HiSolutions Research

Die Ikarussen kommen? Flächensonnenbrand in IT-Land – SolarWinds #Sunburst Supply Chain Angriff

Dass Supply-Chain-Angriffe verheerend sein können, ist spätestens seit 2017 klar, als die im Update einer ukrainischen Steuersoftware versteckte Malware NotPetya IT-Infrastrukturen weltweit verkrüppelte und Schäden in Milliardenhöhe verursachte. Nun haben Angreifer – amerikanische Dienste verdächtigen den russischen Auslandsgeheimdienst – einen noch viel effektiveren Vektor in potenziell 300.000 für die Spionage (und evtl. auch Sabotage) äußerst wertvollen Unternehmen und Behörden gefunden: Ein manipuliertes Update der beliebten Netzwerkmonitoring-Lösung Orion hat bequeme Einstiegspunkte bei Kunden des Herstellers SolarWinds geöffnet, die in mehreren Fällen auch schon konkret ausgenutzt worden sind.
Aufgefallen war der Angriff, weil eines der Opfer der amerikanische Security-Spezialist FireEye ist. Experten dort hatten den Missbrauch von Microsoft-Authentifizierungstechniken durch die Angreifer bemerkt und eine Untersuchung gestartet, die zunächst die Spitze des Eisbergs sichtbar machte.
Inzwischen ist klar, dass nicht nur viele Fortune 500-Unternehmen, sondern auch kritische Infrastrukturen und der Verteidigungssektor betroffen sind – eine Goldgrube für die Angreifer.
„Sunburst“, wie der Angriff genannt wird, ist relativ leicht im Netzwerk zu detektieren und zu stoppen. Die Sisyphusarbeit liegt jedoch darin, Netzwerke, die möglicherweise durch die Lücke schon kompromittiert wurden, zu untersuchen und – in vielen Fällen der einzig wirklich sichere Weg – neu aufzusetzen. Die Aufräumarbeiten hierzu haben gerade erst begonnen.

HiSolutions Research

Lesetipps Mai 2022

Anfänglich

Wie sich Denken und Argumentationen auf „First Principles“ zurückführen lassen: https://twitter.com/jackbutcher/status/1354820709042638848

Zwiespältig

Wie Datenschutz zur Marktverzerrung missbraucht werden kann:
https://venturebeat.com/2022/04/18/how-big-tech-uses-data-privacy-concerns-for-market-dominance/

Reiflich

Wie Maturity-Modelle wirklich zu verstehen sind: https://twitter.com/johncutlefish/status/1156727594210881538

Algebraisch

Wie mathematische Abstraktionen Big Data handlebar machen:
https://corecursive.com/050-sam-ritchie-portal-abstractions-2/

HiSolutions Research

Eurovision Song CTF: Der hybride Krieg weitet sich aus

Im Medienrummel um den ukrainischen Triumph beim „ESC“, dem Eurovision Song Contest, ist weitgehend untergegangen, dass die IT-Infrastruktur des Festivals während der Show angegriffen wurde. Die prorussische Cybergruppierung Killnet hat versucht, die Abläufe zu stören und möglicherweise das Ergebnis zu verfälschen.

Da derartige Versuche erwartet wurden, konnten sie im laufenden Betrieb abgewehrt werden, sodass die Veranstaltung reibungslos über die Bühne gehen konnte. Trotzdem warnen Verfassungsschutzorganisationen weiterhin vor den Aktivitäten derartiger Gruppen auch in Deutschland, die das Ziel haben könnten, die öffentliche Meinung zu beeinflussen.

https://www1.wdr.de/fernsehen/aktuelle-stunde/alle-videos/video-angeklickt-der-hybride-krieg-weitet-sich-aus-100.html

HiSolutions Research

MonkeyPoCs: Angeblicher Exploit befällt Sicherheitsforscher

Wieder einmal sind Sicherheitsforscher selbst ins Fadenkreuz von Angreifern geraten. Ein angeblicher Sicherheitsforscher mit dem Pseudonym „rkxxz“ hat einen vorgeblichen PoC (Proof of Concept) für einen Satz jüngerer Remote-Code-Execution-Schwachstellen in Windows veröffentlicht. Dieser enthielt jedoch Schadcode, der ein sogenanntes Cobalt Strike Beacon in den Arbeitsspeicher injiziert. Cobalt Strike ist ein Pentest-Tool, das legal wie illegal gerne genutzt wird, um sich lateral im Netzwerk weiterzubewegen.

Es ist nicht das erste Mal, dass sich Angreifer Schwachstellenforscher und Pentester als Ziel ausgeguckt haben. Die nordkoreanische Lazarus-Gruppe hatte im Januar 2021 via Social Media und Browser-Zero-Days auf die Community abgezielt. Im März 2021 erschufen nordkoreanische Akteure gar eine fiktive türkische Cybersicherheitsfirma namens SecuriElite. Und im November versteckte Lazarus in trojanisierten IDA Pro Reverse Engineering Tools den Fernzugriffstrojaner NukeSped.

Vermutlich erhoffen sich die Angreifer, nicht nur Zugriff auf die sicherheitsrelevanten Forschungsdaten ihrer Opfer zu erhalten, sondern mittelbar auch auf die Infrastruktur der Kunden.

https://www.bleepingcomputer.com/news/security/fake-windows-exploits-target-infosec-community-with-cobalt-strike/

HiSolutions Research

Unblock-Chain? Chinesische Netzbürger nutzen Blockchain gegen Zensur

Eine Blockchain ist ein „public ledger“, also ein öffentliches, schwer zu manipulierendes Kontobuch. Diese zwei Hauptmerkmale müssten eigentlich eine Blockchain zum Albtraum jeder Zensurbehörde machen, kann man doch in sie eingefügte Inhalte nur mit größtem Aufwand wieder entfernen oder manipulieren.

Dissidenten in China machen sich das in letzter Zeit zunutze, um etwa verbotene Videos in bekannte Blockchains zu schreiben, auf dass sich diese oder zumindest die Links zu ihnen möglichst weit und robust verteilen.

Die Zensoren haben allerdings schon dazugelernt und versuchen ihrerseits, bestimmte Medien bereits an der Quelle zu entfernen, die Suche nach derartigen Inhalten zu behindern oder von ihrem Konsum mit Drohungen und empfindlichen Sanktionen abzuschrecken.

https://www.ft.com/content/3bbb2af3-e934-4603-8aae-26b758140c65

HiSolutions Research

Weltraumpiraten: Chinesen hacken Russen im All

Analysten des in Moskau beheimateten Security-Dienstleisters Positive Technologies haben Aktivitäten einer neuen Angreifergruppe entdeckt, die sie „Space Pirates“ getauft haben. Die mutmaßlich mit China in Verbindung stehende Gruppe soll es seit 2017 vor allem auf russische Raumfahrtorganisationen abgesehen haben, die mit Phishing-E-Mails zur Installation neuartiger Malware bewegt werden sollten.

Zwar gibt es wohl Verbindungen zu bereits bekannten Gruppen wie APT41 (Winnti), Mustang Panda und APT27, doch scheint es sich bei Space Pirates um eine eigene Struktur zu handeln.

https://www.bleepingcomputer.com/news/security/chinese-space-pirates-are-hacking-russian-aerospace-firms/

HiSolutions Research

Crypto Bro-Ken: „Crypto Mugging“ auf dem Vormarsch

Einige Diebe in der realen physischen Welt haben sich soweit spezialisiert, dass sie es nicht mehr nur auf das Bargeld und die physischen Wertsachen ihrer Opfer abgesehen haben, sondern außerdem auf den Inhalt ihrer Crypto-Wallets. Zuletzt häuften sich in Städten wie London die Fälle von „Crypto Mugging“, wo Menschen unter (Androhung von) Gewalt um ihre privaten Schlüssel oder Zugangscodes und letztlich um ihre Cryptowährungs-Münzen gebracht wurden.

Es ist anzunehmen, dass nun stärkere Sicherheitsmaßnahmen wie Multi-Sig-Wallets, bei denen für eine Überweisung zwei verschiedene Parteien ihr Einverständnis geben müssen, einen Aufschwung erhalten.

https://www.theguardian.com/technology/2022/may/08/crypto-muggings-thieves-in-london-target-digital-investors-by-taking-phones

HiSolutions Research

Für mehr Fair-NIS: NIS-2-Richtlinie vereinbart

Am 13. Mai 2022 haben sich die EU-Mitgliedstaaten und das EU-Parlament nach langen Verhandlungen auf die NIS-2-Richtlinie verständigt. Dabei wird gegenüber der NIS-Direktive von 2016 der Anwendungsbereich der Richtlinie erheblich ausgeweitet. Zukünftig sollen schon Unternehmen erfasst sein, die mehr als 50 Personen beschäftigen, einen Jahresumsatz bzw. eine Jahresbilanz von über 10 Millionen Euro haben und zu einem kritischen oder wichtigen Sektor gehören. Auch die Liste der betroffenen Sektoren wird deutlich erweitert. Außerdem soll es neue Pflichten in Bezug auf das Risikomanagement und Meldungen geben sowie deutlich erhöhte Bußgelder, nun etwa halb so hoch wie jene aus der DSGVO.

Die politische Einigung, die das Europäische Parlament und der Rat erzielt haben, muss nun von den beiden Gesetzgebungsorganen noch förmlich bestätigt werden. Die Richtlinie tritt 20 Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft, und die Mitgliedstaaten müssen dann die neuen Elemente der Richtlinie innerhalb von 18 oder von 24 Monaten in nationales Recht umsetzen.

https://germany.representation.ec.europa.eu/news/eu-erzielt-einigung-uber-neue-vorschriften-fur-die-cybersicherheit-kritischer-einrichtungen-und-2022-05-13_de

Inhalt der NIS-2-Richtlinie: https://www.openkritis.de/it-sicherheitsgesetz/eu-nis-2-direktive-kritis.html

HiSolutions Research

Reif für die Cloud: AWS Security Maturity Model

AWS hat ein sogenanntes AWS Security Maturity Model veröffentlicht, das vier Phasen definiert, in welchen die Absicherung einer Cloudumgebung in AWS angegangen werden sollte. Die erste davon enthält nur schnell umzusetzende Quick Wins; Backups etwa werden erst in Phase 2 (Foundational) eingerichtet. In Phase 3 (Efficient) kommen Infrastructure as Code (IaC) und die Benennung von Security Champions in der Entwicklung hinzu. Erst Phase 4 (Optimized) fordert die Einrichtung eines Red Teams (Pentest/Red Teaming) und eines Blue Teams (Incident Response).

Aus der Security-Community kommt viel Zustimmung zu dem Modell, allerdings auch einiges an Kritik. Insbesondere wird bemängelt, dass die Automatisierung der Infrastruktur erst relativ spät angegangen wird. So könnte sich bis dahin schon viel technical debt angesammelt haben, der möglicherweise nur schwer wieder einzufangen ist.

https://maturitymodel.security.aws.dev/en/model/

HiSolutions Research

Near Miss: Ukrainisches Stromnetz knapp vor Ausfall bewahrt

Nun ist es doch passiert – beinahe. Nachdem wirkungsstarke Cyberwar-Aktivitäten trotz des russischen Krieges lange Zeit auf sich warten ließen, hat die Gruppe Sandworm nun immerhin fast einen großflächigen Stromausfall in der Ukraine auslösen können, mithin klassische Sabotage mit modernen Mitteln. Die Gruppierung, die für westliche Analysten als Einheit des russischen Militärgeheimdienstes GRU gilt, hatte mittels Software die Steuerungstechnik von Hochspannungs-Umspannwerken infiltriert und eine Abschaltung für den 8. April geplant, die durch die Entdeckung des Angriffs vereitelt werden konnte.

Die Schadsoftware Industroyer2 – benannte nach der Malware, mit der Sandworm den Stromausfall in der Ukraine 2016 bewirkte – wurde zusammen mit weiteren Tools eingesetzt, sogenannten Wipern für unterschiedliche Betriebssysteme, welche die Spuren verwischen und die Incident Response erschweren sollten.

https://www.sueddeutsche.de/wirtschaft/hacker-sandworm-ukraine-krieg-strom-1.5565893

HiSolutions Research

Dehydriert: Deutsche Behörden legen russischen Darknet-Marktplatz trocken

Statt Waffen und Drogen zeigen die nur über das Darknet erreichbaren Seiten des illegalen Marktplatzes Hydra nur noch Beschlagnahmungsvermerke des BKA und der Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) der Generalstaatsanwaltschaft Frankfurt am Main. Die deutschen Behörden hatten gemeinsam die Infrastruktur des berüchtigten russischen Betreibers in Folge einer koordinierten internationalen Strafverfolgungsaktion übernommen.

Dabei wurden auch 543 Bitcoins (umgerechnet rund 23 Millionen Euro) konfisziert, welche aus Geschäften von rund 19.000 registrierten Händleraccounts mit mindestens 17 Millionen Kunden aus der ganzen Welt stammen sollen. Insgesamt schätzen BKA und ZIT den Jahresumsatz von Hydra 2020 auf umgerechnet 1,23 Milliarden Euro, was ihn zum mutmaßlich größten Darknet-Marktplatz der Welt gemacht haben dürfte.

Eine Besonderheit bei Hydra war ein sogenannter „Bitcoin Bank Mixer“, über den Zahlungsströme in Kryptowährungen weiter verschleiert werden konnten. Nun müssen in den nächsten Monaten viele Händler und Kunden mit Anzeigen rechnen.

https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html