Hacker missbrauchen die ViPNet-Software bei Angriffen gegen russische Behörden

Ein fortgeschrittener Cyberkampagne nutzt den Aktualisierungsmechanismus der russischen Sicherheitsplattform aus ViPNet Angriffe auf russische Behörden und andere wichtige Organisationen. Die Kampagne, die den Namen HelloNet, ist mindestens seit Mai aktiv und nutzt eine Kette bösartiger Komponenten, um sich langfristigen Zugriff auf kompromittierte Systeme zu verschaffen.

Laut Forschern bei Kaspersky Die Angriffe trafen Organisationen im öffentlichen Sektor, im Energie-, Transport-, Bildungs- und Logistikbereich. Die Kampagne zeigt, wie selbst vertrauenswürdige Sicherheitssoftware im Rahmen einer ausgeklügelten Angriffskette ausgenutzt werden kann.

Angreifer nutzen den Aktualisierungsmechanismus von ViPNet aus.

ViPNet ist eine Suite von Informationssicherheitsprodukten, die vom russischen Unternehmen entwickelt wurde. InfoTecS. Die Plattform umfasst VPN, Netzwerk- und Clientschutz, Firewall, Zertifikatsverwaltung, zentrale Administration sowie sichere Nachrichtenübermittlung und Dateiübertragung.

Das Produkt ist in Russland weit verbreitet und für die Verwendung zertifiziert in Regierungsbehörden und anderen regulierten Unternehmen. Aufgrund seiner weitverbreiteten Nutzung in kritischen Systemen ist ViPNet seit Langem ein attraktives Ziel für Cyberkriminelle. Bereits im April 2025 berichtete Kaspersky von Angriffen, bei denen Angreifer vorgaben, gefälschte ViPNet-Updates zu verbreiten.

Bei der jüngsten Kampagne platzieren die Angreifer eine schädliche DLL-Datei., wtsapi32.dll, als Kaspersky Namen HalloInjector, im lokalen Verzeichnis für ViPNet-Aktualisierungssystem. Anschließend wird die Datei vom regulären Prozess geladen. itcsrvup64.exe beim Systemstart durch eine Technik namens DLL-Seitenladen.

Beim DLL-Sideloading wird ein legitimes Programm dazu verleitet, eine schädliche DLL-Datei anstelle der vorgesehenen Systemdatei zu laden. Da der Prozess, der die Datei startet, als vertrauenswürdig gilt, können Angreifer herkömmliche Sicherheitsprüfungen oft umgehen.

HelloInjector injiziert dann Code in den Windows-Prozess. svchost.exe, Dadurch erhält der Schadcode erhöhte Berechtigungen, bleibt auch nach Neustarts erhalten und kann zusätzliche schädliche Komponenten laden.

Kaspersky hat nicht beschrieben, wie die Angreifer sich den ersten Zugang zu den Systemen verschafft haben, betont aber, dass es keine Anzeichen dafür gibt, dass die zentrale Update-Infrastruktur von ViPNet kompromittiert wurde.

Modulare Malware gibt Angreifern die volle Kontrolle

Sobald HelloInjector aktiviert ist, wird die integrierte Nutzlast ausgeführt. HelloProxy direkt in den Speicher. Anschließend wird eine Verbindung zum Command-and-Control-Server (C2) der Angreifer hergestellt, der je nach angegriffenem Ziel zusätzliche Module liefert.

Zu den identifizierten Komponenten gehören:

• HalloExecutor – eine Hintertür, die Befehle ausführen und Netzwerkaufklärung durchführen kann.
• HelloCleaner – ein Tool, das ViPNet-Protokolle löscht, um die Aktivitäten der Angreifer zu verbergen.
• HalloBackdoor – eine auf Rust basierende Hintertür, die Dateiübertragung, Fernsteuerung und Befehlsausführung unterstützt.

Die modulare Architektur ermöglicht es Angreifern, die Funktionalität nach dem Erreichen eines Fußes in der kompromittierten Umgebung schrittweise zu erweitern. Dies bietet mehr Flexibilität bei gleichzeitig geringerem Entdeckungsrisiko im Vergleich zur Auslieferung der gesamten Malware in einem einzigen Schritt.

Mögliche Verbindung zu einer chinesischsprachigen APT-Gruppe

Kaspersky geht vorläufig davon aus, dass die Kampagne mit einer bisher nicht identifizierten chinesischsprachigen Person in Verbindung stehen könnte. APT-Gruppe (Fortgeschrittene, anhaltende Bedrohung).

Die Forscher betonen jedoch, dass die Beweislage begrenzt ist. Die Zuordnung basiert hauptsächlich auf einer ungenutzten Codezeile, die auf die chinesische Website verweist. sina.com sowie ein Malware-Download-Mirror, der von Universität für Wissenschaft und Technologie Chinas.

Vor diesem Hintergrund stuft Kaspersky die Zuordnung wie folgt ein: geringes Vertrauen und schließt nicht aus, dass die identifizierten Spuren absichtlich im Rahmen einer False-Flag-Operation platziert wurden.

Empfehlungen für Organisationen

Kaspersky empfiehlt Organisationen, die ViPNet nutzen, ihre Umgebungen engmaschig auf Anzeichen einer Kompromittierung zu überwachen. Besonderes Augenmerk sollte auf den Netzwerkverkehr über die folgenden Ports gelegt werden:

• 5003 – wird von HelloProxy verwendet
• 5060 – wird von HelloProxy verwendet
• 443 – wird von HelloBackdoor verwendet

Organisationen sollten außerdem prüfen, ob in den ViPNet-Installationsverzeichnissen unerwartete DLL-Dateien vorhanden sind und verdächtige Prozesse analysieren, die unter dem Namen ViPNet ausgeführt werden. svchost.exe und überwachen Sie Protokolle und Netzwerkverkehr auf ungewöhnliches Verhalten.

Vertrauenswürdige Sicherheitssoftware wird zunehmend zum Ziel von Angriffen.

Die HelloNet-Kampagne verdeutlicht einen wachsenden Trend: Cyberkriminelle und staatlich verbundene Akteure zielen auf etablierte Sicherheitslösungen ab, anstatt diese zu umgehen. Durch die Ausnutzung legitimer Prozesse und Update-Mechanismen können Angreifer das Entdeckungsrisiko minimieren und sich gleichzeitig langfristig in unternehmenskritischen Umgebungen etablieren.

Für Unternehmen bedeutet dies, dass herkömmliche Perimeter-Schutzmaßnahmen nicht mehr ausreichen. Kontinuierliche Überwachung, Integritätsprüfungen kritischer Systemdateien, Verhaltenserkennung und ein Zero-Trust-Ansatz gewinnen zunehmend an Bedeutung, um fortgeschrittene Bedrohungen zu erkennen. Cyberangriffe bevor sie ernsthaften Schaden anrichten.