Anzeige

Hackerangriff

Cybereason, Unternehmen beim betriebszentrierten Schutz vor Cyberangriffen, ist es gelungen, verschiedene bislang nicht anderweitig identifizierte Cyberangriffe aufzudecken, die große Telekommunikationsanbieter in ganz Südostasien infiltrieren.

Ähnlich wie bei den jüngsten Angriffen auf SolarWinds und Kaseya kompromittierten die Angreifer externe Service-Anbieter – in diesem Fall Telekommunikationsunternehmen – mit dem übergreifenden Ziel, deren Kundenbasis auszuspionieren. 

Der Bericht folgt zeitlich und inhaltlich auf die öffentliche Rüge der Biden-Administration an die Adresse des chinesischen Ministeriums für Staatssicherheit hinsichtlich der jüngsten HAFNIUM-Vorfälle

Dabei wurden Schwachstellen in nicht gepatchten Microsoft Exchange-Servern ausgenutzt und Tausende von Unternehmen weltweit gefährdet. Eben diese Schwachstellen auszunutzen war auch für die in dieser Studie beschriebenen Angriffe der Schlüssel zum Erfolg. 

Der Report, betitelt DeadRinger: Exposing Chinese Threat Actors Targeting Major Telcos, identifiziert unterschiedliche Cluster von Angriffsaktivitäten, die seit mindestens 2017 nicht entdeckt wurden. Sie sind höchstwahrscheinlich das Werk mehrerer prominenter Advanced Persistent Threat (APT)-Gruppen, die eng mit den Interessen der chinesischen Regierung verbunden sind. Cybereason konnte bei allen drei Operationen signifikante Überschneidungen bei Taktik, Technik und Prozedere (TTPs) beobachten. Das Unternehmen vermutet, dass die Angreifer ihre Ziele wahrscheinlich parallel unter der Leitung einer zentralen Koordinierungsstelle und im Einklang mit den Interessen des chinesischen Staates verfolgen.

„Die Angriffe sind ausgesprochen besorgniserregend, denn sie untergraben die Sicherheit von Anbietern kritischer Infrastrukturen. Ins Visier geraten dabei vertrauliche und geschützte Informationen sowohl öffentlicher wie privater Unternehmen, die für ihre Geschäftstätigkeit auf eine geschützte Kommunikation angewiesen sind. Solcherart staatlich geförderte Spionageoperationen wirken sich nicht nur negativ auf Kunden und Geschäftspartner der betreffenden Telekommunikationsunternehmen aus. Sie haben zusätzlich das Potenzial, die nationale Sicherheit der Länder in der Region zu gefährden sowie derjenigen, die ein berechtigtes Interesse an Stabilität innerhalb der Region haben", so Lior Div, CEO und Mitgründer von Cybereason. „Genau aus diesem Grund beschäftigt sich bei Cybereason ein globales Team erfahrener Threat Intelligence-Ermittler mit den Taktiken, Techniken und Vorgehensweisen hochkarätiger Gegenspieler – mit dem Ziel, Unternehmen jetzt und in Zukunft besser vor dieser Art von komplexen Angriffen zu schützen."

Zu den wichtigsten Ergebnissen zählen: 

  • Adaptiv, persistent und evasiv: Die Angreifer sind besonders anpassungsfähig und haben ihre Aktivitäten sorgfältig verschleiert, um die Persistenz auf den infizierten Systemen zu gewährleisten. Das erlaubt es ihnen ganz offensichtlich, dynamisch auf Gegenmaßnahmen zu reagieren, nachdem es ihnen gelungen ist Sicherheitsmaßnahmen seit mindestens dem Jahr 2017 zu umgehen. Im Übrigen auch ein Hinweis darauf, dass die Ziele für die Angreifer von großem Wert sind.
  • Kompromittierung von Dritten, um bestimmte Ziele zu erreichen: Ganz ähnlich wie bei den jüngsten Angriffen auf SolarWinds und Kaseya haben die Angreifer externe Dritte kompromittiert – in diesem Fall Telekommunikationsunternehmen –  mit der Absicht, bestimmte hochrangige Kunden der betroffenen Telekommunikationsunternehmen auszuspionieren.
  • Microsoft Exchange-Schwachstellen ausgenutzt: Vergleichbar den HAFNIUM-Angriffen haben die Angreifer die jüngst bekannt gewordenen Schwachstellen in Microsoft Exchange-Servern ausgenutzt, um sich Zugang zu den anvisierten Netzwerken zu verschaffen. Anschließend wurden kritische Assets kompromittiert wie Domain Controller (DC) und Abrechnungssysteme, die hochsensible Informationen wie Call Detail Record (CDR)-Daten enthalten. Die Angreifer können so auf die sensible Kommunikation sämtlicher Nutzer der betroffenen Telekommunikationsdienste zugreifen.  
  • Hochrangige Spionageziele: Basierend auf den früheren Ergebnissen des Operation Soft Cell Report, im Jahr 2019 von Cybereason veröffentlicht, sowie weiteren veröffentlichten Analysen zurückliegender Operationen dieser Angreifergruppen, kann man davon ausgehen, dass die Telekommunikationssysteme kompromittiert wurden, um ausgewählte Ziele auszuspionieren. 

Dazu zählen Unternehmen, Persönlichkeiten des politischen Lebens, Regierungsbeamte, Strafverfolgungsbehörden, aber auch politische Aktivisten und Dissidentengruppen, die für die chinesische Regierung von Interesse sind.

  • Operation im chinesischen Interesse: Drei verschiedene Angriffscluster haben eine jeweils andere Verbindung zu den APT-Gruppen Soft Cell, Naikon und Group-3390 – alle bekannt dafür, im Interesse der chinesischen Regierung aktiv zu sein. Signifikante Überschneidungen bei den TTPs der Angreifer in den verschiedenen Clustern legen eine Verbindung zwischen den Akteuren nahe. Dieser Befund stützt die These, dass jede Gruppe parallele Ziele bei der Überwachung der Kommunikation spezifischer hochrangiger Ziele verfolgt. Und, dass die Operationen unter der Leitung einer zentralen Koordinierungsstelle stehen, die im Einklang mit den Interessen des chinesischen Staates agiert.
  • Potenzial für weitreichende Auswirkungen: Diese Angriffe betreffen hauptsächlich Telekommunikationsunternehmen in ASEAN-Ländern, lassen sich aber gegen Telkos in anderen Regionen replizieren. Vorrangig dienen die Operationen Spionagezwecken – so jedenfalls die Einschätzung der Analysten von Cybereason. Allerdings wäre es durchaus möglich, die Zielsetzung zu ändern und den Fokus auf die Störung der Kommunikation zu legen. Dann hätten die Angreifer die Option, die Kommunikation sämtlicher Kunden der betroffenen Telekommunikationsunternehmen zu beeinträchtigen

www.cybereason.com/


Artikel zu diesem Thema

Hacker
Jul 27, 2021

Kaseya mit Lösung für von Hackern verschlüsselte Computer

Update Di, 27.07.2021, 7:46 Uhr Der jüngst von einem Hackerangriff betroffene…
Supply Chain
Jul 07, 2021

Transparenz der Lieferkette für Unternehmen wichtiger ist als je zuvor

Die Weltwirtschaft befindet sich aktuell im Lieferketten-Schockzustand: nicht zuletzt…
Microsoft Exchange
Mär 16, 2021

Microsoft Exchange: Wie Gegenmaßnahmen helfen können

Der Massenhack der chinesischen Gruppe Hafnium gegen Exchange finde besonders in…

Weitere Artikel

Ransomware

Die Ransomware-Krise braucht einen globalen Lösungsansatz

Ransomware hat sich mittlerweile zu einem globalen Problem entwickelt. Cyberkriminelle Gruppen operieren von Ländern aus, die ihnen einen sicheren Unterschlupf bieten und es ihnen ermöglichen, sogar raffinierteste Angriffe zu starten. Um eine Eskalation zu…
Facebook Hacker

Spionagekampagne gegen Kurden durch hinterhältige Facebook-Posts

ESET-Forscher haben eine mobile Spionagekampagne untersucht, die sich gezielt gegen Kurden richtet. Die Operation läuft mindestens seit März 2020 und verbreitet sich über spezielle Facebook-Profile. Hierüber werden zwei Android-Backdoors verteilt, die als 888…
Ransomware

Großteil der Unternehmen zweifelt an eigener Ransomware-Resilienz

Anhaltende Cyberbedrohungen und neue Technologien wie Cloud-native Anwendungen, Kubernetes-Container und Künstliche Intelligenz stellen Unternehmen weltweit bei der Datensicherung vor große Herausforderungen. Das zeigt der Dell Technologies 2021 Global Data…
Hacker E-Mail

E-Mail-Account gehackt – Was nun?

Was tun, wenn man die Kontrolle über das E-Mail-Konto verloren hat? Wie sollte man sich im Fall der Fälle verhalten und welche Maßnahmen sollten ergriffen werden, um den Schaden eines gehackten E-Mail-Accounts so gering wie möglich zu halten.
Hacker

48 Prozent der ICS-Experten wissen nicht, ob sie gehackt wurden

Das SANS Institute veröffentlicht die Ergebnisse seiner Umfrage zur ICS-Sicherheit 2021. Die OT-Cybersicherheitslandschaft hat sich in den letzten zwei Jahren seit dem Erscheinen der letzten Studie erheblich verändert.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.