index

 

 

 

 

 

 

 

Das Cert hat einen ausführlichen Bericht über den APT-Angriff auf den Technikkonzern RUAG veröffentlicht und gibt Tipps für andere Unternehmen. Als Advanced Persistent Threat (APT) bezeichnet man eine fortschrittliche und lang anhaltende Attacke auf die IT-Infrastruktur eines Unternehmens.

Die Ruag Holding AG ist ein Schweizer Technologiekonzern, der sich insbesondere mit den Themen Sicherheit, Verteidigung und Raumfahrt beschäftigt. Das Unternehmen wurde von 2014 bis vor einigen Wochen Opfer eines professionellen Hackerangriffs. Bei der Attacke handelt es sich laut einem Bericht des Schweizer Cert, der Schweizer Melde- und Analysestelle Informationssicherung (Melani), um einen APT. Es sollen rund 20 GByte an Daten kopiert worden sein.

Keine unbekannte Gruppe

Durchgeführt wurde der Angriff von einer bereits bekannten Gruppe, die auch hinter APTs wie Epic, Turla oder Tavdig steckt, vermuten die Schweizer Sicherheitsexperten. Im Interesse der Angreifer sei es, möglichst lange Zeit unentdeckt zu bleiben, um viele Informationen zu erspähen, abzugreifen und abschließend zu entwenden, so das Cert. Dieses Vorgehen diene politischen oder privatwirtschaftlichen Interessen.

In der Vergangenheit wurden dieser Gruppe überwiegend Angriffe auf staatliche Organisationen und große Unternehmen innerhalb Europas zugeschrieben. Es ist allerdings bis heute unklar, wer tatsächlich hinter dem Angriff steckte und welche Interessen die Angreifer leiteten. In der Erklärung des Ministeriums für Verteidigung, Bevölkerungsschutz und Sport (VBS) heißt es: „Spekulationen rund um die Urheberschaft der Angriffe bestätigt der Bundesrat nicht.“

Geschicktes Vorgehen

Die Angreifer gingen dem Bericht zufolge nach der ersten Infektion sehr vorsichtig vor: Bevor sie weitere Clients im Netzwerk infizierten, stellten sie durch genaue Beobachtung fest, ob das Ziel überhaupt attraktiv war und ob der geplante Angriff zu einer Entdeckung führen könnte. Weniger professionelle Angreifer sind zumeist darauf aus, in kurzer Zeit viele Systeme zu infizieren. In dem vorliegenden Fall aber ließen sich die Angreifer offenbar nach einer Angriffswelle mehrere Monate Zeit, bis sie weitere Aktionen vornahmen, um tiefer in das Unternehmensnetzwerk einzudringen. Melani berichtet in seiner Meldung von Phasen, in denen aggressiv und auffällig vorgegangen wurde, aber auch über stille Phasen, in denen keine Angriffe vorgenommen wurden.

Die ersten Spuren des Angriffs lassen sich in etwa auf den September 2014 datieren, erste Hinweise auf Unregelmäßigkeiten innerhalb des Netzwerkes wurden allerdings erst über ein Jahr später, im Dezember 2015, entdeckt. Es ist zu vermuten, dass dieser zeitliche Abstand durch die Angreifer intendiert war, diese also zunächst unauffällig operierten. Das hilft ihnen, den initialen Einbruch in die IT-Infrastruktur zu verschleiern, da die für IT-Forensik notwendigen Log-Dateien nicht vorliegen. Denn diese müssen meist datenschutzbedingt gelöscht werden. Deshalb lassen sich kaum verlässliche Aussagen über frühe Phasen des Angriffs treffen. In jedem Fall ist davon auszugehen, dass weitere Zielsysteme ausgespäht und passiv Daten gesammelt wurden, die später genutzt wurden, um damit aktive Angriffe vorzunehmen.

Rohrsystem zur Tarnung

Die Angreifer nutzten innerhalb des angegriffenen Netzwerkes eine Art „Rohrsystem“, um unauffällig zu operieren. Bereits infizierte Rechner innerhalb des Netzes wurden genutzt, um Befehle an andere Rechner innerhalb des Netzwerkes weiterzugeben (Baumstruktur). Infizierte Rechner gaben außerdem Informationen über den Infektionsweg zurück. Es handelt sich also um ein System, das Command and Control Server (C2C) auf verschiedenen Ebenen besaß, bis jetzt sind möglicherweise nicht alle diese Server bekannt.

Dieses Vorgehen hat für Angreifer mehrere Vorteile: Die Kommunikation nach außen wird möglichst gering gehalten und interne Firewalls werden ausgetrickst, da der ungewollte Netzwerkverkehr sich mit legitimem Verkehr vermischt und über längere Zeit kein Traffic außerhalb des Netzwerks gelangen muss.

Bei den Infektionen von Systemen wurde ein zweistufiges Vorgehen gewählt. Zunächst wurde evaluiert, ob Interesse an dem System bestand. Falls das der Fall war, wurde entsprechende Malware nachgeladen. Aufgabe der Malware war es, durch klassische Rechteausweitung (etwa Ausnutzung von Administratorrechten oder Ausnutzung der automatischen Starts von Programmen oder Services unter Systemrechten) erweiterte Zugriffsrechte zu erlangen. Interessanterweise wurden keine zusätzlichen Tools wie Keylogger installiert und zudem keine externen Konfigurationsdateien, sondern ausschließlich hartkodierte Informationen im Quelltext, genutzt. Vermutlich wurde dieses Vorgehen gewählt, um noch schwerer auffindbar zu operieren.

Später wurden Tools wie mimikatz.exe, pipelist.exe und dsquery.exe verwendet, um noch mehr Informationen zu erlangen und die Rechte innerhalb des Netzwerkes zu erweitern. An dem zweistufigen Vorgehen wurde allerdings festgehalten – insoweit lässt sich davon ausgehen, dass die Angreifer eine genaue Idee davon hatten, was sie suchen und wo sie es vermutlich finden. In dem Bericht des Ministeriums für Verteidigung, Bevölkerungsschutz und Sport wird erwähnt, dass insgesamt über 20 GByte Daten entwendet wurden. Es handelt sich allerdings nicht um private Daten, sondern beispielsweise um „Daten aus dem Admin-Verzeichnis“. Das lässt erneut den Schluss zu, dass es sich bei dem Angriff um Wirtschaftsspionage handelt.

Tipps für Unternehmen

In dem technischen Bericht von Melani wird abschließend ausdrücklich erwähnt, dass tatsächlich jede Organisation, egal wie groß ihre Sicherheitsmaßnahmen auch seien, Opfer einer solchen Attacke werden könnte, da das Vorgehen extrem geschickt war. Das Cert sagt aber auch, dass sich mit kostengünstigen Maßnahmen, wie etwa dem Monitoring innerhalb des eigenen Netzwerkes, früher erkennen lässt, dass jemand unerlaubte Aktionen im eigenen Netzwerk tätigt.

Die genannten Maßnahmen könnten für Sicherheitsverantwortliche und Administratoren von anderen Unternehmen von großem Interesse sein. Melani empfiehlt beispielsweise häufige Anfragen an Services wie Active Directories zu protokollieren und bei großer Anzahl von Abfragen einen Alert zu erzeugen. Auch Anfragen, die per DNS gestellt werden, sollten bis zu zwei Jahre gespeichert werden, um im Zweifel später Rückschlüsse auf die Infiltration von Netzwerken zu ziehen. Zudem wird geraten, Bring-Your-Own-Device-Geräte von der klassischen IT-Infrastruktur zu separieren und (V)LANs zu nutzen, um Netzwerksegmente voneinander zu trennen.

Der ausführliche Bericht des Cert zeigt, dass sich durch das Teilen von Informationen ein Sicherheitsgewinn auch für andere Unternehmen ergeben kann – sicherlich etwas, das auch private Unternehmen oder andere Certs praktizieren sollten.

Ausländische Medien sind der Meinung, dass diese Art der Transparenz von einer staatlichen IT-Stelle könnte Vorbildcharakter haben.

 

Schützen Sie ihre IT-Infrastruktur mit Produkten aus unserem Security Portfolio.