Die staatlich unterstützte chinesische Gruppe APT24 führt seit mehreren Jahren eine Spionageoperation rund um einen bisher unbekannten Malware-Stamm namens BadAudio durch und verfeinert dabei kontinuierlich die Art und Weise, wie diese die Opfer erreicht und verborgen bleibt. Analyse der Threat Intelligence Group von Google zeigt Die Kampagne ist seit mindestens Ende 2022 aktiv und kombiniert klassisches Spearphishing mit Watering-Hole-Kompromittierungen und einem großen Eingriff in die Lieferkette, der Tausende von Websites betraf, und konzentriert sich dabei gleichzeitig auf sorgfältig ausgewählte Windows-Systeme.
Die früheste Aktivität im Zusammenhang mit BadAudio umfasste die Kompromittierung von mehr als 20 legitimen öffentlichen Websites aus verschiedenen Sektoren zwischen November 2022 und September 2025. APT24 hat benutzerdefiniertes JavaScript in diese Websites eingeschleust, um Besucher zu erfassen und Systeme zu identifizieren, die es wert sind, angegriffen zu werden. Wenn ein Besucher die Kriterien erfüllte, löste das Skript eine gefälschte Software-Update-Eingabeaufforderung aus, die den BadAudio-Loader auslieferte, während andere Benutzer nichts Ungewöhnliches sahen.
Ab Juli 2024 wechselte die Gruppe zu einer Taktik mit höherer Hebelwirkung, indem sie wiederholt gegen ein Unternehmen für digitales Marketing in Taiwan vorging, das Kundenseiten JavaScript-Bibliotheken bereitstellt. In einer Phase modifizierten sie eine weit verbreitete Bibliothek und registrierten eine ähnliche Domain, die ein großes Content-Delivery-Netzwerk fälschte und es ihnen ermöglichte, über vertrauenswürdige Lieferketten mehr als 1.000 Domains zu erreichen. Später, von Ende 2024 bis Juli 2025, kehrten sie zum selben Anbieter zurück und versteckten verschleiertes JavaScript in einer manipulierten JSON-Datei, die von einem anderen Skript dieses Anbieters abgerufen wurde. In jedem Fall erstellte der eingeschleuste Code ein Profil der Besucher und schickte Base64-codierte Daten zurück an die Infrastruktur des Angreifers, der dann entschied, ob er mit einer URL der nächsten Stufe antwortete.
Parallel dazu nutzte APT24 ab etwa August 2024 Spearphishing-E-Mails, die sich als Tierrettungsgruppen ausgaben, um BadAudio direkt an die Ziele weiterzuleiten. Einige dieser E-Mails waren mit Payloads verknüpft, die auf Cloud-Plattformen wie Google Drive und OneDrive statt auf von Angreifern kontrollierten Servern gehostet wurden. Viele Versuche wurden als Spam gefiltert, aber die Nachrichten enthielten oft Tracking-Pixel, damit die Betreiber sehen konnten, wann ein Empfänger eine E-Mail öffnete, und ihre Zielgruppen verfeinern konnten.
BadAudio selbst ist darauf ausgelegt, Analysen zu vereiteln. Die Forscher von Google beschreiben den Loader als stark verschleiert und darauf ausgelegt, die Ausführung durch die Übernahme der DLL-Suchreihenfolge zu erreichen, sodass eine legitime Anwendung letztendlich die schädliche Komponente lädt. Sein Code nutzt die Abflachung des Kontrollflusses und zerlegt die normale Programmlogik in zahlreiche kleine Blöcke, die durch einen Dispatcher und eine Statusvariable koordiniert werden, was sowohl das automatisierte als auch das manuelle Reverse Engineering erschwert.
Sobald BadAudio ausgeführt wird, sammelt es Hostdaten wie Maschinennamen, Benutzernamen und Architektur, verschlüsselt sie mit einem hartcodierten AES-Schlüssel und sendet sie an eine feste Befehls- und Steueradresse. Wenn die Betreiber fortfahren, lädt die Malware eine AES-verschlüsselte Nutzlast herunter, entschlüsselt sie und führt sie per DLL-Sideloading im Speicher aus. Bei mindestens einem Vorfall handelte es sich bei dieser Nachverfolgungsstufe um einen Cobalt Strike Beacon, obwohl Google nicht bestätigen konnte, dass dieses Tool bei allen Einbrüchen verwendet wurde. Trotz dreijähriger Nutzung ist BadAudio der Antiviren-Erkennung größtenteils entgangen: Von den acht von Google geteilten Beispielen werden nur zwei von mehr als 25 Produkten auf VirusTotal gekennzeichnet, während der Rest, einschließlich der im Dezember 2022 erstellten Binärdateien, von höchstens fünf Engines erkannt wird. Für Google unterstreicht diese Kombination aus Lieferkettenreichweite, selektivem Targeting und geringer Sichtbarkeit die Fähigkeit von APT24, anhaltende, adaptive Spionage mit einem relativ kleinen Stück gut versteckten Codes aufrechtzuerhalten.
