Fortgeschrittene, persistente oder staatlich unterstützte Cyber-Bedrohungsakteure

Anders als andere Cyber-Bedrohungsakteure sind jene Akteure, die umfassendere, langfristige und in ihren Folgen wirksamere Cyberangriffe mit großem Budget durchführen und zudem von den Geheimdiensten der Staaten unterstützt werden, zur Plage für Staaten und große Unternehmen geworden.

Diese als Advanced Persistent Threat, kurz APT, bezeichneten Akteure führen nach dem ersten Eindringen in die anvisierten Systeme eine Schadsoftware namens Hintertür (Backdoor) aus, die ihnen den erneuten Zugang zum System ermöglicht. Indem sie in den Systemen des Zielnetzwerks Schadcode ausführen, erreichen sie eine Rechteausweitung (privilege escalation) und statten sich bis hin zu den höchsten Benutzerrechten im System aus. Nachdem sie den Schutz der Verteidigungsmechanismen des Systems, also der Firewall-Systeme, der als EDR/XDR (Endpoint/Extended Detection and Response) bezeichneten großen Antivirenlösungen und der als SIEM (Security Information and Event Management) bezeichneten Werkzeuge, in denen alle Protokolldaten des Systems analysiert werden, ausgeschaltet haben, versuchen sie, durch laterale Bewegungen innerhalb des Systems den äußersten erreichbaren Punkt zu erreichen. Haben sie Zugriff auf die Dateien im Zielsystem erlangt, übernehmen sie vollständig Steuerung und Kontrolle des Systems und bringen den Angriff zum Abschluss.

Die Ansicht, dass solche fortgeschrittenen Cyberangriffe mit dauerhaften Folgen von Staaten unterstützt werden, ist weithin anerkannt. Zum Beispiel:

Im von Microsoft veröffentlichten Digital Defense Report hieß es, dass 58 % der staatlich unterstützten Cyberangriffe im Jahr 2021 von Russland ausgingen. Die Erfolgsquote der Hacker des Landes stieg von 21 % im Vorjahr auf 32 % im Jahr 2021. Als Grund wird angeführt, dass Cyberangriffe in Russland und ähnlich strukturierten Ländern nicht mit einer sehr starken rechtlichen Grundlage verfolgt und diese Vorfälle nicht ernsthaft angegangen werden. In dem Bericht, wonach die USA das am häufigsten angegriffene Land waren, stammte das höchste erfasste Angriffsvolumen aus Nordkorea, Iran und China. Auch Südkorea und die Türkei tauchten erstmals im Jahresbericht von Microsoft auf.

Es gibt viele bekannte APT-Gruppen. Gehen wir kurz auf die ersten ein, die einem in den Sinn kommen, und auf die Angriffe, die sie in letzter Zeit verübt haben.

APT29 und der SolarWinds-Angriff

Hinter dem SolarWinds-Angriff, der in den USA eine groß angelegte Krise auslöste, wird die mutmaßlich von Russland unterstützte Gruppe APT29 vermutet.

Der Angriff, der eine Sicherheitslücke beim Herunterladen eines Updates des SolarWinds-Programms Orion ausnutzte, scheint als vermutlich teuerster Cyberangriff der Geschichte WannaCry in den Schatten zu stellen. Obwohl man annimmt, dass das US-Finanzministerium, das Heimatschutzministerium und das Handelsministerium sowie Teile des Pentagons betroffen waren, ist das tatsächliche Ausmaß des Angriffs noch immer nicht vollständig bekannt. Die 18.000 SolarWinds-Kunden, die der ersten Phase des Schadsoftware-Angriffs Sunburst ausgesetzt waren, führen Bedrohungsbewertungen durch, um festzustellen, ob sie zu den vorrangigen Zielen der Angreifer gehörten. Microsoft identifizierte mehr als 40 Kunden, die mit zusätzlichen und komplexen TTPs (Taktiken, Techniken und Prozeduren) über die bestehenden TTPs hinaus kompromittiert und von den Bedrohungsakteuren strategisch ins Visier genommen wurden.

Man geht davon aus, dass sich im SolarWinds-Netzwerk mindestens zwei verschiedene Bedrohungsakteure befanden. Der eine war der von FireEye entdeckte APT-Akteur, der andere ein weniger fortgeschrittener Akteur, der die SUPERNOVA-Hintertür verbreitete.

Angriffe von APT31

APT31 ist eine APT-Gruppe mit Verbindungen zur chinesischen Regierung, die auch als Zirconium, Judgment Panda und Red Keres bekannt ist. APT31 ist eine der drei Bedrohungsgruppen, denen die britische Regierung, die Five-Eyes-Staaten (USA, Großbritannien, Neuseeland, Kanada und Australien), die Europäische Union, die NATO und Japan die Angriffe auf Microsoft-Exchange-Server offiziell als mit der chinesischen Regierung verbundenen Hackern zugeschrieben haben. APT31 soll im vergangenen Jahr staatliche Einrichtungen, politische Persönlichkeiten, Auftragnehmer und Dienstleister in europäischen Ländern, darunter das finnische Parlament, ins Visier genommen haben.

Stuxnet

Stuxnet ist eine komplexe, vielseitige Schadsoftware, die Urananreicherungszentrifugen im Iran störte und das Atomprogramm des Landes um einige Jahre verlangsamte. Der Einsatz von Cyberwaffen gegen Industrieanlagen erfolgte erstmals mit dem Stuxnet-Angriff. Stuxnet, ein vermutlich von den USA unterstützter Angriff und ein schädlicher Wurm, der sich selbstständig rasch über ein Netzwerk verbreiten kann, wirkte auf die Urananreicherungszentrifugen ein, indem er ihre Drehzahl auf ein sehr hohes Niveau einstellte, und zerstörte sie auf diese Weise physisch.

Schutz vor APT-Angriffen

Während es wie bei allen anderen Cyberbedrohungen nicht möglich ist, staatlich unterstützte fortgeschrittene persistente Bedrohungsakteure endgültig abzuwehren, ist es ein realistischeres Ziel, die bestehenden Risiken zu verringern und auf ein akzeptables Maß zu senken. In diesem Rahmen:

• Da die meisten gezielten Angriffe mit Phishing oder anderen Social-Engineering-Techniken beginnen, sollten Unternehmen oder Institutionen ihren Beschäftigten grundlegende Schulungen zur Cybersicherheit anbieten und sicherstellen, dass sie die Cybersicherheitsrichtlinien kennen.
• Zugangskontrollen sollten verschärft, für mit dem Netzwerk verbundene Systeme eine Multi-Faktor-Authentifizierung (MFA) eingeführt und Schutz vor möglichen Datenlecks geschaffen werden.
• Es sollte eine proaktive Abwehrstrategie verfolgt werden, indem sichergestellt wird, dass Cybersicherheitsteams Zugang zu fortgeschrittener Bedrohungsaufklärung (Threat Intelligence, TI) haben und Bedrohungsakteure aktiv verfolgen.
• Es sollten fortgeschrittene Sicherheitslösungen eingesetzt werden, die mögliche Bedrohungen und als Zero-Day-Lücken bekannte Angriffsvektoren, für die noch keine Gegenmaßnahmen entwickelt wurden, frühzeitig erkennen.
• Sicherheitspatches sollten aktuell gehalten werden, um die Zahl der Lücken zu verringern, die APT-Angreifer ausnutzen können.
• Durch den Aufbau einer mehrschichtigen Sicherheitsinfrastruktur sollten Sicherheitslücken im Netzwerk geschlossen werden; mit einer Sicherheitsarchitektur aus Firewall, WAF (Web Application Firewall), IPS (Intrusion Prevention System) und SIEM (Security Information and Event Management) sollten neben Anomalien im System auch Zugriffsanfragen und Anmeldevorgänge schneller überprüft und ungewöhnliches Verhalten erkannt werden.
• Die Erstellung einer Zulassungsliste (Whitelist) und die Festlegung, auf welche Domains und Anwendungen aus dem Netzwerk zugegriffen werden darf, begrenzt die APT-Angriffsfläche zusätzlich.

Fazit

Nach Angaben US-amerikanischer Cybersicherheitsorganisationen wird erwartet, dass der Schaden durch Cyberangriffe für die Weltwirtschaft bis Ende 2021 6 Billionen Dollar erreicht. Zudem wird prognostiziert, dass die weltweiten Kosten von Cyberangriffen von 3 Billionen Dollar im Jahr 2015 bis 2025 auf 10,5 Billionen Dollar steigen werden.

Business Wire, eine Tochtergesellschaft von Berkshire Hathaway, schätzt, dass der Cybersicherheitsmarkt, der 2019 einen Wert von 161 Milliarden Dollar hatte, 2025 363 Milliarden Dollar erreichen wird. Hinter dieser starken Prognose steht der Anstieg der Investitionen in Cybersicherheit in den letzten Jahren. Vor allem der Wechsel der meisten Branchen ins Homeoffice im Rahmen der nach der Pandemie ergriffenen Maßnahmen hat die Bedeutung der Cybersicherheit noch einmal deutlich gemacht. Mit der Verteilung der Arbeitskräfte auf verschiedene Orte und der beschleunigten digitalen Anpassung ist Cybersicherheit für Unternehmen keine Option mehr, sondern eine Notwendigkeit. Laut Crunchbase erreichten die Investitionen in die Cybersicherheitsbranche 2020 mit 7,8 Milliarden Dollar ihren bisherigen Höchststand, während die Investitionen in Unternehmen im Bereich Cybersicherheit seit 2011 um das Neunfache gestiegen sind.

All diese Daten zeigen die Bedeutung der Cybersicherheit und den Ernst der Bedrohungen, machen aber auch deutlich, dass es ernsthafte Anzeichen dafür gibt, aus den vor der Corona-Pandemie begangenen Fehlern zu lernen. Hoffen wir, dass diese Investitionen keine oberflächlichen Maßnahmen sind, die aus wirtschaftlichen Erwägungen gegen eine langfristige Sicherheitsbedrohung ergriffen werden, sondern realistische Schritte, um künftig wahrscheinlich größere Kosten und Leiden zu verhindern. Denn keiner von uns ist sicher, ob die Welt eine weitere Corona-Krise verkraften könnte!