Anzeige

Hackerangriff

Cybereason, Unternehmen beim betriebszentrierten Schutz vor Cyberangriffen, ist es gelungen, verschiedene bislang nicht anderweitig identifizierte Cyberangriffe aufzudecken, die große Telekommunikationsanbieter in ganz Südostasien infiltrieren.

Ähnlich wie bei den jüngsten Angriffen auf SolarWinds und Kaseya kompromittierten die Angreifer externe Service-Anbieter – in diesem Fall Telekommunikationsunternehmen – mit dem übergreifenden Ziel, deren Kundenbasis auszuspionieren. 

Der Bericht folgt zeitlich und inhaltlich auf die öffentliche Rüge der Biden-Administration an die Adresse des chinesischen Ministeriums für Staatssicherheit hinsichtlich der jüngsten HAFNIUM-Vorfälle

Dabei wurden Schwachstellen in nicht gepatchten Microsoft Exchange-Servern ausgenutzt und Tausende von Unternehmen weltweit gefährdet. Eben diese Schwachstellen auszunutzen war auch für die in dieser Studie beschriebenen Angriffe der Schlüssel zum Erfolg. 

Der Report, betitelt DeadRinger: Exposing Chinese Threat Actors Targeting Major Telcos, identifiziert unterschiedliche Cluster von Angriffsaktivitäten, die seit mindestens 2017 nicht entdeckt wurden. Sie sind höchstwahrscheinlich das Werk mehrerer prominenter Advanced Persistent Threat (APT)-Gruppen, die eng mit den Interessen der chinesischen Regierung verbunden sind. Cybereason konnte bei allen drei Operationen signifikante Überschneidungen bei Taktik, Technik und Prozedere (TTPs) beobachten. Das Unternehmen vermutet, dass die Angreifer ihre Ziele wahrscheinlich parallel unter der Leitung einer zentralen Koordinierungsstelle und im Einklang mit den Interessen des chinesischen Staates verfolgen.

„Die Angriffe sind ausgesprochen besorgniserregend, denn sie untergraben die Sicherheit von Anbietern kritischer Infrastrukturen. Ins Visier geraten dabei vertrauliche und geschützte Informationen sowohl öffentlicher wie privater Unternehmen, die für ihre Geschäftstätigkeit auf eine geschützte Kommunikation angewiesen sind. Solcherart staatlich geförderte Spionageoperationen wirken sich nicht nur negativ auf Kunden und Geschäftspartner der betreffenden Telekommunikationsunternehmen aus. Sie haben zusätzlich das Potenzial, die nationale Sicherheit der Länder in der Region zu gefährden sowie derjenigen, die ein berechtigtes Interesse an Stabilität innerhalb der Region haben", so Lior Div, CEO und Mitgründer von Cybereason. „Genau aus diesem Grund beschäftigt sich bei Cybereason ein globales Team erfahrener Threat Intelligence-Ermittler mit den Taktiken, Techniken und Vorgehensweisen hochkarätiger Gegenspieler – mit dem Ziel, Unternehmen jetzt und in Zukunft besser vor dieser Art von komplexen Angriffen zu schützen."

Zu den wichtigsten Ergebnissen zählen: 

  • Adaptiv, persistent und evasiv: Die Angreifer sind besonders anpassungsfähig und haben ihre Aktivitäten sorgfältig verschleiert, um die Persistenz auf den infizierten Systemen zu gewährleisten. Das erlaubt es ihnen ganz offensichtlich, dynamisch auf Gegenmaßnahmen zu reagieren, nachdem es ihnen gelungen ist Sicherheitsmaßnahmen seit mindestens dem Jahr 2017 zu umgehen. Im Übrigen auch ein Hinweis darauf, dass die Ziele für die Angreifer von großem Wert sind.
  • Kompromittierung von Dritten, um bestimmte Ziele zu erreichen: Ganz ähnlich wie bei den jüngsten Angriffen auf SolarWinds und Kaseya haben die Angreifer externe Dritte kompromittiert – in diesem Fall Telekommunikationsunternehmen –  mit der Absicht, bestimmte hochrangige Kunden der betroffenen Telekommunikationsunternehmen auszuspionieren.
  • Microsoft Exchange-Schwachstellen ausgenutzt: Vergleichbar den HAFNIUM-Angriffen haben die Angreifer die jüngst bekannt gewordenen Schwachstellen in Microsoft Exchange-Servern ausgenutzt, um sich Zugang zu den anvisierten Netzwerken zu verschaffen. Anschließend wurden kritische Assets kompromittiert wie Domain Controller (DC) und Abrechnungssysteme, die hochsensible Informationen wie Call Detail Record (CDR)-Daten enthalten. Die Angreifer können so auf die sensible Kommunikation sämtlicher Nutzer der betroffenen Telekommunikationsdienste zugreifen.  
  • Hochrangige Spionageziele: Basierend auf den früheren Ergebnissen des Operation Soft Cell Report, im Jahr 2019 von Cybereason veröffentlicht, sowie weiteren veröffentlichten Analysen zurückliegender Operationen dieser Angreifergruppen, kann man davon ausgehen, dass die Telekommunikationssysteme kompromittiert wurden, um ausgewählte Ziele auszuspionieren. 

Dazu zählen Unternehmen, Persönlichkeiten des politischen Lebens, Regierungsbeamte, Strafverfolgungsbehörden, aber auch politische Aktivisten und Dissidentengruppen, die für die chinesische Regierung von Interesse sind.

  • Operation im chinesischen Interesse: Drei verschiedene Angriffscluster haben eine jeweils andere Verbindung zu den APT-Gruppen Soft Cell, Naikon und Group-3390 – alle bekannt dafür, im Interesse der chinesischen Regierung aktiv zu sein. Signifikante Überschneidungen bei den TTPs der Angreifer in den verschiedenen Clustern legen eine Verbindung zwischen den Akteuren nahe. Dieser Befund stützt die These, dass jede Gruppe parallele Ziele bei der Überwachung der Kommunikation spezifischer hochrangiger Ziele verfolgt. Und, dass die Operationen unter der Leitung einer zentralen Koordinierungsstelle stehen, die im Einklang mit den Interessen des chinesischen Staates agiert.
  • Potenzial für weitreichende Auswirkungen: Diese Angriffe betreffen hauptsächlich Telekommunikationsunternehmen in ASEAN-Ländern, lassen sich aber gegen Telkos in anderen Regionen replizieren. Vorrangig dienen die Operationen Spionagezwecken – so jedenfalls die Einschätzung der Analysten von Cybereason. Allerdings wäre es durchaus möglich, die Zielsetzung zu ändern und den Fokus auf die Störung der Kommunikation zu legen. Dann hätten die Angreifer die Option, die Kommunikation sämtlicher Kunden der betroffenen Telekommunikationsunternehmen zu beeinträchtigen

www.cybereason.com/


Artikel zu diesem Thema

Hacker
Jul 27, 2021

Kaseya mit Lösung für von Hackern verschlüsselte Computer

Update Di, 27.07.2021, 7:46 Uhr Der jüngst von einem Hackerangriff betroffene…
Supply Chain
Jul 07, 2021

Transparenz der Lieferkette für Unternehmen wichtiger ist als je zuvor

Die Weltwirtschaft befindet sich aktuell im Lieferketten-Schockzustand: nicht zuletzt…
Microsoft Exchange
Mär 16, 2021

Microsoft Exchange: Wie Gegenmaßnahmen helfen können

Der Massenhack der chinesischen Gruppe Hafnium gegen Exchange finde besonders in…

Weitere Artikel

Bankkarten

Eine gehackte deutsche Zahlungskarte kostet 16 Euro im Dark Web

Eine neue Studie von NordVPN hat 31.000 deutsche Zahlungskarten analysiert, die im Dark Web verkauft werden. Laut dieser Untersuchung liegt der angebotene Durchschnittspreis einer deutschen Zahlungskarte bei 15 Euro und 79 Cent.
Spionage

DazzleSpy attackiert Besucher von pro-demokratischer Nachrichtenseite in Hongkong

Die Webseite des Radiosenders D100 in Hongkong wurde kompromittiert. Ein Safari-Exploit wird ausgeführt, der eine Spionagesoftware auf die Macs der Besucher des Nachrichtenportals installiert.
Mond Rot

MoonBounce: Gefährliches Rootkit schlummert in der Firmware

Sicherheitsforscher von Kaspersky haben ein kleines, aber gefährliches Rootkit gefunden, das vom Unified Extensible Firmware Interface (UEFI) eines Computers Malware nahezu ungestört verbreiten kann.
Software Supply Chain

Angriffe auf die Software-Lieferkette stellen ein großes Risiko dar – aber sie können verhindert werden

Immer häufiger werden Software-Lieferketten angegriffen. Dies stellt eine große Gefahr dar, weil dann auf einen Schlag viele Unternehmen weltweit betroffen sein können. Wie können Unternehmen sich gegen solche Angriffe schützen?
Cybercrime

Neue Malware DTPacker vereint Fähigkeiten zweier Formen von Schadsoftware

Die Sicherheitsexperten von Proofpoint haben kürzlich eine neue Malware identifiziert, die im Rahmen dutzender Kampagnen von verschiedenen cyberkriminellen Gruppen zum Einsatz gebracht wurde. Der neuentdeckten Malware gaben die Security-Forscher den Namen…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.