Im Geheimdienstbericht dieser Woche warnen das FBI und die Leiter der MI5 vor der enormen Bedrohung, die von Chinas Bestreben ausgeht, eine dominierende Macht im Cyberspace zu werden. Außerdem erläutern wir, wie ein neues Red-Team-Tool von Angreifern in der Praxis missbraucht wird, und stellen einen neu auftretenden Angriff im Stil einer Lieferkettenattacke vor, bei dem bösartige NPM-Pakete genutzt werden, um sensible Daten aus Anwendungen und Websites abzugreifen.
Lesen Sie weiter, um die neuesten Erkenntnisse zu diesen sich entwickelnden Themen zu erfahren.
1. Das FBI und die Leiter der MI5 warnen vor einer massiven Bedrohung durch China
Im Rahmen einer beispiellosen gemeinsamen Pressekonferenz von „ “ (öffnet in einem neuen Tab) vor einem Publikum aus führenden Vertretern aus Wissenschaft und Wirtschaft auf 6. Juli warnten der Direktor des britischen Geheimdienstes MI5, General Ken McCallum, und FBI-Direktor Chris Wray nachdrücklich vor der wachsenden Bedrohung, die die Kommunistische Partei Chinas (KPCh) sowohl für die nationalen Interessen Großbritanniens als auch der USA darstellt.
Laut McCallum bemühen sich die Kommunistische Partei Chinas und die von ihr kontrollierte Regierung seit Jahren darum, weltweit führendes Fachwissen, Technologien, Forschungsergebnisse und jegliches andere westliche geistige Eigentum (IP) zu stehlen, das einen wirtschaftlichen Vorteil verschaffen und Chinas globale Stellung stärken könnte.
Überblick über die Bedrohungslage: Eine Analyse der Kampagnentaktiken Chinas
In der Informationsveranstaltung wurde ausführlich dargelegt, wie Chinas Kampagnen zum Diebstahl geistigen Eigentums vielfältige Formen annehmen. Zu den gängigen Beispielen zählen chinesische Spione, die verdeckt auf westlichem Boden tätig sind, Fusionen und Übernahmen (M&A) sowie Technologietransfers, durch die westliche Technologie an chinesische Unternehmen gelangt, und die Einbindung lokaler Kontakte, denen oft nicht bewusst ist, dass sie damit Chinas staatliche Interessen fördern.
Darüber hinaus wurden im Zusammenhang mit Chinas offensiven Cyberoperationen zahlreiche westliche Regierungs- und Wirtschaftsziele wiederholt von China unterstützten „Advanced Persistent Threat“ (APT)-Gruppen angegriffen, die dem chinesischen Ministerium für Staatssicherheit (MSS) und der Volksbefreiungsarmee (PLA) nahestehen. Diese professionellen Hacking-Einheiten der „ “ (öffnet in einem neuen Tab) tragen zur Umsetzung der gesamtstaatlichen Strategie Chinas (öffnet in einem neuen Tab) bei, mit allen notwendigen Mitteln zur einzigen Supermacht der Welt aufzusteigen, was – sofern alles nach Plan verläuft – auch dazu führen wird, dass China zur weltweit dominierenden Cyber-Supermacht (öffnet in einem neuen Tab) aufsteigt.
Vielleicht noch besorgniserregender – je nachdem, wie sehr Ihnen der Erste Verfassungszusatz am Herzen liegt – ist die Tatsache, dass Wray während der gemeinsamen Ansprache argumentierte, Peking versuche nicht nur, Geschäftsgeheimnisse und wissenschaftliche Forschungsergebnisse aus dem Westen zu stehlen, sondern strebe auch danach, dessen Politik zu beeinflussen und Aktivisten in den USA, die sich gegen die chinesische Regierung aussprechen, technisch zu überwachen.
Eine schlechte Woche für die KPCh
Die gemeinsame Erklärung folgt auf den möglicherweise größten Datenhack der Geschichte, der sich ereignete, als ein Cyberangreifer angeblich eine riesige Menge an personenbezogenen Daten aus einer Datenbank der Polizei von Shanghai unter (öffnet in einem neuen Tab) entwendete. Letzte Woche teilte ein Hacker, der unter den Online-Namen , ChinaDan, (öffnet in einem neuen Tab),und auftritt, Mitgliedern der Hacker-Website „Breach Forums“ mit, dass er 23 Terabyte an Daten über 1 Milliarde chinesische Bürger erworben habe.
BleepingComputer (wird in einem neuen Tab geöffnet) enthielt ein Bild des Forumsbeitrags, in dem der Inhalt der gestohlenen Daten erläutert wurde. Der mutmaßliche Angreifer gab an, die Datenbanken enthielten Informationen zu einer Milliarde Einwohner chinesischer Staatsangehörigkeit sowie mehrere Milliarden polizeiliche Akten. Zu diesen Daten gehören personenbezogene Angaben wie Namen, Adressen, Geburtsorte, nationale Identifikationsnummern, Mobilfunknummern sowie alle Angaben zu Straftaten und Fällen im Zusammenhang mit chinesischen Staatsangehörigen, die mit der Polizei in Kontakt gekommen sind. Berichten zufolge leisten die Zensurbehörden der chinesischen Regierung Überstunden, um die beunruhigenden Nachrichten zu unterbinden, wonach die Daten, die sie im Laufe der Jahre kontinuierlich von ihren eigenen Bürgern abgezogen haben, offenbar frei verfügbar sind und für die vergleichsweise geringe Summe von etwa 200 000 US-Dollar verkauft werden.
Laut einem Artikel von Gizmodo, der sich mit Chinas Versuchen befasst, jegliche Diskussion über den Datenleck zum Schweigen zu bringen, waren die Bemühungen von Reuters, die in der Datenbank aufgeführten Personen ausfindig zu machen, erfolgreich. Die Befragten bestätigten, dass die in den gestohlenen Informationen enthaltenen Daten ausschließlich von der Polizei stammen konnten und in erster Linie die Bemühungen der Polizei widerspiegeln, den umfassenden Überwachungsstaat des Landes zu unterstützen. (wird in einem neuen Tab geöffnet)
Ein Hacker behauptet, Daten von 1 Milliarde chinesischen Bürgern gestohlen zu haben – @serghei bleepingcomputer.com/news/security/…
Die chinesische Regierung hat gegenüber Journalisten, in der Öffentlichkeit oder im Internet keine offizielle Stellungnahme zu dem Hackerangriff abgegeben. Ironischerweise kommen die Nachrichten über den Hackerangriff und die anschließenden Versuche Pekings, die öffentliche Diskussion darüber zu zensieren, zu einem Zeitpunkt, an dem die chinesische Regierung öffentlich versprochen hat, den Schutz der Privatsphäre von Online-Nutzern zu verbessern, und von ihren Technologiegiganten erwartet, Maßnahmen für eine sicherere Datenspeicherung zu ergreifen.
Wichtige Erkenntnisse
Zum Abschluss der gemeinsamen Rede von MI5 und FBI forderte Wray Führungskräfte aus der Wirtschaft und andere auf, bei Vorfällen mit den Nachrichtendiensten zusammenzuarbeiten.
„Unsere Mitarbeiter werden sich umgehend darum kümmern, Ihnen technische Details zur Verfügung zu stellen, die Ihnen helfen werden, die Auswirkungen eines Angriffs zu mindern.“ „Gemeinsam können wir auch koordinierte, aufeinander abgestimmte Maßnahmen durchführen, um Cyberangriffe der chinesischen Regierung zu vereiteln“, sagt Wray und fügt hinzu: „Wir können Ihnen zudem dabei helfen, festzustellen, ob das Cyberproblem, auf das Sie gestoßen sind, tatsächlich Teil einer größeren nachrichtendienstlichen Operation ist, ob die Hacker, die Sie erkennen, möglicherweise mit Insidern zusammenarbeiten oder im Zusammenspiel mit anderen Bedrohungen für Ihr Unternehmen agieren, die Sie nicht erkennen.“
McCallum sprach sich zudem für Zusammenarbeit aus und argumentierte, der beste Weg, Chinas staatsumfassenden Ansatz in Bezug auf Spionage und verdeckte Einflussnahme zu bekämpfen, bestehe darin, „vertrauensvolle Partnerschaften aufzubauen – über unsere nationalen Systeme hinweg und, wie heute symbolisch zum Ausdruck gebracht, auch auf internationaler Ebene“.
In einer Stellungnahme, die gleichermaßen die Interessen der USA und Großbritanniens betrifft, forderte er lokale Organisationen auf, proaktiv Kontakt zu den jeweiligen Cyber-Behörden ihres Landes aufzunehmen, anstatt abzuwarten, bis ein Vorfall eintritt.
„Derzeit finden auf britischem [und US-amerikanischem] Boden feindliche Aktivitäten statt“, sagte McCallum. „Wir müssen keine Mauern errichten, um uns vom Rest der Welt abzuschotten. „Wir müssen unser Bewusstsein schärfen – und bewusste Entscheidungen treffen, um unsere Widerstandsfähigkeit zu stärken.“
In ihren Ansprachen an die Zuhörer betonten die Vertreter übereinstimmend: „Sie – die Innovatoren und Technologen Großbritanniens [und der USA], unsere Forscher und Wissenschaftler, unsere Unternehmer – sind eine der größten Stärken Großbritanniens [und der USA].“ Deshalb sind Sie ins Visier geraten. „Lassen Sie nicht zu, dass Ihr Erfolg zu einem Wettbewerbsvorteil für China wird.“
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Mehrere Sicherheitsexperten haben einen erheblichen Anstieg der von China unterstützten Cyberaktivitäten prognostiziert, die sich gegen die USA und ihre westlichen Verbündeten richten. Die Tatsache, dass sich die MI5 und das FBI zusammengeschlossen haben, um dies in Form einer beispiellosen gemeinsamen Erklärung öffentlich zu bekunden, verleiht dieser Theorie zusätzliche Glaubwürdigkeit. CTI wird die Aktivitäten verschiedener mit China in Verbindung stehender APTs genau im Auge behalten; dazu gehört auch die Erstellung und regelmäßige Aktualisierung von Profilen zu Bedrohungsakteuren, die verwertbare Informationen über jene chinesischen Bedrohungsakteure enthalten, von denen wir annehmen, dass sie das größte Risiko für Tanium und dessen Kunden bzw. Partner darstellen.
Was Chinas Versuch betrifft, das zu vertuschen, was sich möglicherweise als der größte Datenleck der Geschichte herausstellen könnte: Nun, im August des Jahres 2021 verabschiedete der Nationale Volkskongress Chinas ein Gesetz zum Schutz der Privatsphäre von Online-Nutzern und setzte diese Richtlinie im November desselben Jahres in Kraft. Das Gesetz zum Schutz personenbezogener Daten (PIPL) sieht für Verstöße Geldbußen von bis zu etwa 7,7 Millionen Dollar oder 5 % des Jahresumsatzes vor. Auch wenn es für Außenstehende wie ein Sieg für die Freiheit im Internet gewirkt haben mag, wurde die Verabschiedung des Gesetzes von den meisten als Vollendung einer weiteren Säule angesehen, die die Bemühungen des Landes stützt, die Vorschriften im Cyberspace zu verschärfen und chinesischen Unternehmen weitere Compliance-Anforderungen aufzuerlegen.
Im vergangenen Monat veröffentlichte die CISA eine Warnmeldung, in der gängige TTPs und bekannte Schwachstellen beschrieben wurden, auf die von China unterstützte Angreifer abzielen; es ist wahrscheinlich, dass diese Warnmeldung als Reaktion auf – und in Erwartung von – verstärkten chinesischen Cyberaktivitäten gegen westliche Einrichtungen herausgegeben wurde.“
2. Das Red-Team-Tool „Brute Ratel C4“ wird derzeit von böswilligen Akteuren missbraucht
Ein kürzlich veröffentlichter Blogbeitrag der Unit 42 von Palo Alto zum Thema Sicherheitsforschung beschreibt „ “ Brute Ratel C4 (wird in einem neuen Tab geöffnet), ein Red-Team-Tool, das böswillige Akteure mittlerweile zur Durchführung von Angriffen einsetzen. Forscher analysierten eine bei VirusTotal hochgeladene Datei, die von allen 56 Anbietern, die sie untersuchten, als harmlos eingestuft wurde.
📢 „ “ aus Palo Alto @Unit42_Intel hat einen Bericht über „Brute Ratel C42“ veröffentlicht. Dieses ausgeklügelte Red-Team-Tool wurde entwickelt, um die Erkennung durch #endpoint sowie die Funktionen von #antivirus zu umgehen. Schützen Sie Ihr Netzwerk und lesen Sie unit42.paloaltonetworks.com/brute-ratel-c4…. #Cybersicherheit #Schwachstellenmanagement #BRc4 #IOCs
Was ist „Brute Ratel C4“?
Brute Ratel C4 ist ein Tool für Penetrationstests und Red-Team-Übungen, das im Jahr Dezember 2020 auf den Markt kam. Es ähnelt in seiner Funktionsweise Cobalt Strike – einem weiteren Red-Team-Tool, das sich zu einem zuverlässigen festen Bestandteil im Arsenal zahlreicher Angreifer und Cyberkrimineller entwickelt hat.
Das Tool wird als maßgeschneiderte Kommando- und Kontrollzentrale für Red-Team- und Angreifersimulationsoperationen beworben und zählt derzeit über 350 Kunden. Mit diesem Tool kann ein Unternehmen einen Cyberangriff simulieren und die Wirksamkeit seiner Sicherheitsmaßnahmen überprüfen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Der Einsatz von Penetrationstest-Tools durch Angreifer ist kein neues Phänomen. Angreifer nutzen seit Jahren Penetrationstest-Tools wie Burp Suite, Cobalt Strike und Metasploit aus.
Diese Tools sind ein zweischneidiges Schwert, da sie für Organisationen, die die Sicherheitsmaßnahmen in ihrer Umgebung testen möchten, von unschätzbarem Wert sein können, gleichzeitig aber auch als fertiges Werkzeug dienen können, wenn sie von Angreifern missbraucht werden. Die Tatsache, dass solche Tools oft benutzerfreundlich sind und eine niedrige Einstiegsschwelle aufweisen, verstärkt diesen Umstand noch; dadurch werden Tools wie „Brute Ratel C4 “ für einen noch größeren Kreis von Cyberkriminellen zugänglich, unabhängig von deren technischem Kenntnisstand.
Ein Angreifer, der solche Tools einsetzt, lässt sich unter Umständen nur schwer aufspüren, da seine Aktivitäten durch die legitimen Testaktivitäten eines Red Teams in der Umgebung verschleiert werden können. Dies unterstreicht die Notwendigkeit für Unternehmen, den Einsatz von Penetrationstest-Tools innerhalb ihrer Umgebung zu erkennen und zu überwachen sowie die Herkunft und Legitimität jedes einzelnen eingesetzten Tools sicherzustellen.
Es ist zudem erwähnenswert, dass Angreifer dabei beobachtet wurden, wie sie LNK-Dateien nutzten, um „Brute Ratel C4“ herunterzuladen. „Der Missbrauch von LNK-Dateien durch Cyberkriminelle ist in letzter Zeit ein zunehmendes Phänomen, wobei diese Dateien zunehmend mit bedeutenden Bedrohungen in Verbindung gebracht werden.“
3. NPM-Software-Supply-Chain-Angriff entwendet Daten aus Apps und Websites
Forscher von ReversingLabs haben eine weit verbreitete Kampagne aufgedeckt, bei der über bösartige NPM-Module (wird in einem neuen Tab geöffnet) installiert werden, die sensible Daten aus Formularen in mobilen Anwendungen und auf Websites abgreifen. Der koordinierte Angriff ist unter dem Namen „IconBurst“ bekannt.
Details zur Kampagne
IconBurst enthält etwa zwei Dutzend schädliche NPM-Pakete, die verschleiertes JavaScript mit Schadcode enthalten, der darauf ausgelegt ist, sensible Benutzerdaten über eingebettete Formulare in nachgelagerten mobilen Anwendungen und auf Websites zu erfassen.
Laut ReversingLabs stammen die Pakete aus einem Zeitraum von mindestens sechs Monaten. ReversingLabs gibt zudem an, Beweise für einen koordinierten Angriff auf die Lieferkette zu besitzen, bei dem zahlreiche NPM-Pakete zum Einsatz kamen, die jQuery-Skripte enthielten, mit denen Daten aus den Anwendungen, die diese nutzen, gestohlen werden konnten.
Die böswilligen Angriffe der „IconBurst“-Kampagne basieren auf einer Strategie namens „Typo-Squatting“, die der Strategie ähnelt, die bei den kürzlich entdeckten (und letztendlich harmlosen, da sich herausstellte, dass sie das Werk eines übereifrigen Penetrationstesters waren) „ “-Angriffen durch Abhängigkeitsverwirrung zum Einsatz kam: (öffnet in einem neuen Tab) (ebenfalls von ReversingLabs gemeldet), die offenbar auf deutsche Organisationen abzielten.
Beim Typo-Squatting verbreiten Angreifer schädliche Pakete, indem sie ihnen Namen geben, die auf den ersten Blick wie legitime Pakete erscheinen. Dies erreichen sie durch die Verwendung häufiger Rechtschreibfehler oder ähnlicher Wörter, die weniger aufmerksame Nutzer dazu verleiten, die gefälschten Pakete zu nutzen. So wurden beispielsweise in einem von ReversingLabs beobachteten Fall die von „icon-package“ exfiltrierten Daten an eine Domain namens ionicio[.]com weitergeleitet, eine gefälschte Seite, die so gestaltet war, dass sie der legitimen Website ionic[.]io ähnelte.
Laut ReversingLabs gaben sich die Angreifer „als viel genutzte NPM-Module wie umbrellajs und von ionic.io veröffentlichte Pakete aus“. „Die eigentlichen Ziele sind jedoch nicht die Entwicklungsunternehmen, sondern die Endnutzer von Software (und deren Daten).“
Auswirkungen/Umfang
Die betreffenden Pakete, von denen die meisten in den letzten Monaten veröffentlicht wurden, wurden bis heute insgesamt mehr als 27 000 Mal heruntergeladen. Schlimmer noch: Die meisten Module stehen weiterhin im Repository von iconic.io zum Herunterladen bereit.
Zwar ist das volle Ausmaß dieses Angriffs noch nicht bekannt, doch werden die von den Forschern von ReversingLabs entdeckten schädlichen Pakete wahrscheinlich von Hunderten, wenn nicht sogar Tausenden von nachgelagerten Mobil- und Desktop-Anwendungen sowie Websites verwendet. In einem Fall war ein schädliches Paket mehr als 17 000 Mal heruntergeladen worden.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Auch wenn diese Entdeckung zweifellos Anlass zur Sorge gibt, sollten wir alle bedenken, dass ReversingLabs in der Vergangenheit bereits mehrfach voreilig über mutmaßliche böswillige Aktivitäten berichtet hat, noch bevor deren Ursprung zweifelsfrei geklärt war (siehe die oben erwähnte deutsche Kampagne).“ Vor diesem Hintergrund empfehlen wir den Lesern, dieser Informationsquelle derzeit – ebenso wie wir – mit mittlerem Vertrauen zu begegnen. Dennoch scheinen die in ihren Ergebnissen vorgelegten Beweise für Typo-Squatting und Code-Verschleierung ziemlich stichhaltig zu sein.
Darüber hinaus haben die Malware-Autoren hinter dieser Kampagne inzwischen ihre Vorgehensweise geändert, um ihre Gewinne zu maximieren, indem sie Informationen aus jedem Formularelement auf jeder manipulierten Anwendung und Webseite sammeln – was auf eine zunehmend aggressive Vorgehensweise bei der Datenerfassung hindeutet oder darauf, dass ein oder mehrere Angreifer versuchen, ihre Gewinne zu maximieren, bevor die öffentliche Bekanntmachung ihrer Kampagne ihre Operation zunichte macht. Besorgniserregend ist zudem der offensichtliche Erfolg des Angriffs sowie die Anzahl der damit verbundenen Downloads, da dies sowohl die Tendenz der Entwickler verdeutlicht, die Legitimität beliebter Pakete zu sehr zu vertrauen, als auch das Fehlen wirksamer Schutzmaßnahmen, wenn es darum geht, zu verhindern, dass bösartiger oder anfälliger Code in sensible Entwicklungs- und IT-Umgebungen gelangt.“
Ist Ihr Unternehmen gefährdet? Führen Sie unsere Risikobewertung durch und finden Sie es heraus
Die Landschaft der Cyberbedrohungen ist weitreichend und unterliegt ständigen Veränderungen, wobei ständig neue Bedrohungen entstehen. Ihre Endgeräte sind durch zahlreiche Kampagnen und Angreifer gefährdet. Und es ist nur eine Frage der Zeit, bis Cyberkriminelle Ihre Abwehrmaßnahmen überwinden und in Ihr Netzwerk eindringen.
Nutzen Sie diese Gelegenheit, um die Cybersicherheitsbereitschaft Ihres Unternehmens mit unserer Tanium-Risikobewertung zu überprüfen. Fordern Sie noch heute Ihren kostenlosen Risikobericht an. (wird in einem neuen Tab geöffnet)