Hacking-Kampagne nutzt acht Jahre alte Sicherheitslücke
Sie steckt in einem Netzwerktreiber von Intel. Darüber lässt sich ein schädlicher Kernelmodus-Treiber einschleusen.
Crowdstrike hat eine neue Hacking-Kampagne analysiert, bei der eine acht Jahre alte Sicherheitslücke zum Einsatz kommt. Sie steckt in Treibern von Intel und erlaubt das Umgehen von Sicherheitsfunktionen, um in Windows-Netzwerke einzudringen.
Hinter den Angriffen steckt eine als Scattered Spider bezeichnete Gruppe, die auch unter den Namen Roasted Oktapus und UNC3944 bekannt ist. Die finanziell motivierten Cyberkriminellen nehmen in erster Linie Telekommunikationsanbieter und deren Zulieferer ins Visier, um sich Zugang zu Netzwerken von Mobilfunkanbietern zu verschaffen.
Angriffe auf Intels Ethernet Diagnostics Driver
Einen ersten Zugang erreichen die Hacker laut Crowdstrike meist per SMS-Phishing oder auch über SIM-Swapping-Angriffe. In einem zweiten Schritt kommt eine als “Bring your own vulnerable Driver” bekannte Technik zum Einsatz. Dabei wird eine legitim signierte Software benutzt, einen schädlichen Treibern einzuschleusen – und die Funktion, die eine Ausführung unsignierter Kernelmodus Treiber verhindert, umgangen.
Die schädlichen Treiber wiederum sollen Sicherheitsprodukte abschalten und so die Aktivitäten der Hacker verschleiern. Bei der aktuellen Kampagne wird laut Crowdstrike der gefährliche Treiber über eine Schwachstelle aus dem Jahr 2015 (CVE-2015-2291) im Intel Ethernet Diagnostics Driver für Windows ausgenutzt.
“Das vorrangige Patchen anfälliger Treiber kann dazu beitragen, diesen und ähnliche Angriffsvektoren, die den Missbrauch signierter Treiber beinhalten, zu entschärfen”, warnten die Forscher. Sie stießen nach eigenen Angaben auf die Angriffsserie, weil die Kriminellen versuchten, auch das Crowdstrike eigene Sicherheitsprodukte Falcon zu umgehen.
Microsoft selbst hat bereits darauf hingewiesen, dass Bedrohungsakteure versuchen, legitime Treiber und deren Sicherheitslücken zu benutzen, um Schadsoftware auszuführen.
