Auf den Punkt: Eine on-chain-basierte C2-Analyse zeigt, dass rund 30 verschiedene Akteure – davon nur zwei staatsnah – denselben Command-and-Control-Baukasten nutzten, wodurch klassische technische Fingerprints als Attributionsgrundlage unbrauchbar werden.
Eine Analyse der Command-and-Control-Infrastruktur hinter einer staatsnah eingeordneten Angriffskampagne zeigt, dass dieselbe Blockchain-basierte C2-Technik von rund 30 verschiedenen Betreibern genutzt wurde – nur zwei davon lassen sich staatlichen Programmen zuordnen, der Rest sind gewöhnliche Kriminelle. Für CISOs bedeutet das: Ein technischer Fingerprint allein sagt nichts mehr darüber aus, wer tatsächlich im eigenen Netzwerk sitzt.
Ausgangspunkt der Untersuchung war eine Malware, die ihre C2-Adresse über eine Smart-Contract-Abfrage auf einer öffentlichen Blockchain auflöste. Öffentliche Berichte hatten bislang nur einen einzelnen Contract dokumentiert. Bei der Analyse der Chain selbst – statt nur der Malware-Probe – fand der Autor rund zwei Dutzend byte-identische Contracts sowie mehrere Varianten, die alle dasselbe Event auslösen und offenbar von einem gemeinsamen Builder erzeugt wurden. Dahinter standen etwa 30 unterschiedliche Operator-Wallets. Nur zwei dieser Wallets ließen sich – über separate Malware-Familien-Attribution anderer Forscher, nicht über die Chain-Daten selbst – plausibel staatlichen Programmen zuordnen. Die übrigen rund 28 Wallets zeigten Verhaltensmuster gewöhnlicher Krimineller.
Die Kernaussage des Artikels richtet sich gegen eine verbreitete Annahme in der Bedrohungsanalyse: Ein geteilter C2-Kit ist kein schwaches Attributionssignal, sondern ein Anti-Signal. Je distinktiver ein Fingerprint für ein solches Kit ist, desto zuverlässiger gruppiert er Akteure, die nichts miteinander zu tun haben. Der Autor betont ausdrücklich die Grenzen seiner eigenen Daten: Aus der On-Chain-Analyse lässt sich keine Operator-Attribution ableiten, und eine gemeinsame Contract-Familie impliziert nicht, dass die Kunden sich kennen, koordinieren oder Aufträge teilen. Die Chain zeigt nur: ein Builder, viele Käufer – nicht, welche Käufer staatlich sind.
Der Autor verweist auf weitere eigene Fälle mit ähnlicher Struktur: Bei einem iranisch-nexus-verknüpften Botnetz stellte sich heraus, dass die eingesetzte Tooling-Basis aus einem russischen kriminellen Dienstleister-Angebot stammte, das der Akteur lediglich übernommen hatte. Bei mehreren China-nexus-Loader-Analysen musste die Attribution aus dem gleichen Grund auf niedrigem Konfidenzniveau gehalten werden, da Side-Loading-Ketten und Standard-Cobalt-Strike-Payloads gemeinschaftlich von staatlichen wie kriminellen Akteuren genutzte „Gemeingüter“ sind. In einem Fall bestand die gesamte Payload aus unverändertem, handelsüblichem Cobalt Strike – ein Binary, das keine Aussage über den Absender zulässt.
Der Artikel ordnet diesen Befund in einen breiteren Trend ein: Auch Mandiant hat aus einer anderen Perspektive – der Netzwerkseite – dokumentiert, wie China-nexus-Akteure Operationen über Contractor-betriebene Relay-Netzwerke routen, was das Konzept akteurskontrollierter Infrastruktur weiter unterminiert und die Lebensdauer klassischer Indicators of Compromise verkürzt.
Für Sicherheitsverantwortliche folgt daraus eine praktische Konsequenz für die tägliche SOC-Arbeit: Fingerprints, die auf gemeinsam genutzten kommerziellen oder kriminellen C2-Kits basieren, sollten nicht als eigenständiges Attributionsmerkmal in Alerting- oder Reporting-Prozesse einfließen. Stattdessen braucht es zusätzliche, operator-spezifische Indikatoren – etwa Verhaltensmuster, Ziel-Auswahl oder Infrastruktur-Timing – um zwischen staatlich gesteuerten und rein kriminellen Kampagnen zu unterscheiden, bevor Ressourcen für Incident Response oder Meldepflichten allokiert werden.
Quelle: www.csoonline.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.