Zunächst folgt eine Analyse der jüngsten Kampagne, die Dragonbridge zugeschrieben wird – einem mutmaßlich von China unterstützten Akteur im Bereich der „Advanced Persistent Threats“ (APT), der derzeit im Vorfeld der Zwischenwahlen intensive Einflusskampagnen gegen die USA durchführt und dabei abwegige und verzerrte Darstellungen verbreitet. Als Nächstes folgt ein Überblick über Googles neues Open-Source-Sicherheitsprojekt, dessen Schwerpunkt auf dem Management der Software-Lieferkette liegt. Zudem äußern sich Branchenführer und politische Entscheidungsträger dazu, ob die obligatorische Ablauffrist für Passwörter der Passwortsicherheit zuträglich ist oder ihr schadet.
1. Pro-chinesische Desinformationskampagne zielt auf die US-Wahlen ab
Das führende Unternehmen für Cybersicherheit und Bedrohungsanalyse, Mandiant, veröffentlichte letzte Woche einen Bericht, in dem eine von der „ “ durchgeführte, pro-chinesische Einflusskampagne unter dem Namen „ “ detailliert beschrieben wird. Im Rahmen dieser Kampagne beobachteten die Forscher des Unternehmens, dass die Angreifer neue Taktiken, Techniken und Vorgehensweisen (TTPs) einsetzten, um aggressive Operationen zu unterstützen, die sich gegen US-amerikanische Interessen richteten, darunter auch die Zwischenwahlen.
Mandiant hat die Kampagne einer Gruppe zugeschrieben, die das Unternehmen unter dem Namen „Dragonbridge“ beobachtet. Den Forschern von Mandiant zufolge beobachtet man diese Gruppe bereits seit Jahren dabei, wie sie Chinas staatliche Interessen vertritt; dies geschieht in erster Linie über gefälschte Social-Media-Kampagnen, die den Anschein einer Bürgerbewegung erwecken und darauf abzielen, die Politik in Taiwan und Hongkong zu beeinflussen.
Diesmal wird Dragonbridge eine ganze Reihe intensiver Einflusskampagnen zugeschrieben, die eine Vielzahl weit hergeholter falscher Darstellungen enthalten und sich alle gegen US-amerikanische Einrichtungen richten.
Was ist Dragonbridge?
Cyware gibt an, dass „ “ Dragonbridge seit mindestens 2019 unter aktiv ist. In einem kürzlich veröffentlichten Beitrag bezeichnete Cyware die Gruppe als ein staatlich unterstütztes Hacker-Kollektiv, das sich darauf spezialisiert hat, Einrichtungen anzugreifen, die für die Volksrepublik China von strategischem Interesse sind.
Zu den Einflussmaßnahmen von Dragonbridge gehören Social-Media-Kampagnen, mit denen Falschinformationen verbreitet werden, die darauf abzielen, China in Zukunft eine dominante globale Position zu sichern (aufgrund der Struktur der Regierung der Volksrepublik China – in der es für hochrangige Ämter praktisch keine Amtszeitbeschränkungen gibt – sind langfristige Maßnahmen zur Sicherung einer erfolgreichen Zukunft des Staates gang und gäbe). Chinas Heerscharen staatlich geförderter Hacker werden alle erforderlichen Taktiken anwenden, um dieses Ziel zu erreichen, einschließlich der Verbreitung abwegiger Darstellungen unter den Amerikanern.
Ähnlich wie bei „ “ und vielen anderen APTs mit Verbindungen zu China sind auch die Aktivitäten von Dragonbridge von langer Dauer (was angesichts der oben genannten Ausführungen kaum überrascht). Allerdings wurden die jüngsten Aktivitäten von Dragonbridge zur Wahlbeeinflussung – im Gegensatz zu vielen anderen APTs mit Verbindungen zu China – von im Magazin WIRED als „bemerkenswert ungeschickt“ beschrieben, obwohl die Gruppe vermutlich Zugang zu den beträchtlichen Ressourcen und gemeinsamen Toolkits der VR China hat.
Um Ihnen einen Einblick zu geben, finden Sie hier einige der abwegigsten Behauptungen und Falschinformationen, die Dragonbridge in letzter Zeit verbreitet hat – mit freundlicher Genehmigung von Mandiant:
- Es wird behauptet, dass die mit der „ “ in Verbindung stehende, aus China stammende Hackergruppe „APT41“ vielmehr ein von der US-Regierung unterstützter Akteur sei.
- Aggressive Versuche, den demokratischen Prozess in den USA zu diskreditieren, einschließlich der Versuche, die Amerikaner davon abzuhalten, an den 2022 . US-Zwischenwahlen teilzunehmen.
- Vorwürfe, wonach die USA für die Explosionen an der Nord-Stream-Gaspipeline verantwortlich seien.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Aus dieser Geschichte lassen sich einige wichtige Schlussfolgerungen ziehen. „Zuallererst sollten die offensichtliche mangelnde technische Raffinesse von Dragonbridge und der begrenzte Erfolg der Initiative – nicht – nicht mit der Vorstellung gleichgesetzt werden, dass die USA gegen Desinformation und ausländische Einflusskampagnen immun seien.“
„Darüber hinaus vertreten sowohl John Hultquist, Vizepräsident für Informationsanalyse bei Mandiant , als auch Thomas Rid, Professor für Strategische Studien an der Johns Hopkins University und Autor eines Werks zur Geschichte der Desinformation, die Ansicht, dass die derzeitige, von Spaltung geprägte Atmosphäre in der amerikanischen Gesellschaft das Land zu einem bevorzugten Ziel für ausländische Einflussoperationen machen könnte.“ Dragonbridge hat sich intensiv bemüht – nicht nur, um die wahrgenommene Spaltung der amerikanischen Bevölkerung zu nutzen und so seine Narrative voranzutreiben, sondern auch, um bei den Amerikanern den Eindruck zu verstärken, ihr Land sei eine Nation, die unwiderruflich in verfeindete Lager gespalten ist. „Als Beispiel für seine (gelegentlich) scharfsinnige Wahrnehmung hat Dragonbridge keine Mühen gescheut, die USA als eine regelrechte Karikatur ihrer selbst darzustellen, wobei es Ängste und Befürchtungen aufgriff, die in gewissem Maße in allen Amerikanern schlummern, die sich Sorgen um die aktuelle Lage ihres Landes machen.“
2. Google kündigt das Open-Source-Projekt GUAC zur Software-Lieferkette an
In einer Ankündigung im Rahmen des „ “ von Google wurde letzte Woche ein neues Open-Source-Sicherheitsprojekt vorgestellt, dessen Schwerpunkt auf dem Management der Software-Lieferkette liegt.
Das Projekt trägt den Namen „Graph for Understanding Artifact Composition“ (GUAC) und konzentriert sich in erster Linie auf die Erstellung von Datensätzen zur Erstellung, Sicherheit und zu den Abhängigkeiten einer Software. Einfach ausgedrückt: GUAC aggregiert und synthetisiert Metadaten zur Softwaresicherheit in großem Umfang und macht diese dadurch sowohl aussagekräftig als auch umsetzbar.
GUAC-Übersicht
GUAC ist ein kostenloses Open-Source-Tool , das entwickelt wurde, um zahlreiche verschiedene Quellen von Metadaten zur Softwaresicherheit zusammenzuführen, und das geschaffen wurde, um dem Anstieg von Angriffen auf die Software-Lieferkette entgegenzuwirken. Google hat in Zusammenarbeit mit der Purdue University, der Citibank und Kusari das GUAC-Projekt ins Leben gerufen und eine Gruppe von technischen Beratern des „ “ unter zusammengestellt, um das Projekt zu unterstützen.
GUAC befindet sich noch in den Anfängen und existiert bislang lediglich als Proof-of-Concept (PoC), doch Google ist überzeugt, dass das Projekt das Verständnis der Branche hinsichtlich Software-Lieferketten verändern wird. Im Einklang mit Googles Mission, die Informationen der Welt zu ordnen und allgemein zugänglich und nutzbar zu machen, ist es das Ziel von GUAC, den Zugang zu Sicherheitsinformationen zu demokratisieren, indem diese allen Organisationen zugänglich gemacht werden – nicht nur jenen, die über Mittel für Sicherheit und IT verfügen.
Welches Problem löst GUAC?
GUAC aggregiert und synthetisiert im Wesentlichen Metadaten zur Softwaresicherheit, um einen umfassenderen Überblick zu schaffen. Darüber hinaus ermöglicht GUAC es, die kritischsten Komponenten im Ökosystem der Software-Lieferkette sowie die Sicherheitslücken und risikobehafteten Abhängigkeiten innerhalb dieses Ökosystems zu ermitteln.
Google weist darauf hin, dass GUAC dazu beitragen wird, Fragen in drei wichtigen Bereichen der Sicherheit der Software-Lieferkette zu klären, darunter die proaktive, die operative und die reaktive Phase.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Die Lieferkette bleibt ein lukrativer Angriffsvektor für Angreifer, wie Cyberangriffe im Stil von SolarWinds und Log4Shell zeigen. Angesichts der Vielzahl von Angriffen auf die Software-Lieferkette, über die in letzter Zeit in den Nachrichten berichtet wurde (ganz zu schweigen von der Aufregung in der Branche rund um die Entdeckung von Zero-Day-Schwachstellen in Open-Source-Plattformen), war es höchste Zeit, dass etwas wie GUAC ins Leben gerufen wurde.“
„Laut Melissa Bischoping, Leiterin der Endpoint-Sicherheitsforschung bei Tanium, kann die weit verbreitete Nutzung von Open-Source-Software als „“ in Form von gemeinsam genutzten Bibliotheken, Abhängigkeiten und Integrationen in Unternehmens-Tools und maßgeschneiderten Projekten zu „Repo-Jacking“-Angriffen führen, die sich im Erfolgsfall rasch ausweiten könnten. “ Bischoping empfiehlt den Anwendern von Produkten von Drittanbietern, mithilfe von SBOM-Lösungen einen genauen Bestand zu führen, um Einblick in Abhängigkeiten und Risiken zu erhalten. „Diese Empfehlungen könnten in Verbindung mit der von Google derzeit durchgeführten GUAC-Initiative dazu beitragen, Teams weltweit besser aufzustellen und zu stärken.“
„Der Zeitpunkt dieser Meldung fällt mit der Bekanntgabe einer ursprünglich als „kritisch“ eingestuften Sicherheitslücke in der Open-Source-Bibliothek OpenSSL zusammen, die in der Branche für großes Aufsehen sorgte, da Forscher eilig versuchten, das Ausmaß des Risikos und den Umfang der potenziellen Angriffsfläche zu ermitteln (OpenSSL veröffentlichte die technischen Details des Sicherheitsproblems etwa eine Woche später; die als „kritisch“ eingestufte Schwachstelle entpuppte sich als zwei Sicherheitslücken, „ “ CVE-2022-3786 und CVE-2022-3602, also Pufferüberlauf-Fehler, deren Schweregrad anschließend auf „hoch“ herabgestuft wurde).“
„Die offensichtliche Sorge unter Fachleuten der Branche war, dass die OpenSSL-Bibliothek unglaublich weit verbreitet ist; sie ist in vielen Betriebssystemen, clientseitiger Software, Web- und E-Mail-Software, Netzwerkgeräten, ICS und so weiter enthalten.“ Angesichts der Vielzahl von Diensten und Ressourcen, die auf die Bibliothek zurückgreifen, wurden Bedenken hinsichtlich Abhängigkeiten und der Lieferkette geäußert. Aus diesem Grund verfolgte Tanium einen proaktiven Ansatz, um seinen Kunden unter geeignete Anleitungen zur Identifizierung betroffener Systeme und zur schnellstmöglichen Behebung dieser Probleme unter in der kurzen Zeitspanne zwischen der Ankündigung der Sicherheitslücke durch OpenSSL und der Veröffentlichung der technischen Details sowie der CVE-Nummern eineinhalb Wochen später zur Verfügung zu stellen.“
3. Branchenexperten fragen: Trägt die obligatorische Passwortablaufregelung zur Sicherheit Ihrer Passwörter bei oder beeinträchtigt sie diese?
In einer Entwicklung, die sicherlich für Kontroversen sorgen wird, sprechen sich renommierte Organisationen im Bereich der Cybersicherheit wie das National Institute of Standards and Technology (NIST) und Microsoft aktiv gegen die obligatorische Ablauffrist für Passwörter als bewährte Sicherheitsmaßnahme aus.
Gemäß den Empfehlungen von Microsoft zur Passwortrichtlinie gibt es mindestens zwei Hauptgründe, warum Unternehmen auf regelmäßig festgelegte Passwortablauftermine verzichten sollten.
- Microsoft behauptet, dass solche Anforderungen kaum dazu beitragen, entschlossene Cyberangreifer daran zu hindern, sich Zugang zu den Netzwerken der Opfer zu verschaffen. Dies ist zum großen Teil darauf zurückzuführen, dass es unter Cyberkriminellen zunehmend üblich ist, gestohlene Passwörter, an denen es keinen Mangel gibt, sofort zu nutzen. Der Bericht „ : Account Takeover in 2022“ ( ) ergab, dass im Dark Web mehr als 24 Milliarden Kombinationen aus Benutzernamen und Passwörtern zum Verkauf angeboten wurden – ein Anstieg gegenüber den 15 Milliarden im Jahr 2020.
- Microsoft argumentiert zudem, dass die Verpflichtung der Nutzer, ihre Passwörter regelmäßig zu ändern, häufig dazu führt, dass Zugangsdaten erstellt werden, die vorhersehbarer und weniger sicher sind. Beispielsweise können Nutzer einfach eine neue Ziffer oder ein Sonderzeichen zu einem bisherigen Passwort hinzufügen, wenn sie aufgefordert werden, ihre Zugangsdaten zu aktualisieren.
Was die Forschung zur obligatorischen Passwortablaufzeit aussagt
Im Rahmen einer Studie mit der Nummer 2009 gelangten Forscher der UNC Chapel Hill an die Passwörter von über 10 000 inaktiven „ “-Konten, die ehemaligen Studierenden, Dozenten und Mitarbeitern der Universität gehörten. Die Nutzer waren verpflichtet, das Passwort für diese Konten alle drei Monate zu ändern. Mithilfe von Tools zum Knacken von Passwörtern im Rahmen eines Offline-Angriffs gelang es den Forschern der UNC schließlich, etwa 60 % der Passwörter zu knacken. Bei 7 752 Konten gelang es den Forschern, mindestens ein Passwort zu knacken, das nicht das zuletzt vom Nutzer für dieses Konto festgelegte Passwort war. Die Forscher nutzten die Passwörter dieser Kontengruppe, um den weiteren Verlauf ihrer Studie durchzuführen, der darin bestand, einen Ansatz zum Knacken von Passwörtern zu entwickeln, bei dem Vermutungen auf der Grundlage früherer, von den Nutzern gewählter Passwörter formuliert wurden.
Vor kurzem haben Forscher der Carleton University eine Abhandlung verfasst, in der sie ein quantitatives Maß zur Bewertung der Auswirkungen von Richtlinien zum Ablauf von Passwörtern entwickelt haben: „ “. In dieser Studie gehen die Forscher der Carleton University davon aus, dass Angreifer systematisch versuchen werden, jedes mögliche Passwort zu erraten, bis sie fündig werden.
Letztendlich konnten die Forscher der Carleton University mehrere Schlussfolgerungen ziehen, die mit den Ergebnissen der UNC-Studie übereinstimmten. Kurz gesagt: Häufige Passwortwechsel behindern solche Angreifer nur geringfügig – wahrscheinlich nicht genug, um die Unannehmlichkeiten für die Nutzer auszugleichen. Zudem ist es unwahrscheinlich, dass ein Angreifer, der das Passwort eines Benutzers bereits kennt, durch eine Passwortänderung aufgehalten wird.
Nicht jeder ist davon überzeugt
Trotz einer offensichtlichen Fülle stichhaltiger Argumente gegen die Durchsetzung obligatorischer Passwortablaufzeiten gibt es nach wie vor Organisationen und Branchen, die davon nicht überzeugt sind.
Die Zahlungskartenbranche ist ein solcher Bereich; sie verlangt von jeder Organisation, die Kreditkartenzahlungen akzeptiert, die Einhaltung des „ “ Payment Card Industry Data Security Standard, (PCI DSS) – einer weithin anerkannten Sammlung von Richtlinien und Verfahren, die darauf abzielen, die Sicherheit von Kredit-, Debit- und Geldkartentransaktionen zu optimieren und Karteninhaber vor dem Missbrauch ihrer personenbezogenen Daten zu schützen. PCI DSS 4,0 tritt in Kraft, sobald die PCI DSS-Version 3,2,1 im Jahr 2024 außer Kraft gesetzt wird, und schreibt dann regelmäßige Passwortänderungen vor. Die Version 4,0 der PCI-DSS-Standards schreibt vor, dass Organisationen, die dem „ “ unterliegen, Passwörter verwenden müssen, die mindestens 12 Zeichen lang sind (mit einigen Ausnahmen), und dass diese Passwörter alle 90 Tage ablaufen müssen.
Wie sieht der beste Weg nach vorn aus?
In der Cybersicherheitsbranche besteht bislang noch kein Konsens hinsichtlich der Durchsetzung verbindlicher Passwortablauffristen.
Bemerkenswert ist, dass die Lösung „Password Policy“ von Specops ( ) für Unternehmen ein interessantes Konzept namens „längenbasierte Passwortalterung“ unterstützt. Mit dieser Strategie können Unternehmen die Zugriffsverwaltung so konfigurieren, dass Benutzer, die sichere Passwörter erstellen, im Wesentlichen mit selteneren obligatorischen Passwortänderungen belohnt werden.
Auf den ersten Blick mag dies wie eine Notlösung für ein Problem erscheinen, das eigentlich eine gründliche Behandlung erfordert. Schließlich müssen auch diejenigen, die sichere Passwörter erstellen, diese zu bestimmten Zeitpunkten ändern – eine Situation, die den Nutzer möglicherweise dazu veranlassen könnte, letztendlich auf Passwortumwandlungen zurückzugreifen, anstatt gänzlich neue, sichere Passwörter zu erstellen.
Auch wenn Lösungen wie diese allein möglicherweise nicht ausreichen, um dieses Dilemma zu lösen, können sich bestimmte Kombinationen in Verbindung mit anderen Funktionen zur Passwortsicherheit als wirksam erweisen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
„Microsoft trifft den Nagel auf den Kopf, wenn das Unternehmen feststellt, dass Nutzer, die ihre Passwörter häufiger zurücksetzen müssen, eher dazu neigen, schwache Passwörter zu verwenden und diese schwachen Passwörter für mehrere Konten wiederzuverwenden.“
„Die mehrstufige Authentifizierung – auch wenn sie kein Allheilmittel ist und ihre eigenen Einschränkungen sowie Sicherheitslücken aufweist – kann dazu beitragen, Benutzerkonten vor Angreifern zu schützen, selbst wenn diese es geschafft haben, ein Passwort in ihren Besitz zu bringen. Die Passwortprüfung kann den Benutzern zudem dabei helfen, sichere und schwer zu erratende Passwörter zu erstellen. Das NIST empfiehlt alle oben genannten Maßnahmen sowie die Einführung einer Begrenzung der Anzahl fehlgeschlagener Passwortversuche und die Verwendung von Salt-Werten und Hash-Verfahren bei Passwörtern. „Die vollständige Liste der Empfehlungen – insgesamt NIST-800-63b – können Sie hier einsehen.“
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter , um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyberbedrohungen im Rahmen der „ “.
