Wirtschaftsspionage-Kampagne gegen US-Technologieunternehmen
Bitdefender: Angriff fand über mehrere Monate statt und konzentrierte sich auf die Exfiltration von Daten.
Für den Angriff wurde ein ausgedehntes Netzwerk von mehreren hundert IP-Adressen – die meisten davon aus China – verwendet. Bitdefender warnt in einer Studie, dass diese Art von Angriffen wahrscheinlich zunehmen wird und rät Unternehmen in der Industrie, im Energiesektor, im Finanzwesen, in der Verteidigung und in anderen kritischen Sektoren, sich in höchste Alarmbereitschaft zu versetzen.
Ursprung der Studie war eine Spionagekampagne auf einen Bitdefender-Partner, einen US-amerikanischen Hardware-Hersteller mit weniger als 200 Mitarbeitern. Der Angriff erstreckte sich über mehrere Monate. Die Spione nutzten bekannte Sicherheitslücken mit ausgefeilten Techniken zur Datenextraktion.
Solche hybriden Angriffe kombinieren opportunistische Taktiken, wie etwa das automatisierte Scannen von Schwachstellen, mit ausgefeilten Techniken, wie etwa die Extraktion wichtiger Unternehmensdaten. Die Kompromittierung erfolgt bei solchen Angriffen unter Verwendung automatischer Scanner, deren Ergebnisse dann von einem Menschen geprüft werden, um festzustellen, ob es sich lohnt, die Daten des Ziels mit komplexen Techniken gezielt anzugreifen und zu extrahieren.
Zugriff über bekannte, häufig genutzte Sicherheitslücke
Der anfängliche Infektionsvektor war in diesem Fall eine dem Internet zugewandte Instanz des Webservers “ZOHO ManageEngine ADSelfService Plus”, die über eine bekannte, nicht gepatchte, häufig genutzte Schwachstelle (CVE-2021-40539) ausgenutzt wurde. Dies ermöglichte es den Akteuren, die Sicherheitsauthentifizierung zu umgehen und manuell einen beliebigen Code auszuführen. Nachdem sich die Kriminellen Zugriff verschafft hatten, setzten sie eine Web-Shell in einem Verzeichnis ein, auf das sie über das Internet zugreifen konnten, und nutzten sie, um aus der Ferne auf einen Webserver zuzugreifen.
Für den Angriff wurde ein riesiges Netzwerk mit mehreren hundert IP-Adressen verwendet. Es wurden zwar Sicherheitswarnungen generiert, der raffinierte Angriff erfolgte jedoch mit manuellen Befehlen und blieb daher unentdeckt.
Ausnutzung von Sicherheitslücken hat sich 2021 verdoppelt
Der in diesem Fall beschriebene Angriff deckt sich mit den Ergebnissen des jüngsten Data Breach Investigations Report 2022, wonach sich die Zahl der Sicherheitsverletzungen, die durch die Ausnutzung von Sicherheitslücken verursacht wurden, im vergangenen Jahr verdoppelt hat. Bitdefender geht davon aus, dass sich dieser Trend fortsetzen wird. Angreifer konzentrieren sich vermehrt eher auf eine Verletzung der Vertraulichkeit (Datenexfiltration) als auf eine Verletzung der Verfügbarkeit (Einsatz von Ransomware). Unternehmen jeder Größe, die als wertvolles Ziel oder als Weg zu einem größeren Ziel angesehen werden, sind damit gefährdet.
