen.

Das Werkzeugset erklärt, warum der Zugang so lange unsichtbar blieb. Das Herzstück ist eine Hintertür namens Brickstorm, zuerst in der Sprache Go geschrieben und später in Rust neu gebaut, platziert auf Netzwerkgeräten, die kaum je Sicherheitssoftware ausführen und fast nie geprüft werden. In einem Fall gelangten die Angreifer über ein Egnyte-Dateisynchronisationssystem hinein, das über das VPN der Firma erreichbar war. Von diesem stillen Brückenkopf aus leitete die eingebaute Proxy-Funktion von Brickstorm ihre Aktivität durch das eigene Netz des Opfers, sodass die Verbindung, als sie mit gestohlenen Zugangsdaten Microsoft 365 erreichten, lokal und legitim aussah. Volexity geht mit hoher Sicherheit davon aus, dass dies Absicht war, eine Methode, sich in den normalen Datenverkehr einzufügen und an den Regeln für bedingten Zugriff vorbeizukommen, die eine Anmeldung vom falschen Ort sonst markiert hätten. Zwei weitere Teile hielten die Tür offen: eine .NET-Hintertür, die die Forscher Plenet nannten und die den Operatoren eine interaktive Konsole und Dateikontrolle gab, sowie eine Python-Reverse-Shell namens AgentPSD, die als Reserve bereitlag. Die Redundanz war der Sinn der Sache. Das Ganze war gebaut, um die Entdeckung zu überleben, nicht, um sie ewig zu vermeiden.

Das unangenehmste Detail ist die Rechnung mit der Zeit. Die Entdeckung kam rund achtzehn Monate nach dem ersten Eindringen. Bei Kampagnen dieser Art haben Ermittler eine durchschnittliche Verweildauer von deutlich über einem Jahr gemessen, lange genug, dass in vielen Fällen die Protokolle des ursprünglichen Einbruchs bereits durch routinemäßige Aufbewahrungsregeln gelöscht waren, bevor jemand wusste, dass er nachsehen sollte. Die Angreifer versteckten sich nicht nur. Sie überdauerten die Beweise.

Die Reichweite ging über das erste Opfer hinaus. In mindestens einem Fall kompromittierte die Gruppe einen Managed-Services-Anbieter, die externe IT-Firma, die die Technik von Dutzenden kleineren Kunden betreibt, und platzierte eine Version von Brickstorm auf dessen Firewall. Ein einziger Einbruch dort wird zum Generalschlüssel für jeden Kunden dahinter. Das ist der Teil der Geschichte, der über die Vereinigten Staaten hinausreicht, wo die meisten bekannten Ziele sitzen. Jedes Unternehmen, das seine IT auslagert, also so gut wie jedes, erbt die Sicherheit eines Anbieters, in den es nicht hineinsehen kann.

Nichts davon ist ein Fehler in Microsoft 365, den ein Patch schließt. Die Einstiegspunkte waren Geräte von Drittanbietern und gestohlene Zugangsdaten, und die Cloud verhielt sich genau wie vorgesehen, sobald eine vertrauenswürdige Anmeldung eintraf. Das ist das harte Problem, das der Fall offenlässt. Organisationen ohne Erkennungssoftware auf ihren Servern und Geräten hatten kaum eine Chance, die Aktivität zu sehen, und selbst die mit Software standen einer Operation gegenüber, die wie der ganz normale Betrieb aussehen sollte. Weil es Spionage war und kein Ransomware-Angriff, gab es keinen gesperrten Bildschirm und keine Erpressernotiz, die den Alarm erzwungen hätte, nur Daten, die still abflossen, solange die Operatoren weiter zusehen wollten.

Die Einbrüche kamen um März 2025 ans Licht, und die Warnungen haben sich seither gehäuft. Zwischen August 2025 und Januar 2026 veröffentlichten das FBI, die NSA und die US-Cybersicherheitsbehörde CISA eine Reihe von Hinweisen zu staatlich gelenkten chinesischen Einbrüchen, und die CISA meldete getrennt davon den Einsatz von Brickstorm gegen VMware-Server. Der praktische Rat der Ermittler ist knapp und unglamourös: Protokolle länger aufbewahren, als die Angreifer sich verstecken können, und Erkennung auf den stillen Geräten am Rand des Netzes einrichten, genau dort, wo die Geister am Ende am liebsten wohnen.

Schlagwörter: Cybersicherheit

Mehr davon

Wie sich Schadcode über die Lieferkette in vertrauenswürdige Software einschleicht

Eine KI hat einen funktionierenden Zero-Day-Exploit geschrieben — Google fing ihn ab

Schadcode steckte in Red Hats eigenen npm-Paketen und verbreitete sich von selbst

Megalodon machte GitHub Actions zur Hintertür für 5.561 Repositorys

Eine vergiftete VS-Code-Erweiterung stahl 3.800 interne GitHub-Repositories

CISA, die Behörde für US-Bundesnetze, ließ eigene AWS-Schlüssel auf GitHub liegen

Diskussion