Als Uber im September gehackt wurde, war dies sicherlich nicht das erste Mal, dass die Systeme des Mitfahrdienstes angegriffen wurden, und es war auch nicht der schwerwiegendste Vorfall in Bezug auf den Datenverlust. Doch es war vielleicht die demütigendste.
Unter anderem verschaffte sich der Angreifer uneingeschränkten Administratorzugriff auf mehrere Cloud-Plattformen von Uber und griff auf die Finanzdaten des Unternehmens zu. Im Gegensatz zu den meisten modernen Hackern hat er jedoch nicht einfach nur Daten gestohlen oder diese gegen Lösegeld zurückgehalten. Er meldete sich im internen Slack-Kanal von Uber an und prahlte damit. Anschließend veröffentlichte er in dem Kanal Links zu pornografischen Bildern und forderte zudem, dass das Unternehmen seine Fahrer besser bezahlen solle.
Anschließend stellte der Angreifer den Sicherheitsforschern als Beweis für den Angriff Screenshots von Systemadministrator-Kontrollfeldern zur Verfügung, auf die er mithilfe von Anmeldedaten zugegriffen hatte, die er von einem leitenden Ingenieur bei Uber gestohlen hatte. Er veröffentlichte diese in einem Slack-Kanal für White-Hat-Hacker, die im Auftrag von Unternehmen tätig sind.
„Alter, haben Sie sich bei Uber eingehackt?“ sagte ein bedeutender Malware-Aggregator zu dem Hacker in einem angeblichen Gespräch, das in einem Twitter-Thread geteilt wurde.
Als der mutmaßliche Täter von den Behörden im Vereinigten Königreich festgenommen wurde, stellte sich heraus, dass es sich um einen 17-Jährigen handelte, der zudem im Verdacht steht, den Quellcode für das in Kürze erscheinende Videospiel „ “ („Grand Theft Auto 6“) beschafft zu haben. Der Jugendliche aus Oxfordshire gilt als Mitglied der berüchtigten Erpressergruppe „Lapsus$“, deren Mitglieder zwischen 16 und 21 Jahre alt sind und zu deren Opfern Microsoft, Nvidia und Okta zählen. Der „Cyber Safety Review Board“, eine öffentlich-private Einrichtung des US-Heimatschutzministeriums ( ), gab Anfang dieses Monats unter bekannt, dass er – ähnlich wie bereits im Fall der „ “ ( ) im Jahr 2022 im Zusammenhang mit den Angriffen auf die „ “ (Log4j ) () – umsetzbare Empfehlungen herausgeben will, wie sich Organisationen vor den hinterhältigen Strategien von Hackerangriffen im Stil von „Lapsus$“ schützen können.
Für überlastete und personell unterbesetzte CISOs stellen Hackerangriffe durch Personen, die gerade erst alt genug sind, um Auto zu fahren, eine weitere Bedrohung dar, um die sie sich Sorgen machen müssen: eine neue Generation von Angreifern, die dies ebenso sehr tun, um vor ihren Freunden anzugeben (wie einst die Hackergruppe „Lulz“), wie aus Profitgier, und deren Ziele und Angriffsvektoren möglicherweise schwerer vorherzusehen sind.
Neue Hunde, alte Tricks
Falls Ihnen das alles seltsam bekannt vorkommt, gibt es dafür einen guten Grund.
Lange bevor Cyberkriminalität zu einer mehrere Billionen Dollar schweren Branche wurde, war Hacken etwas, das Teenager zum Spaß taten – um ihre Cyberfähigkeiten zu testen, ihre Glaubwürdigkeit als „Geeks“ unter Beweis zu stellen oder ihren Freunden Streiche zu spielen.
„“ Jugendliche waren schon immer daran interessiert, sich mit Dingen zu beschäftigen, die sie eigentlich nicht tun sollten. Und sie zeichnen sich in der Regel sowohl durch eine überwältigende Neugier als auch durch ein Gefühl der Unbesiegbarkeit aus.”Chris Prewitt, CTO/CISO, Inversion6
Im Jahr 1982 hieß die erste Malware, die in Umlauf gebracht wurde, „Elk Cloner“. Der Virus wurde in jenem Jahr von einem 15-Jährigen namens Rich Skrenta geschrieben, der den Code über Disketten verbreitete. Es zeigte ein Gedicht auf den Bildschirmen von Apple-II-Computern an und war völlig harmlos.
Es sollte fast zwei Jahrzehnte dauern, bis Hacker Malware entwickelten, um gezielt Daten zu stehlen, und weitere sechs Jahre, bis sie die erste Ransomware vom Typ „ “ entwickelten.
Nun scheint sich der Kreis geschlossen zu haben, stellt Chris Prewitt fest, CTO/CISO bei Inversion6, einem Anbieter von Lösungen für das Cybersicherheits-Risikomanagement. Wie viele CISOs wuchs auch Prewitt mit Hacking auf und nutzte „War-Dialer“, um alle lokalen Telefonnummern zu durchsuchen und so Modems zu identifizieren, auf die er es abgesehen hatte.
„Jugendliche hatten schon immer ein Interesse daran, sich mit Dingen zu beschäftigen, die sie besser lassen sollten“, sagt Prewitt. „Und sie zeichnen sich in der Regel sowohl durch eine überwältigende Neugier als auch durch ein Gefühl der Unbesiegbarkeit aus.“
Was ist der wesentliche Unterschied zwischen damals und heute? Soziale Medien, insbesondere YouTube und TikTok. „Früher waren Hacker unter Gleichgesinnten vielleicht in einem Bulletin Board oder einer Internet-Relay-Chat-Gruppe (IRC), die sich dem Hacking widmete, bekannt“, bemerkt Prewitt. Nun ist das Publikum die ganze Welt.
Eine Suche nach „Uber-Hacker“ auf TikTok liefert mehr als 5 000 Videos mit insgesamt mehreren Millionen Aufrufen. (Online-Videos bieten zudem eine reichhaltige Quelle an Anleitungen für angehende Hacker, so Prewitt.)
„Der Unterschied liegt darin, wie viel Aufmerksamkeit jemand mit einem solchen ‚Stunt-Hack‘ erzielen kann“, fügt David Maynor hinzu, Senior Director of Threat Intelligence bei Cybrary, einer Plattform für Sicherheitsschulungen. „Vor zehn oder 20 Jahren hätten vielleicht einige Nischen-Communities davon Notiz genommen, doch heute ist dies Teil des rund um die Uhr laufenden Nachrichtenzyklus mit weltweiter Reichweite.“ „Für Hacker, die ihre Fähigkeiten unter Beweis stellen möchten, gibt es keine größere Bühne als diese.“
Aus Liebe oder für Geld?
Die Vorstellung, dass junge Menschen wieder einfach nur zum Spaß oder um aufzufallen hacken, sei fast schon erfrischend, sagt Sam Curry, ein 23-jähriger unabhängiger Sicherheitsforscher, der seine Karriere damit begann, Softwarefehler als Bug-Bounty-Jäger bei aufzuspüren, als er noch die Highschool besuchte.
Curry stand über die Messaging-App Telegram mit dem Uber-Hacker, auch bekannt als „TeaPot“, in Kontakt und bestätigte die Einzelheiten des Angriffs.
„, Mann, haben Sie Uber gehackt?“Ein bedeutender Malware-Aggregator
„Sicherheitsaufgaben zu übernehmen ist eine so einfache Möglichkeit, sich wichtig zu fühlen und das eigene Ego zu stärken“, sagt Curry. „Sollte diese Person zu Lapsus$ gehören, dann hat sie bereits Zugriff auf Millionen von Dollar.“ „Er könnte es ehrlich gesagt satt haben, Geld zu verdienen, und einfach nur Spaß haben wollen.“
TeaPot nutzte die Anmeldedaten, die einem Uber-Auftragnehmer gestohlen worden waren, und nutzte anschließend Schwachstellen im Verfahren zur Multi-Faktor-Authentifizierung unter des Unternehmens aus – dabei wurde der Auftragnehmer wiederholt aufgefordert, den Zugriff zu genehmigen, bis er oder sie schließlich nachgab. Von dort aus gelang es ihm, sich seitlich durch das Netzwerk zu bewegen und dabei auf mehrere Systeme zuzugreifen.
„MFA-Müdigkeit“ sei ein echtes Problem, sagt John Gunn, Geschäftsführer von Token, einem Unternehmen, das einen Ring entwickelt, der Nutzer anhand ihrer Fingerabdrücke authentifiziert. Eine gute Möglichkeit, Hackerangriffe auf Single-Sign-On-Systeme zu vereiteln, die Benutzern den Zugriff auf mehrere Plattformen ermöglichen, besteht laut Gunn darin, Authentifizierungsmethoden zu verwenden, die nicht aus der Ferne angegriffen werden können, wie beispielsweise biometrische Verfahren.
Maßnahmen zum Schutz vor Hackern der Generation Z
Ein Unterschied zwischen jüngeren und älteren Hackern besteht darin, dass die jungen Wilden in der Regel deutlich mehr Zeit zur Verfügung haben, fügt Gunn hinzu. Möglicherweise sind sie bereit, vier bis sechs Monate damit zu verbringen, verschiedene Techniken auszuprobieren, um einen Zugang zu finden. Ansonsten machen sie eigentlich nichts Besonderes.
„Der beste Weg, mit Hackern umzugehen, besteht darin, sie einzuspannen.“David Maynor, Senior Director für Bedrohungsanalyse bei Cybrary
Die Lösung zum Schutz vor jugendlichen Hackern ist dieselbe wie die, die zum Schutz vor professionellen Cyberkriminellen und staatlich gestützten Akteuren eingesetzt wird: gute Cyberhygiene.
CISOs können nicht alles gleichermaßen schützen; daher müssen sie Risiken priorisieren, ermitteln, welche Daten und Systeme für den Geschäftsbetrieb am wichtigsten sind, und ihre Ressourcen auf diese konzentrieren, fügt Prewitt hinzu.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
„In welcher Branche sind Sie aus Risikosicht tätig?“ sagt er. „Welche Arten von Gegnern werden Sie angreifen wollen?“ „Meiner Erfahrung nach liegt es nicht daran, dass CISOs die Sicherheitstechnologie nicht gut verwalten, sondern daran, dass sie das Geschäft nicht gut genug verstehen, um zu wissen, wie sie es schützen können.“
Die Einführung eines „ “-Zero-Trust- -Frameworks kann es Angreifern zudem erschweren, sich nach dem Erlangen des Zugriffs lateral zu bewegen, so Prewitt. Dadurch lässt sich die Angriffsfläche verringern und der Schaden erheblich begrenzen.
Eine weitere Möglichkeit, mit jungen Angreifern umzugehen? „Stellen Sie sie ein“, sagt Maynor von Cybrary.
„Ich bin fest davon überzeugt, dass der beste Weg, mit Hackern umzugehen, darin besteht, sie einzustellen“, sagt er. „CISOs sollten sich bewusst sein, dass ein Hacker, sofern er keine schweren Straftaten begangen hat, ein idealer Praktikant oder Berufseinsteiger sein könnte.“
