APT41 / Winnti: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

APT41 (Winnti, Double Dragon) ist eine China zugeordnete Gruppe, die sowohl staatliche Spionage als auch finanziell motivierte Angriffe betreibt. Bekannt für Supply-Chain-Kompromittierungen von Software und breite Zielspektren – von Gaming und Telekommunikation bis Gesundheitswesen und Behörden.

Aktiv

Modell

Staatlicher Akteur mit Doppelrolle (Spionage + finanzielle Bereicherung)

Auch bekannt als

Winnti, Barium, Wicked Panda, Bronze Atlas, Double Dragon

Gegründet

ca. 2012

Entstanden aus

China-nexus; verbunden mit dem Winnti-Cluster

Herkunft

China (MSS-nah; zugleich eigennützige Cybercrime-Operationen)

Zielsektoren

Gaming, Technologie, Gesundheitswesen, Telekommunikation, Hochschulen, Behörden

Zielregionen

Global (USA, Asien, Europa/DACH)

Typisches Lösegeld

kein staatliches Lösegeld – aber eigennützige Krypto-/Ransomware-Nebenaktivität

Opferzahl

100+ Organisationen über Jahre; DOJ-Anklage gegen 5 Personen (2020)

File Extensions

keine (Spionage); gelegentlich Ransomware/Krypto-Miner zur Bereicherung

Ransom Note

überwiegend keine (Spionage)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als potenziell staatlich motivierte Spionage behandeln – Geschäftsführung und einen spezialisierten Incident-Response-Dienstleister einbinden.
Betroffene Systeme isolieren, aber nicht ausschalten – flüchtige Spuren sichern.
Software-Lieferkette und Code-Signing prüfen; Zugangsdaten und Zertifikate erneuern.
Out-of-Band kommunizieren; von langer Verweildauer ausgehen.
Meldepflichten prüfen (DSGVO, NIS2); BSI und ggf. Verfassungsschutz einbeziehen.
24/7-Incident-Response und Threat Intelligence hinzuziehen.

⛔ Unbedingt vermeiden

Nicht vorschnell neu aufsetzen, bevor Forensik und Umfang gesichert sind.
Signierte Binärdateien nicht blind vertrauen – APT41 nutzt gestohlene Zertifikate.
Den Angreifer nicht vorzeitig alarmieren – koordinierten Eviction-Plan erstellen.
Interne Krisenkommunikation nicht über kompromittierbare Systeme führen.
IOCs nicht ungeprüft öffentlich teilen.
Meldepflichten nicht ignorieren.

Bekannte Angriffe

Supply-Chain-Angriffe (CCleaner 2017, ASUS Live Update, Gaming-Studios)
Massenausnutzung von Web-Apps (Citrix, Zoho, Cisco) während der Pandemie

Angriffstechniken (TTPs)

Initial Access: Supply-Chain-Kompromittierung, Exploits gegen öffentlich erreichbare Anwendungen, Spearphishing.
- MITRE: T1195, T1190, T1566
Werkzeuge: ShadowPad, Winnti, Crosswalk, PlugX, Cobalt Strike; digitale Zertifikate gestohlener Firmen zur Signierung.

Technologie & Malware

Arsenal: ShadowPad, Winnti, Crosswalk, PlugX, Cobalt Strike.

Besonderheit: mischt als eine der wenigen Gruppen staatliche Spionage mit privatem, finanziell motiviertem Cybercrime.

Indicators of Compromise (IOCs)

Malware: ShadowPad, Winnti, Crosswalk
Muster: Supply-Chain, gestohlene Code-Signing-Zertifikate
Doppelrolle: Spionage + finanzielle Bereicherung

Was Unternehmen jetzt prüfen sollten

Software-Lieferkette und Code-Signing-Prozesse absichern
Patch-Management für exponierte Web-Anwendungen
Langzeit-Logging und Threat Hunting
Phishing-resistente MFA

Wie Argos unterstützt

Threat Hunting und 24/7-Monitoring im Cyber Defense Center erkennen langfristige Kompromittierungen; Angriffsflächen-Management sichert Web-Systeme.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →