Hacking-Kampagne gegen IT-Provider bereitet Angriffe auf die Lieferkette vor

Symantec hat die Aktivitäten einer offenbar neuen Hackergruppe namens Tortoiseshell analysiert. Sie soll mindestens seit Juli 2018 aktiv sein und seitdem elf oder gar mehr IT-Provider – überwiegend im arabischen Raum – ins Visier genommen haben. Bei zwei der betroffenen Organisationen sollen die Cyberkriminellen einen Zugang auf Domain-Ebene haben, um alle Rechner im Netzwerk zu kontrollieren.

In den beiden Fällen fanden die Symantec-Forscher Hunderte mit Malware infizierte Computer. Sie vermuten, dass die Hacker auf der Suche nach für sie passenden Schlüssel-Systemen möglichst viele Rechner in einem Netzwerk kompromittieren.

Die jüngsten Aktivitäten von Tortoiseshell zeichneten die Forscher im Juli 2019 auf. Dabei kam eine speziell gestallte Schadsoftware namens Backdoor.Syskit zum Einsatz. Sie wurde in Delphi und .NET programmiert und öffnet eine versteckte Hintertür zu einem kompromittierten Computer. Darüber erhalten die Hintermänner unter anderem die IP-Adresse und Angaben zum verwendeten Betriebssystem sowie den Computernamen. Syskit kann aber auch weitere Werkzeuge herunterladen und ausführen, um Daten zu stehlen und Nutzer auszuspähen.

Unklar ist indes noch, wie die Malware verbreitet wird. Zumindest in einem Fall war der Ausgangspunkt eine kompromittierte Web Shell. Einen Web-Server über eine alte Sicherheitslücke anzugreifen sei einfacher als eine Attacke per E-Mail. „Eine Phishing-E-Mail setzt voraus, dass der Angreifer zumindest etwas über den Empfänger der Nachricht weiß, um die E-Mail an diese Person anzupassen“, erklärte Symantec-Forscher Gavin O’Gorman.

Symantec geht zudem davon aus, dass es die Hacker eigentlich nicht auf die IT-Provider, sondern deren Kunden abgesehen haben. Da Dienstleister oftmals hohe Zugangsrechte zu den Netzwerken ihrer Kunden haben, sind sie ein guter Ausgangspunkt für Attacken auf die Lieferkette. In einigen Fällen fanden die Forscher sogar Hinweise auf frühere Angriffe auf die fraglichen IT-Anbieter.

Vertrauenswürdige Lieferanten sind nach Ansicht von Sam Curry, Chief Security Officer bei Cybereason, ein geeigneter Weg, um auch „die sichersten Unternehmen und Regierungsorganisationen“ zu infiltrieren. Zur Sicherung der Lieferkette schlägt er zweit Strategien vor: Transparenz und die Zusammenarbeit außerhalb des Unternehmens sowie Inspektionen und Kontrollen von Lieferanten. „Die Herausforderung für die Sicherheit liegt darin, Innovationen zu entwickeln und Reibungsverluste bei Sicherheitskontrollen und -prozessen zu vermeiden, und nicht die Kontrollen selbst zu beseitigen.“

WEBINAR

Webinar-Aufzeichnung: HPE Server mit AMD EPYC 2 stellen 37 Rekorde auf

Das Webinar informiert Sie über die neuen auf AMD EPYC 2 basierenden HPE Server. Erfahren Sie mehr über die erheblichen Leistungs- und Kostenvorteile, die die neue Architektur in der Praxis bietet. Jetzt registrieren und Webinar-Aufzeichnung ansehen.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Google bringt Seitenisolierung von Chrome auf Android

Sie unterstützt aber nur Seiten, die Anmeldedaten abfragen. Das ist eine Konzession an die begrenzten Ressourcen von Android-Geräten. Zudem setzt…

2 Tagen ago

Canonical veröffentlicht Ubuntu 19.10 Eoan Ermine

Die Entwickler versprechen eine flüssigere Performance des Gnome-Desktops. Weitere Neuerungen richten sich an AI-Entwickler. Ubuntu 19.10 verbessert aber auch den…

3 Tagen ago

Xiaomi Mi 9T Pro mit 128 GByte jetzt für unter 340 Euro

Das Angebot gilt für das blaue und schwarze Modell mit 128 GByte, die Gearbest aktuell für jeweils 337,88 Euro verkauft.…

3 Tagen ago

Umgehung des Fingerabdrucksensors: Samsung kündigt Patch fürs Galaxy S10 an

Bestimmte Silikonhüllen für das Display vertragen sich nicht mit dem Fingerabdruckscanner. Der erfasst zusammen mit dem Fingerabdruck deren Mikromuster. Das…

3 Tagen ago

Polizei Aachen geht gegen deutschen Free-Hoster Share-Online.biz vor

Die Seite ist seit 16. Oktober nicht mehr erreichbar. Die Ermittlungen richten sich gegen vier Betreiber des Filehosters. Sie sollen…

3 Tagen ago

Krack: Eset warnt vor Schwachstellen in Echo- und Kindle-Geräten

Sie sind anfällig für die Krack genannten Angriffe auf die WPA2-Verschlüsselung von WLAN-Netzen. Die Fehler stecken in Echo-Geräten der ersten…

3 Tagen ago