China lockte Jobsuchende mit Hochschulabschluss in die digitale Spionage
Untersuchung enthüllt, dass studentische Übersetzer von einer Tarnfirma für die von Peking unterstützte Hackergruppe APT40 ins Visier genommen wurden
Chinesische Universitätsstudenten wurden in ein geheimnisvolles Technologieunternehmen gelockt, das die wahre Natur ihrer Arbeit verschleierte: die Erforschung westlicher Spionageziele und die Übersetzung gehackter Dokumente als Teil von Pekings Geheimdienstsystem im industriellen Maßstab.
Die Financial Times hat 140 potenzielle Übersetzer ausfindig gemacht und kontaktiert, zumeist Hochschulabsolventen, die an öffentlichen Universitäten in Hainan, Sichuan und Xi'an Englisch studiert haben. Sie hatten sich auf Stellenanzeigen von Hainan Xiandun beworben, einem Unternehmen mit Sitz auf der tropischen Südinsel Hainan.
Das Bewerbungsverfahren umfasste Übersetzungstests von sensiblen Dokumenten, die von US-Regierungsstellen beschafft worden waren, und die Anweisung, über Personen an der Johns Hopkins University zu recherchieren, einem wichtigen Ziel der Geheimdienste.
Hainan Xiandun wird in einer US-Bundesanklage aus dem Jahr 2021 beschuldigt, eine Tarnung für die chinesische Hackergruppe APT40 gewesen zu sein. Westliche Geheimdienste haben APT40 beschuldigt, im Auftrag des chinesischen Ministeriums für Staatssicherheit Regierungsbehörden, Unternehmen und Universitäten in den USA, Kanada, Europa und im Nahen Osten zu infiltrieren.
Das FBI versuchte im vergangenen Juli, die Aktivitäten von Hainan Xiandun zu unterbinden, indem es drei Beamte der Staatssicherheit in der Provinz Hainan - Ding Xiaoyang, Cheng Qingmin und Zhu Yunmin - wegen ihrer angeblichen Rolle beim Aufbau des Unternehmens als Fassade für staatlich unterstützte Spionage anklagte. Ein weiterer in der Anklageschrift genannter Mann, Wu Shurong, soll ein Hacker sein, der bei der Überwachung der Mitarbeiter von Hainan Xiandun geholfen hat.
Auch westliche Nachrichtendienste suchen an Universitäten nach angehenden Spionen, wobei die Bewerber einer strengen Prüfung und Ausbildung unterzogen werden, bevor sie für die CIA in den USA oder den britischen Geheimdienst GCHQ arbeiten.
Die chinesischen Hochschulabsolventen, die von Hainan Xiandun angeworben wurden, scheinen jedoch unwissentlich in ein Leben als Spion hineingezogen worden zu sein. Auf den Websites der Universitäten wurden Stellenanzeigen des Unternehmens für Übersetzer veröffentlicht, ohne dass die Art der Arbeit näher erläutert wurde.
Dies könnte lebenslange Folgen haben, da Personen, bei denen festgestellt wurde, dass sie durch ihre Arbeit für Hainan Xiandun mit der MSS zusammengearbeitet haben, wahrscheinlich Schwierigkeiten haben werden, in westlichen Ländern zu leben und zu arbeiten - eine wichtige Motivation für viele Studenten, die Fremdsprachen studieren.
Die FT kontaktierte alle 140 Personen auf einer durchgesickerten Liste von Kandidaten, die von Sicherheitsbeamten in der Region zusammengestellt worden war, um die Echtheit der Bewerbungen zu bestätigen. Mehrere der kontaktierten Personen bestätigten zunächst ihre Identität, beendeten jedoch die Telefonate, nachdem sie nach ihren Verbindungen zu Hainan Xiandun gefragt wurden. Einige sprachen über ihre Erfahrungen mit dem Einstellungsprozess.
Die Bewerbungen geben einen Einblick in die Taktik von APT40, die dafür bekannt ist, biomedizinische, robotertechnische und maritime Forschungseinrichtungen ins Visier zu nehmen, um sich Kenntnisse über westliche Industriestrategien zu verschaffen und sensible Daten zu stehlen.
Hackerangriffe dieses Ausmaßes erfordern eine große Zahl englischsprachiger Mitarbeiter, die bei der Identifizierung von Angriffszielen helfen können, Cybertechniker, die sich Zugang zu den gegnerischen Systemen verschaffen können, und Geheimdienstmitarbeiter, die das gestohlene Material analysieren.
Zhang, ein Englisch-Absolvent, der sich bei Hainan Xiandun beworben hatte, erzählte der FT, dass ein Personalverantwortlicher ihn gebeten hatte, über die üblichen Übersetzungsaufgaben hinaus über das Johns Hopkins Applied Physics Laboratory (APL) zu recherchieren, mit der Anweisung, Informationen über die Einrichtung herauszufinden, einschließlich der Lebensläufe der Direktoren im Vorstand, der Architektur des Gebäudes und Einzelheiten zu Forschungsverträgen, die es mit Kunden abgeschlossen hatte.
Das APL, das in großem Umfang Forschungsgelder des US-Verteidigungsministeriums erhält, dürfte für Peking von erheblichem nachrichtendienstlichem Interesse sein, und die dort arbeitenden Personen sind ein bevorzugtes Ziel von Hackern.
In dem Anweisungsdokument wurden die Bewerber aufgefordert, "Software herunterzuladen, um die Große Firewall zu überwinden". Darin wird davor gewarnt, dass die Nachforschungen den Besuch von Websites wie Facebook beinhalten, das in China verboten ist und daher ein VPN erfordert, eine Software, die den Standort des Benutzers verschleiert, um Zugang zu erhalten.
"Es war ganz klar, dass es sich hier nicht um ein Übersetzungsunternehmen handelt", sagte Zhang, der sich entschied, seinen Antrag nicht weiterzuverfolgen.
Dakota Cary, Experte für chinesische Cyberspionage und ehemaliger Sicherheitsanalytiker an der Georgetown University, sagte, dass die studentischen Übersetzer wahrscheinlich bei der Suche nach Organisationen oder Personen helfen, die sich als ergiebige Quellen für sensible Informationen erweisen könnten.
"Die Tatsache, dass sie ein VPN benutzen müssen, dass sie ihre eigenen Nachforschungen anstellen müssen und dass sie gute Sprachkenntnisse benötigen, deutet für mich darauf hin, dass diese Studenten Ziele für Hackerangriffe identifizieren werden", sagte er.
Cary, der Anfang des Jahres vor der US-amerikanisch-chinesischen Kommission zur Überprüfung der wirtschaftlichen und sicherheitspolitischen Fähigkeiten Pekings ausgesagt hat, sagte, die Anweisung, Johns Hopkins zu untersuchen, sei ein Indikator für das Maß an Initiative und die Fähigkeit, sich Fachwissen anzueignen, das von den Übersetzern erwartet werde.
Ein Sicherheitsbeamter in der Region sagte, die Enthüllungen seien ein Beweis dafür, dass der MSS Universitätsstudenten als "Rekrutierungspipeline" für seine Spionageaktivitäten nutze.
US-Außenminister Antony Blinken hat den MSS bereits früher dafür verurteilt, dass er ein "Ökosystem krimineller Auftragshacker" aufgebaut hat, die sich sowohl an staatlich geförderten Aktivitäten als auch an finanziell motivierter Internetkriminalität beteiligen. Blinken fügte hinzu, dass diese Hacker Regierungen und Unternehmen "Milliarden von Dollar" in Form von gestohlenem geistigen Eigentum, Lösegeldzahlungen und Cyber-Abwehrmaßnahmen kosten.
Hainan Xiandun bat die Bewerber, ein Dokument des US-Büros für Infrastrukturforschung und -entwicklung zu übersetzen, das technische Erläuterungen zur Vermeidung von Korrosion in Verkehrsnetzen und Infrastrukturen enthielt. Damit sollte offenbar die Fähigkeit der künftigen Mitarbeiter getestet werden, komplexe wissenschaftliche Konzepte und Terminologie zu interpretieren.
"Es war ein sehr seltsames Verfahren", sagte Cindy, eine Studentin der englischen Sprache an einer angesehenen chinesischen Universität. "Ich habe mich online beworben, und dann hat mir die Personalverantwortliche eine hochtechnische Testübersetzung geschickt. Sie entschied sich, die Bewerbung nicht fortzusetzen.
Adam Kozy, ein ehemaliger FBI-Beamter, der zuletzt bei der Cybersicherheitsfirma CrowdStrike arbeitete, sagte, er habe noch nie gehört, dass westliche Geheimdienste Universitätsstudenten anwerben, ohne dass sie eine Sicherheitsfreigabe für die Sammlung von Informationen erhalten.
"Der MSS geht alles sehr informell an, und sie mögen die Grauzonen", sagte er. "Es ist interessant zu sehen, dass sie sich auf junge Studenten verlassen, um einen großen Teil der schmutzigen Arbeit zu erledigen, die spätere Konsequenzen haben kann, und dass sie diese potenziellen Risiken höchstwahrscheinlich nicht vollständig aufklären.
Die MSS reagierte nicht auf Bitten um eine Stellungnahme.
Hainan Xiandun warb um Bewerbungen auf den Websites der Universitäten und scheint eine enge Beziehung zur Hainan-Universität zu unterhalten. Das Unternehmen war im ersten Stock der Universitätsbibliothek registriert, wo sich auch der Computerraum für Studenten befindet.
In einer Stellenanzeige, die auf der Website der Fremdsprachenabteilung der Universität veröffentlicht wurde, wurden englischsprachige Studentinnen und Mitglieder der Kommunistischen Partei zur Bewerbung aufgefordert. Die Anzeige wurde nach den Anfragen der FT zu diesem Artikel gelöscht.
Mehrere Studenten, die sich bei Hainan Xiandun bewarben, hatten Schulpreise für ihre Sprachkenntnisse gewonnen, und andere waren zusätzlich Mitglied der Partei.
Laut der Anklageschrift des FBI stimmten sich die MSS-Beamten mit Mitarbeitern und Professoren an Universitäten in Hainan und anderswo in China ab", um ihre nachrichtendienstlichen Ziele zu erreichen. Mitarbeiter einer Universität in Hainan halfen auch dabei, Hainan Xiandun als Scheinfirma zu unterstützen und zu verwalten, unter anderem durch Gehaltsabrechnungen, Sozialleistungen und eine Postanschrift", heißt es in der Anklageschrift.
Während das FBI die Universität beschuldigt, die MSS bei der Identifizierung und Rekrutierung von Hackern und Linguisten zu unterstützen, um in Computernetzwerke einzudringen und diese zu stehlen", wird die Rolle der Universität bei der Anwerbung von Studenten zur Unterstützung der Sache nicht erwähnt.
Michael Misumi, Chief Information Officer der Johns Hopkins APL, sagte zu den Erkenntnissen der FT, dass die APL "wie viele technische Organisationen" auf viele Cyber-Bedrohungen reagieren muss und geeignete Maßnahmen ergreift, um sich und ihre Systeme kontinuierlich zu schützen.
Die Hainan-Universität reagierte nicht auf Bitten um Stellungnahme.