In der Zusammenfassung dieser Woche untersucht CTI ein Netzwerk globaler IT-Fachkräfte, die im Auftrag der nordkoreanischen Regierung tätig sind. Als Nächstes untersucht CTI, wie Angreifer legitime Website-Funktionen missbrauchen, um Spam zu versenden. Abschließend wirft CTI einen Blick auf die Analyse von Recorded Future zu 82 Deepfakes von „ “ (wird in einem neuen Tab geöffnet) , die zwischen Juli 2023 und Juli 2024 identifiziert wurden.
Nordkoreanische IT-Fachkräfte dringen über Fernarbeit in globale Organisationen ein
Mandiant verfolgt aktiv (wird in einem neuen Tab geöffnet) – ein Netzwerk globaler IT-Fachkräfte, die im Auftrag der nordkoreanischen Regierung tätig sind. Diese Arbeitskräfte suchen eine Anstellung bei Unternehmen aus verschiedenen Branchen. Ihre Hauptziele bestehen darin, Geld zu verdienen, sich den langfristigen Zugang für eine mögliche künftige Ausbeutung zu sichern und gegebenenfalls Spionage zu betreiben. Mandiant führt diese Gruppe unter der Nummer UNC5267.
Wer ist UNC5267?
UNC5267, die seit 2018 aktiv ist, ist keine herkömmliche, zentralisierte Bedrohungsgruppe. Es handelt sich dabei um Personen, die ins Ausland entsandt werden, um dort eine Anstellung bei westlichen Unternehmen zu finden, wobei das Hauptaugenmerk auf dem US-amerikanischen Technologiesektor liegt.
Diese Personen nutzen in der Regel gestohlene Identitäten, um sich auf Vollzeit- oder freiberufliche Stellen zu bewerben. Sie bewerben sich in der Regel auf Stellen, die zu 100 % im Homeoffice ausgeübt werden können. Mandiant hat Fälle festgestellt, in denen IT-Mitarbeiter mehrere Tätigkeiten gleichzeitig ausüben.
Wichtigste Erkenntnisse aus dem Bericht von Mandiant
Mandiant gab Einzelheiten zu einigen seiner Einsätze im Bereich der Vorfallbewältigung bekannt, an denen von der Demokratischen Volksrepublik Korea (DVRK) unterstützte IT-Fachkräfte beteiligt waren. Bei diesen Einsätzen handelte es sich in erster Linie um Arbeitnehmer, die im Rahmen der Aufgaben tätig waren, für die sie eingestellt worden waren. Mandiant stellte jedoch auch einige Fälle fest, in denen Mitarbeiter erweiterte Zugriffsrechte beantragten, um Code zu ändern oder Netzwerksysteme zu verwalten.
Mandiant hat zahlreiche Lebensläufe identifiziert, die für Bewerbungen auf Stellen im Homeoffice verwendet werden. Es gibt Fälle, in denen die von einem mutmaßlichen IT-Mitarbeiter verwendete E-Mail-Adresse bereits zuvor in anderen Fällen im Zusammenhang mit IT-Mitarbeitern festgestellt wurde. Auf dieser Grundlage konnten sie weitere Lebensläufe identifizieren, die zwar ähnlich aussahen, jedoch unterschiedliche Namen, Telefonnummern, Hochschulen und andere Qualifikationen enthielten.
In der Regel senden diese Personen ihre firmeneigenen Geräte an Laptop-Zentren und greifen per Fernzugriff darauf zu, um ihre beruflichen Aufgaben zu erfüllen. Zur Verbindung mit den Geräten verwenden sie die folgenden Werkzeuge:
- GoToRemote / LogMeIn
- GoToMeeting
- Chrome Remote Desktop
- AnyDesk
- TeamViewer
- RustDesk
Empfohlene Maßnahmen
Mandiant empfiehlt verschiedene Maßnahmen, um zu vermeiden, dass versehentlich Angreifer eingestellt werden.
Zu ihren Tipps gehören unter anderem:
- Bewerber gründlich prüfen
- Überprüfung von Telefonnummern
- Überprüfung, wohin der Firmenlaptop versandt wird
- Anfrage zur Überprüfung der Seriennummer des Laptops zum Zeitpunkt der IT-Einführung
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Immer mehr Personen mit Verbindungen zur DVRK geben sich als IT-Fachkräfte aus und bewerben sich bei internationalen Organisationen, um dort illegale Aktivitäten durchzuführen.
Laut Mandiant wird diese Bedrohung voraussichtlich anhalten, zumal die Angreifer neue Methoden entwickeln, um Personal- und Rekrutierungsteams dazu zu verleiten, ihnen den Zugang zu diesen Systemumgebungen zu ermöglichen.
Mandiant fasst diese Bedrohung treffend zusammen:
Die doppelte Motivation hinter ihren Handlungen – die Verwirklichung staatlicher Ziele und das Streben nach persönlichem finanziellen Gewinn – macht sie besonders gefährlich.
Angreifer nutzen die Infrastruktur von Websites aus, um Spam zu versenden
Ein neuer Bericht von Cisco Talos unter dem Titel „ “ ( ; wird in einem neuen Tab geöffnet) beschreibt, wie Angreifer legitime Websites missbrauchen, um Spam zu verbreiten.
Die bei diesen Angriffen genutzte Infrastruktur wird häufig für legitime Zwecke eingesetzt, was es erschwert, diese Nachrichten zu blockieren. Forscher haben festgestellt, dass diese Aktivität sowohl automatisierte als auch manuelle Aspekte umfasst, und haben beobachtet, wie der Angreifer Zugangsdaten testete, die er durch Datenlecks erlangt hatte.
Missbrauch von Webformularen
Cisco Talos gibt an, dass Angreifer Webformulare missbrauchen, um Spamfilter zu umgehen. Beispielsweise versenden Websites, auf denen sich Nutzer für ein Konto registrieren können, in der Regel Bestätigungs-E-Mails an die Nutzer. Akteuren überladen derzeit die „Name“-Felder mit Text und Links und antworten mit Spam.
Ähnliches gilt für Anmeldeformulare für Veranstaltungen und Kontaktformulare. Die Akteure nutzen zudem Webformulare im Zusammenhang mit Google-Quizzen und anderen Apps.
Kompromittierte Zugangsdaten
Neben dem Missbrauch von Webformularen nutzen Angreifer gestohlene Zugangsdaten, um Spam zu versenden. Beispielsweise versuchen Angreifer, mithilfe gestohlener Zugangsdaten auf das E-Mail-Konto eines Opfers zuzugreifen. Der direkte Zugriff auf das E-Mail-Konto verschafft ihnen häufig Zugang zu weiteren sensiblen Informationen und ermöglicht es ihnen, über dieses E-Mail-Konto Codes für die Multi-Faktor-Authentifizierung von (öffnet in einem neuen Tab) zu erhalten.
Es wurde zudem beobachtet, dass einige Akteure Zugangsdaten verwendet haben, um auf ausgehende SMTP-Server zuzugreifen. Von hier aus können sie über ihren eigenen Server Nachrichten versenden und E-Mails von einem legitimen Mailserver verschicken, die wahrscheinlich nicht blockiert werden. Die Täter richten ein persönliches E-Mail-Konto bzw. ein Testkonto ein und senden sich selbst Testnachrichten unter Verwendung der gestohlenen Zugangsdaten, um zu überprüfen, ob das Konto funktioniert.
Zudem stehen zahlreiche Open-Source-Tools zur Verfügung, die die Beteiligten zu diesem Zweck nutzen können. Eines der gängigsten Tools ist MadCat, ein Open-Source-SMTP-Tool mit Funktionen zum „Credential Stuffing“.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Viele der Strategien, mit denen Angreifer Webformulare missbrauchen, beinhalten das Versenden unerwarteter Nachrichten – wie beispielsweise zufällige Anmelde- oder Veranstaltungsbestätigungen. Endnutzer müssen sorgfältig abwägen, ob sie Nachrichten von bestimmten Absendern erwarten, bevor sie diese öffnen.
Dies ist zugleich eine Erinnerung daran, zu nutzen sowie die folgenden Hinweise zur Passwort-Sicherheit zu beachten: (wird in einem neuen Tab geöffnet). Angreifer nutzen bei Angriffen häufig gestohlene Zugangsdaten. Durch die Erstellung sicherer Passwörter kann es für sie schwieriger werden, auf private Konten zuzugreifen.
„Recorded Future“ beleuchtet politische Deepfakes
Der neueste Bericht von Recorded Future mit dem Titel „ “ (wird in einem neuen Tab geöffnet) analysiert 82 Deepfakes, die zwischen Juli 2023 und Juli 2024 gesammelt wurden. Die Deepfakes geben sich als Persönlichkeiten des öffentlichen Lebens aus, darunter gewählte Amtsträger, Wahlkandidaten und Journalisten aus 38 Ländern.
Dem Bericht zufolge sind die häufigsten Ziele die Werbung für Finanzbetrug und die Erfindung unwahrer Aussagen.
Die häufigsten Ziele von Deepfakes
Forscher identifizierten Deepfakes, die Personen aus 38 verschiedenen Ländern nachahmten, wobei Personen aus der EU am häufigsten nachahmten wurden.
Die nachgeahmten Personen wurden in vier Kategorien zusammengefasst: Staats- und Regierungschefs, Wahlkandidaten, gewählte Amtsträger und Medienvertreter.
Ziele von Deepfakes
Angreifer nehmen Einzelpersonen aus verschiedenen Gründen mit Deepfakes ins Visier. Manche tun dies aus finanziellen Gründen, was häufig dann der Fall ist, wenn die Personen, deren Identität missbraucht wird, betrügerische Machenschaften befürworten. Ein weiterer Grund besteht schlichtweg darin, die Öffentlichkeit durch falsche oder übertriebene Aussagen und Empfehlungen in die Irre zu führen.
Recorded Future stellte fest, dass 26,8 % der Deepfakes, die sich im vergangenen Jahr gegen Persönlichkeiten des öffentlichen Lebens richteten, aus finanziellen Gründen erstellt wurden, während 25,6 % der Vorfälle darauf abzielten, die Öffentlichkeit durch die Verbreitung falscher Aussagen in die Irre zu führen.
Neue Deepfake-Taktiken
Recorded Future hat anhand seiner Analyse einige neue Taktiken ermittelt:
- Nutzung anonymer Dritter als Akteure, um deren Aktivitäten vor der Aufdeckung zu verbergen
- Mit Deepfakes werden schutzbedürftige Nutzer außerhalb der sozialen Medien ins Visier genommen
- Erstellung von Overlays aus Medienbeiträgen und Nachahmung authentischer Quellen
- Die Erstellung von Deepfakes ausländischer Staats- und Regierungschefs
- Sich als Familienangehörige von Persönlichkeiten des öffentlichen Lebens auszugeben, um politische Führungspersönlichkeiten zu fördern oder zu diskreditieren
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Cyberkriminelle erstellen zunehmend Deepfakes und setzen diese im Zusammenhang mit aktuellen Ereignissen, wie beispielsweise Wahlen, ein. Dieser Trend dürfte sich fortsetzen.
Unternehmen werden dazu angehalten, solide Strategien zur Reaktion auf und zur Eindämmung von „ “ zu entwickeln (wird in einem neuen Tab geöffnet) , um dieser neuen Bedrohung zu begegnen. In diesem neuen Zeitalter von KI-gestützter Desinformation ist es von entscheidender Bedeutung zu verstehen, wie man Deepfakes erkennt und damit umgeht (öffnet in einem neuen Tab).
Recorded Future bietet einige hervorragende Tipps zur Abwehr von Deepfakes unter (wird in einem neuen Tab geöffnet), darunter auch einige Fragen, die Sie stellen können, um diese besser zu erkennen.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen aus der Reihe „ “ unter (wird in einem neuen Tab geöffnet),und .
