Anzeige

Anzeige

VERANSTALTUNGEN

ACMP Competence Days Wien
15.05.19 - 15.05.19
In WAGGON-31, Wien

e-Commerce Day
17.05.19 - 17.05.19
In Köln, RheinEnergieSTADION

ACMP Competence Days Dortmund
04.06.19 - 04.06.19
In SIGNAL IDUNA PARK, 44139 Dortmund

Aachener ERP-Tage 2019
04.06.19 - 06.06.19
In Aachen

ACMP Competence Days Zürich
11.06.19 - 11.06.19
In Stadion Letzigrund, Zürich

Anzeige

Anzeige

Advanced Persistent Threats

Advanced Persistent Threats (APT) gehören zu den größten Gefahren in der IT. Dabei überlisten Angreifer gezielt die Sicherheitssysteme in hochsensiblen Netzen, um sich dort einzunisten und Daten zu stehlen oder zu einem bestimmten Zeitpunkt kritische Systeme zu sabotieren.

Im Projekt APT-Sweeper haben Forscher die Spuren dieser Angriffe verfolgt und eine wirksame Erkennungsmethode entwickelt: APTs beginnen zumeist mit Spear-Phishing-Mails, die charakteristische strukturelle Merkmale aufweisen - anhand dieser Muster können die Angriffe identifiziert und abgewehrt werden. Zudem deckten die Forscher Schwachstellen bei zahlreichen Sicherheitssystemen auf, die Malware in selten verwendeten oder fehlerhaft angewendeten Standards für E-Mail und Web Traffic nicht erkennen und einfach passieren lassen. Ob die eigene Firewall bei Web Traffic Sicherheitslücken aufweist, kann jeder mit dem frei verfügbaren Tool HTTP Evader prüfen. Forschungspartner im Projekt APT-Sweeper waren die Technische Universität Braunschweig, die Friedrich-Alexander-Universität Erlangen und das IT-Sicherheitsunternehmen genua GmbH.

APT-Angriffe unterscheiden sich deutlich von anderen Hacker-Attacken: Zum einen sind die Täter zumeist gut ausgebildete und ausgestattete staatliche Dienste oder kriminelle Organisationen. Zum anderen wird gezielt ein bestimmtes IT-System anvisiert, häufig im Bereich Wirtschaft, Forschung, Politik oder Militär. Die Attacke beginnt nach sorgfältiger Aufklärung zumeist mit Spear-Phishing. Dabei wird Mitarbeitern im Ziel-Netzwerk eine E-Mail von einer bekannten, aber gefälschten Absenderadresse zugesandt, deren Inhalt individuell auf den Empfänger abgestimmt ist.

Backdoor via Spear Phishing

Öffnen die Mitarbeiter in der scheinbar vertrauenswürdigen E-Mail den Anhang oder den eingefügten Link, so wird ein Trojaner geladen und installiert eine Backdoor im sensiblen Netzwerk. Jetzt hat der Angreifer direkten Zugang auf sein Ziel. Dort agiert er vorsichtig, um unentdeckt von Sicherheitssystemen möglichst lange Know-how stehlen oder kritische Systeme sabotieren und somit maximalen Schaden anrichten zu können.

Strukturelle Merkmale verraten gefälschte E-Mails

Um solche Attacken bereits in der Spear-Phishing-Phase aufdecken zu können, analysierten die Forscher im Projekt APT-Sweeper strukturelle Merkmale von E-Mails: Mit welchem Mail-Programm wurden sie geschrieben, über welche Server wurden sie zugestellt, welche Anhänge sind angefügt? Insgesamt erfassten die Forscher über 100 strukturelle Merkmale bei E-Mails von bekannten Absendern und erstellten mittels maschinellen Lernens zu jedem ein Profil.

Hohe Trefferquote: Spear-Phishing wird zuverlässig erkannt

Auf Basis der Absenderprofile entwickelten die Forscher eine Erkennungsmethode, die bei APT-Attacken eine hohe Trefferquote erreicht: Wird eine Spear-Phishing-E-Mail mit bekannten, aber gefälschten Absenderdaten mit dem angelegten Profil verglichen, lassen sich deutliche Abweichungen feststellen. Da Merkmale wie z. B. der Versandweg einer E-Mail erheblich schwieriger zu fälschen sind als die Absenderadresse, und über die Profile viele Strukturdaten abgeglichen werden, ist die neue Methode sehr treffsicher. So können die Empfänger vor bösartigen Spear-Phishing-E-Mails gewarnt und die APT-Angriffe abgewehrt werden. Auch generelle Phishing-Attacken, die weniger zielgerichtet ablaufen und bei denen häufig bekannte Internet-Unternehmen als Absender vorgegeben werden, lassen sich mit der neuen Methode zuverlässig enttarnen.

Aufgedeckt: Sicherheitslücken in vielen Firewalls

Bei der Analyse von Standard-Protokollen für E-Mail (MIME) und Web Traffic (HTTP) stießen die Forscher auf zahlreiche Sicherheitslücken bei verbreiteten Firewalls, Mailfiltern und Antivirus-Systemen. So erkannten die IT-Sicherheitssysteme Malware in selten verwendeten Protokoll-Erweiterungen oder fehlerhaft angewendeten Standards nicht und ließen sie einfach durch. Viele Firewalls konnten bspw. Daten nicht analysieren, die mit dem nur vereinzelt genutzten Protokoll-Standard ?deflate? komprimiert waren. Statt die ungeprüften Daten jedoch zu blockieren, ließen die Firewalls sie einfach passieren.

Frei verfügbares Testsystem für Firewalls

Die Forscher vermuten, dass das riskante Durchlassen ungeprüfter Inhalte von einigen Herstellern zugunsten der Benutzerfreundlichkeit in Kauf genommen wird, um die Anwender nicht durch blockierte Inhalte zu verärgern. Alle betroffenen Hersteller wurden von den Forschern über die gefundenen Sicherheitsmängel informiert, die meisten sind inzwischen behoben. Ob die eigene Firewall bei der Kontrolle von Web Traffic via HTTP Schwachstellen ausweist, kann jeder mit diesem im Projekt APT Sweeper entwickelten, frei verfügbaren Tool testen:

HTTP Evader Test Site: https://noxxi.de/research/http-evader.html

Die Forscher des IT-Sicherheitsunternehmens genua waren bei APT-Sweeper für die Projektleitung verantwortlich, zudem entwickelten sie Indikatoren zur APT-Erkennung in Datenströmen. Die High Resistance Firewall genugate des deutschen Herstellers genua weist keine der aufgedeckten Schwachstellen auf. Die Firewall leitet nur Daten weiter, die sie komplett analysieren konnte - unverständliche und fehlerhafte Inhalte werden konsequent geblockt. Das Projekt APT Sweeper wurde vom Bundesministerium für Bildung und Forschung gefördert. 

www.genua.de
 

GRID LIST
Tb W190 H80 Crop Int C86f856faea721589e443742410ebac4

Gefahr für Game of Thrones Fans durch infizierte Videos

Das ThreatLabZ der Zscaler warnt rund um den Start der achten Staffel von Game of Thrones…
Tb W190 H80 Crop Int C643b2c4d7af3e5bf9a53fb7d888e4a0

Phishing kann auch kleine Unternehmen treffen

Kürzlich wurde bekannt, dass sich diverse Restaurants sogenanntem „Dynamit-Phishing“…
Tb W190 H80 Crop Int 02a732366428f0b008fcb6021edc948f

Warum sich die Welt bereits im Cyberwar befindet

Obwohl einige Experten wie der Politikwissenschaftler Thomas Rid glauben, dass ein…
Trojaner

Der Trojaner Emotet ist weiterhin nicht zu stoppen

Der gefährliche Trojaner „Emotet“ hält Unternehmen, Behörden und Privatpersonen auf Trab.…
Tb W190 H80 Crop Int 97c30d94fa4781aa0faf0e0519d1928e

TajMahal: Spionageplattform mit 80 schädlichen Modulen

Die Experten von Kaspersky Lab haben ein technisch ausgereiftes Cyberspionage-Framework…
Scam Alert

Scam-Welle - Sex sells?

Cyberkriminelle versuchen derzeit im großen Stil, mit Fake-Mails Geld von ahnungslosen…