Ein falsches Spiel: ScarCruft kompromittiert Spieleplattform in einer Supply-Chain-Attacke

ESET-Forscher haben einen plattformübergreifenden Supply-Chain-Angriff der mit Nordkorea verbündeten APT-Gruppe ScarCruft aufgedeckt, der auf die Region Yanbian in China abzielt. Die Region gilt als wichtiger Zufluchts- und Kontaktpunkt für nordkoreanische Flüchtlinge und Überläufer. Bei der Attacke, die vermutlich seit Ende 2024 andauert, kompromittierte ScarCruft Windows- und Android-Komponenten einer Videospielplattform, die sich auf Spiele mit dem Thema Yanbian spezialisiert hat, und versah sie mit einer Hintertür.

Die Backdoor, die von ESET BirdCall genannt wird, war ursprünglich nur für Windows bekannt; die Android-Version wurde im Rahmen dieses Angriffs über die Lieferkette entdeckt. In diesem Blogpost geben wir einen Überblick über den Angriff und die erste öffentliche Analyse der Android-Backdoor.

Die wichtigsten Punkte dieses Blogposts:

• Die mit Nordkorea verbündete APT-Gruppe ScarCruft kompromittierte eine Videospielplattform, die von ethnischen Koreanern in der Region Yanbian in China genutzt wird.
• Der Windows-Client der Spieleplattform wurde durch ein bösartiges Update kompromittiert, das zur RokRAT-Backdoor führte, die wiederum die ausgefeiltere BirdCall-Backdoor implementierte.
• Die auf der Spieleplattform verfügbaren Android-Spiele wurden trojanisiert und enthielten die Android-Version der BirdCall-Backdoor - ein neues Werkzeug im Arsenal von ScarCruft.
• Ziel der Kampagne ist Spionage, indem die Backdoor persönliche Daten und Dokumente sammelt, Screenshots erstellt und Sprachaufnahmen macht.

ScarCruft-Profil

ScarCruft, auch bekannt als APT37 oder Reaper, ist seit mindestens 2012 aktiv und steht im Verdacht, eine nordkoreanische Spionagegruppe zu sein. Sie konzentriert sich in erster Linie auf Südkorea, aber auch andere asiatische Länder wurden ins Visier genommen. ScarCruft scheint vor allem an Regierungs- und Militäreinrichtungen sowie an Unternehmen in verschiedenen Branchen interessiert zu sein, die mit den Interessen Nordkoreas in Verbindung stehen. Die Gruppe hat es auch auf nordkoreanische Überläufer abgesehen, wobei die jüngsten Aktivitäten in diesem Blogpost vorgestellt werden.

BirdCall-Hintertür

Windows-Version

BirdCall ist eine in C++ geschriebene Windows-Backdoor, die wir im Jahr 2021 entdeckten und im Rahmen der ESET Threat Intelligence-Berichterstattung ScarCruft zuschrieben.

Die Backdoor verfügt über ein breites Spektrum an Spionagefunktionen, darunter das Erstellen von Screenshots, das Protokollieren von Tastatureingaben und Inhalten der Zwischenablage, das Stehlen von Anmeldedaten und Dateien sowie das Ausführen von Shell-Befehlen. Für Command&Control-Zwecke nutzt die Backdoor legitime Cloud-Speicherdienste wie Dropbox und pCloud oder kompromittierte Websites. BirdCall wird normalerweise in einer mehrstufigen Ladekette bereitgestellt. Diese beginnt mit einem Ruby- oder Python-Skript und enthält Komponenten, die mit einem computerspezifischen Schlüssel codiert sind. Die erste Version von BirdCall wurde von südkoreanischen Anbietern im Jahr 2021 öffentlich als eine fortgeschrittene Version von RokRAT(S2W, AhnLab) beschrieben.

Android-Version

Die Android-Version von BirdCall, die bei dem in diesem Blogpost beschriebenen Angriff entdeckt wurde, implementiert eine Teilmenge der Befehle und Funktionen der Windows-Backdoor: Er sammelt Kontakte, SMS-Nachrichten, Anrufprotokolle, Dokumente, Mediendateien und private Schlüssel. Er kann auch Screenshots machen und Umgebungsgeräusche aufzeichnen.

Nach unseren Recherchen wurde Android BirdCall über mehrere Monate hinweg entwickelt. Wir haben sieben Versionen identifiziert, die von Version 1.0 (erstellt etwa im Oktober 2024) bis Version 2.0 (erstellt etwa im Juni 2025) reichen.

Entdeckung

Unsere Untersuchung begann mit einer verdächtigen APK-Datei, die auf VirusTotal gefunden wurde. Nach einer ersten Analyse stellten wir fest, dass die APK bösartig ist und eine Backdoor enthält.

Interessanterweise stellte sich die APK als ein trojanisiertes Kartenspiel namens 延边红十 (Maschinenübersetzung: Yanbian Red Ten) heraus, das wir zu seiner offiziellen Website https://www.sqgame[.]net zurückverfolgt haben. sqgame ist eine Spieleplattform, die auf die Menschen in Yanbian zugeschnitten ist und traditionelle Yanbian-Spiele für Windows, Android und iOS bereitstellt. Die Spieler können in Karten- und Brettspielen (siehe Abbildung 1) mit Freunden konkurrieren oder an organisierten Turnieren teilnehmen.

Überraschenderweise ist die APK, die auf der offiziellen Website zum Download bereitsteht, dieselbe wie die APK, die wir ursprünglich auf VirusTotal gefunden haben. Darüber hinaus wurde ein zweites Android-Spiel (新画图, maschinelle Übersetzung: New Drawing), das von sqgame heruntergeladen werden kann, ebenfalls mit der gleichen Backdoor trojanisiert. Weitere Analysen ergaben, dass die Backdoor eine Android-Portierung der BirdCall-Backdoor der ScarCruft-Gruppe ist.

Der Link zum Windows Desktop-Client auf der sqgame-Website führt zu einem einige Jahre alten Installationsprogramm, das sauber zu sein scheint. Nach der Installation werden zwar Updates heruntergeladen, aber wir haben bei unserer Analyse keinen bösartigen Code gefunden.

Bei weiteren Untersuchungen in der ESET-Telemetrie haben wir eine trojanisierte mono.dll-Bibliothek identifiziert, die aus einem Update-Paket für den Desktop-Client stammt. Die ESET-Telemetrie zeigt, dass dieses Update-Paket mindestens seit November 2024 für einen unbekannten Zeitraum bösartig war. Zum Zeitpunkt der Erstellung dieses Berichts war dieses Update-Paket nicht mehr schädlich.

Wir haben auch das auf der sqgame-Website verfügbare iOS-Spiel überprüft und keinen bösartigen Code gefunden. Wir gehen davon aus, dass ScarCruft diese Plattform übersprungen hat, da die Trojanisierung und Auslieferung der App im Vergleich zu anderen Plattformen viel schwieriger wäre und möglicherweise mit dem Überprüfungsprozess von Apple zusammenstoßen würde.

Viktimologie

Da die bei diesem Angriff kompromittierte Website den Einwohnern von Yanbian und ihren traditionellen Spielen gewidmet ist, gehen wir davon aus, dass die primären Ziele ethnische Koreaner sind, die in Yanbian leben. Die autonome Präfektur Yanbian ist eine Region in China, die an Nordkorea grenzt und in der die größte ethnische koreanische Gemeinschaft außerhalb Koreas lebt.

Vor diesem Hintergrund halten wir es für wahrscheinlich, dass der Angriff darauf abzielte, Informationen über Personen zu sammeln, die in der Region Yanbian leben (oder aus ihr stammen) und für das nordkoreanische Regime von Interesse sind - höchstwahrscheinlich Flüchtlinge oder Überläufer.

Überblick über den Angriff

Android

Bei zwei der auf der sqgame-Website verfügbaren Android-Spiele wurde festgestellt, dass sie mit einem Trojaner versehen waren, der die BirdCall-Backdoor enthielt. Die unter https://www.sqgame[.]net/games/gamedownload.aspx verfügbare Download-Seite ist in Abbildung 2 dargestellt, wobei die Download-Schaltflächen für die beiden trojanisierten Spiele rot hervorgehoben sind. Das dritte verfügbare Android-Spiel war zum Zeitpunkt unserer Analyse sauber.

Wir haben Hinweise darauf gefunden, dass die Opfer die trojanisierten Spiele über einen Webbrowser auf ihre Geräte heruntergeladen und wahrscheinlich mit gutem Gewissen installiert haben. Wir haben keine anderen APK-Speicherorte gefunden. Wir haben die bösartigen APKs auch nicht im offiziellen Google Play Store gefunden.

Wir konnten nicht feststellen, wann die Website zum ersten Mal kompromittiert wurde und der Angriff über die Lieferkette begann. Auf der Grundlage unserer Analyse der eingesetzten Malware schätzen wir jedoch, dass dies Ende 2024 geschah.

Tabelle 1 zeigt die Hosting-URLs der beiden trojanisierten APK-Dateien zusammen mit den Hashes der Dateien, die zum Zeitpunkt der Entdeckung bereitgestellt wurden. Zum Zeitpunkt der Erstellung dieses Blogposts waren die bösartigen Dateien noch auf der sqgame-Website verfügbar. Wir haben sqgame im Dezember 2025 über die Kompromittierung informiert, aber noch keine Antwort erhalten.

Tabelle 1: Bösartige Beispiele

Windows

Während der auf der sqgame-Website verfügbare Windows-Desktop-Client zum Zeitpunkt der Analyse keinen bösartigen Code enthielt, identifizierten wir später eine trojanisierte mono.dll-Bibliothek, die aus einem Update-Paket des Desktop-Clients stammt, das unter der URL http://xiazai.sqgame.com[.]cn/dating/20240429.zip gehostet wird. Die ESET-Telemetrie zeigt, dass dieses Update-Paket mindestens seit November 2024 für einen unbekannten Zeitraum bösartig war. Zum Zeitpunkt der Erstellung dieses Berichts war dieses Update-Paket es jedoch nicht mehr.

ScarCruft nahm eine saubere Mono-Bibliothek und versah sie mit zusätzlichem Code und Daten, die einen Downloader enthalten. Dieser überprüft zunächst laufende Prozesse auf Analysetools und virtuelle Maschinenumgebungen und fährt nicht fort, wenn solche gefunden werden. Andernfalls sucht er nach dem Prozess des Sqgame-Clients und erstellt einen Pfad zur Mono-Bibliothek in dessen Installationsordner.

Als Nächstes lädt er Shellcode herunter und führt ihn aus, der zum Zeitpunkt der Entdeckung die RokRAT-Backdoor enthielt. Schließlich beendet der Downloader den Client-Prozess und lädt die ursprüngliche, saubere Version der Mono-Bibliothek herunter, die die trojanisierte Version im installierten Client-Ordner ersetzt. Sowohl die Nutzlast als auch die saubere Mono-Bibliothek werden von legitimen südkoreanischen Websites heruntergeladen, die zu diesem Zweck kompromittiert wurden - ein typisches TTP von ScarCruft.

Unseren Telemetriedaten zufolge wurde die RokRAT-Backdoor anschließend zum Herunterladen und Installieren der BirdCall-Backdoor auf den betroffenen Computern verwendet.

Android BirdCall-Analyse

In diesem Abschnitt führen wir eine technische Analyse der Android-BirdCall-Backdoor durch - eine in C++ geschriebene Android-Portierung der gleichnamigen Windows-Backdoor. Intern trägt die Backdoor den Namen zhuagou, was (aus dem Chinesischen) mit "Hunde fangen" übersetzt werden kann.

Trojanisierte Android-Spiele

Android BirdCall wird über trojanisierte Android-Spiele verbreitet. Wir gehen davon aus, dass ScarCruft nicht auf den Quellcode des Spiels, sondern nur auf die sqgame-Website oder den Webserver zugreifen konnte und stattdessen die Original-APKs des Spiels nahm und sie neu kompilierte oder neu verpackte und mit Schadcode versah.

In den trojanisierten APKs ist die Einstiegsaktivität AndroidManifest.xml verändert und verweist auf den hinzugefügten Schadcode, der nach dem Starten der Backdoor die ursprüngliche Einstiegsaktivität des Spiels ausführt.

In den analysierten Beispielen war die modifizierte Einstiegsaktivität entweder com.example.zhuagou.SplashScreen oder com.mob.util.MobSs (im letzten Beispiel). Die Änderungen an AndroidManifest.xml umfassen auch neue Aktivitäts- und Dienstdefinitionen für die Hintertür sowie zusätzliche Berechtigungen, die für deren Betrieb erforderlich sind. Ein Vergleich der Pakete im Originalspiel und in der trojanisierten Version ist in Abbildung 3 dargestellt.

Da die Android-BirdCall-Backdoor Teil einer auf dem System installierten trojanisierten Android-App ist, wird sie nicht automatisch nach der Installation oder einem Neustart des Geräts gestartet, sondern ist auf die Ausführung durch den Benutzer angewiesen.

Konfiguration

Android BirdCall enthält eine Standardkonfiguration, die bei der ersten Ausführung initialisiert wird. Die Konfiguration verwendet das JSON-Format und wird in einer Datei gespeichert. Nachfolgende Läufe laden die bestehende Konfigurationsdatei, und die Konfiguration kann über Backdoor-Befehle geändert werden. Ein Beispiel für eine formatierte Konfiguration ist in Abbildung 4 dargestellt.{{CODE_BLOCK_0}}

{{CODE_BLOCK_1}}

Abbildung 4: Beispiel einer Android-BirdCall-Konfiguration

Der Konfigurationseintrag bd_version kodiert die Version der Backdoor, die als MAJOR << 5 | MINOR gespeichert wird. Der Wert 37 entspricht also der Version 1.5.

Die persistierte Konfigurationsdatei wird im Datenverzeichnis der App gespeichert und hat einen gerätespezifischen Pfad. Zusätzlich kann während der Konfigurationsinitialisierung die Standardkonfiguration der Cloud-Speicherlaufwerke, die im Beispiel fest einkodiert ist, durch eine externe Quelle überschrieben werden. Falls verfügbar, lädt die Hintertür ein JPG-Bild herunter, das eine verschlüsselte Cloud-Konfiguration enthält, die in sein Overlay eingebettet ist. Das Bild wird normalerweise auf einer kompromittierten südkoreanischen Website gehostet.

C&C-Kommunikation

Android BirdCall verwendet Cloud-Speicherlaufwerke für die C&C-Kommunikation, ähnlich wie die Windows-Version. In den analysierten Beispielen werden drei Cloud-Anbieter unterstützt: pCloud, Yandex Disk und Zoho WorkDrive, obwohl nur Zoho WorkDrive verwendet wird. Die Backdoor kommuniziert über HTTPS und sendet Anfragen an API-Endpunkte des jeweiligen Anbieters unter Verwendung der okhttp3-Bibliothek.

Während unserer Untersuchung haben wir 12 Zoho WorkDrive-Laufwerke beobachtet, die von der Android-BirdCall-Backdoor für C&C-Zwecke verwendet wurden. Einzelheiten zu den zugehörigen Konten finden Sie in Tabelle 2.

Tabelle 2: Android BirdCall Zoho WorkDrive-Konten

Funktionen

Android BirdCall verfügt über einen Update-Mechanismus: Eine neuere Version kann aus einer Update-Datei geladen werden, die in Form einer APK im App-Datenverzeichnis erwartet wird, und deren Download über den Befehl MP_SEND_FILE ausgelöst wird.

Nach dem optionalen Updatevorgang wird die ursprüngliche Spielaktivität gestartet, um keinen Verdacht zu erregen. Dann prüft die Hintertür, ob eine Internetverbindung besteht, und wartet darauf, bevor sie mit ihrer Hauptfunktion fortfährt.

Datenerfassung

Beim ersten Durchlauf sammelt die Hintertür eine vollständige Verzeichnisliste des gemeinsam genutzten externen Primärspeichers des Geräts sowie Benutzerdaten, bestehend aus Kontaktliste, Anrufprotokoll und SMS-Nachrichten.

Die Hintertür meldet sich regelmäßig beim C&C und lädt grundlegende Informationen hoch, die aus folgenden Elementen bestehen

• kennungswerte aus der Konfiguration und der aktuellen Zeit,
• batterietemperatur, RAM- und Speicherinformationen, Cloud-Konfiguration, Backdoor-Version und Dateierweiterungen von Interesse,
• IP-Geolokalisierungsinformationen von https://ipinfo[.]io/json und
• beim ersten Durchlauf werden zusätzliche Informationen über das Gerät, das Netzwerk und die Anwendung aufgenommen

  marke, Modell, Betriebssystem, Kernel und Root-Status,

  ○ IMEI-Nummer, IP-Adresse, MAC-Adresse und Netzwerktyp sowie

  ○ Anwendungspaket und Berechtigungen.

Die Hintertür kann in regelmäßigen Abständen Screenshots erstellen(Scr-Flag ). In einigen Versionen haben wir beobachtet, dass während der Aufnahme von Screenshots eine stille MP3-Datei in einer Schleife abgespielt wird, um zu verhindern, dass die trojanisierte Anwendung im Hintergrund ausgeführt wird.

In einigen Versionen kann die Hintertür über das Mikrofon Audio aufzeichnen und die Umgebung des kompromittierten Geräts belauschen. Seltsamerweise ist die Aufzeichnung, selbst wenn sie aktiviert ist(rec-Flag ), auf einen dreistündigen Zeitraum am Abend zwischen 19 und 22 Uhr Ortszeit beschränkt.

Die Hintertür sucht regelmäßig auf dem gemeinsam genutzten externen Speicher nach Dateien mit interessanten Erweiterungen(Extensions) und stellt sie für die Exfiltration bereit. In den von uns analysierten Beispielen zielte die Exfiltration auf Mediendateien, Dokumente und private Schlüssel ab: .jpg, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .txt, .hwp, .pdf, .m4a und .p12.

Befehle

Android BirdCall überprüft den Cloud-Speicher regelmäßig auf Befehle, die für das Opfer erteilt wurden. Die entschlüsselten Befehle beginnen mit dem magischen DWORD 0x2A7B4C33, und dieser Wert entspricht der Windows-Version von BirdCall. Die Befehle haben je nach ihrem Typ null oder mehr Parameter. Tabelle 3 gibt einen Überblick über die unterstützten Befehle und ihre Beschreibungen für beide Plattformen.

Die Android-Version der Hintertür implementiert nur eine Teilmenge der in der Windows-Version verfügbaren Befehle.

Tabelle 3: BirdCall-Backdoor-Befehle

Ein Dump mit der Windows-Version von BirdCall, der dem bei diesem Angriff beobachteten sehr ähnlich ist und alle oben aufgeführten Befehle enthält, ist auf VirusTotal mit SHA-1 B06110E0FEB7592872E380B7E3B8F77D80DD1108 zu finden. Das Beispiel wurde am^15. Juli 2024 aus China hochgeladen.

Schlussfolgerung

Wir haben einen plattformübergreifenden Supply-Chain-Angriff aufgedeckt, der über eine kompromittierte Videospielplattform auf die Region Yanbian abzielt. Bei der Analyse der trojanisierten Android-Spiele auf der Plattform haben wir ein neues Werkzeug im Arsenal von ScarCruft entdeckt - eine Android-Version der BirdCall-Backdoor der Gruppe. Die Android-Backdoor wurde aktiv weiterentwickelt und bietet Überwachungsfunktionen wie das Sammeln persönlicher Daten und Dokumente, das Anfertigen von Screenshots und Sprachaufzeichnungen.

Wenn Sie Fragen zu unseren auf WeLiveSecurity veröffentlichten Untersuchungen haben, kontaktieren Sie uns bitte unter threatintel@eset.com.

ESET Research bietet private APT Intelligence Reports und Datenfeeds an. Wenn Sie Fragen zu diesem Service haben, besuchen Sie die ESET Threat Intelligence Seite.

IoCs

Eine umfassende Liste von Kompromissindikatoren (Indicators of Compromise, IoCs) und Beispielen finden Sie in unserem GitHub-Repository.

Dateien

Netzwerk

MITRE ATT&CK-Techniken

Diese Tabelle wurde mit der Version 18 des MITRE ATT&CK Enterprise Frameworks erstellt.

Diese Tabelle wurde mit der Version 18 des MITRE ATT&CK Mobile Frameworks erstellt.