- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Backdoor via Spear Phishing


APT-Attacken: Forscher entwickeln Erkennungsverfahren zur zuverlässigen Abwehr
Schwachstellen in vielen Firewalls entdeckt - Testsystem im Internet verfügbar

- Anzeigen -





Advanced Persistent Threats (APT) gehören zu den größten Gefahren in der IT. Dabei überlisten Angreifer gezielt die Sicherheitssysteme in hochsensiblen Netzen, um sich dort einzunisten und Daten zu stehlen oder zu einem bestimmten Zeitpunkt kritische Systeme zu sabotieren. Im Projekt APT-Sweeper haben Forscher die Spuren dieser Angriffe verfolgt und eine wirksame Erkennungsmethode entwickelt: APTs beginnen zumeist mit Spear-Phishing-Mails, die charakteristische strukturelle Merkmale aufweisen - anhand dieser Muster können die Angriffe identifiziert und abgewehrt werden.

Zudem deckten die Forscher Schwachstellen bei zahlreichen Sicherheitssystemen auf, die Malware in selten verwendeten oder fehlerhaft angewendeten Standards für E-Mail und Web Traffic nicht erkennen und einfach passieren lassen. Ob die eigene Firewall bei Web Traffic Sicherheitslücken aufweist, kann jeder mit dem frei verfügbaren Tool HTTP Evader (https://noxxi.de/research/http-evader.html) prüfen. Forschungspartner im Projekt APT-Sweeper waren die Technische Universität Braunschweig, die Friedrich-Alexander-Universität Erlangen und das IT-Sicherheitsunternehmen genua GmbH.

APT-Angriffe unterscheiden sich deutlich von anderen Hacker-Attacken: Zum einen sind die Täter zumeist gut ausgebildete und ausgestattete staatliche Dienste oder kriminelle Organisationen. Zum anderen wird gezielt ein bestimmtes IT-System anvisiert, häufig im Bereich Wirtschaft, Forschung, Politik oder Militär. Die Attacke beginnt nach sorgfältiger Aufklärung zumeist mit Spear-Phishing. Dabei wird Mitarbeitern im Ziel-Netzwerk eine E-Mail von einer bekannten, aber gefälschten Absenderadresse zugesandt, deren Inhalt individuell auf den Empfänger abgestimmt ist.

Öffnen die Mitarbeiter in der scheinbar vertrauenswürdigen E-Mail den Anhang oder den eingefügten Link, so wird ein Trojaner geladen und installiert eine Backdoor im sensiblen Netzwerk. Jetzt hat der Angreifer direkten Zugang auf sein Ziel. Dort agiert er vorsichtig, um unentdeckt von Sicherheitssystemen möglichst lange Know-how stehlen oder kritische Systeme sabotieren und somit maximalen Schaden anrichten zu können.

Strukturelle Merkmale verraten gefälschte E-Mails
Um solche Attacken bereits in der Spear-Phishing-Phase aufdecken zu können, analysierten die Forscher im Projekt APT-Sweeper strukturelle Merkmale von E-Mails: Mit welchem Mail-Programm wurden sie geschrieben, über welche Server wurden sie zugestellt, welche Anhänge sind angefügt? Insgesamt erfassten die Forscher über 100 strukturelle Merkmale bei E-Mails von bekannten Absendern und erstellten mittels maschinellen Lernens zu jedem ein Profil.

Hohe Trefferquote: Spear-Phishing wird zuverlässig erkannt
Auf Basis der Absenderprofile entwickelten die Forscher eine Erkennungsmethode, die bei APT-Attacken eine hohe Trefferquote erreicht: Wird eine Spear-Phishing-E-Mail mit bekannten, aber gefälschten Absenderdaten mit dem angelegten Profil verglichen, lassen sich deutliche Abweichungen feststellen. Da Merkmale wie z. B. der Versandweg einer E-Mail erheblich schwieriger zu fälschen sind als die Absenderadresse, und über die Profile viele Strukturdaten abgeglichen werden, ist die neue Methode sehr treffsicher. So können die Empfänger vor bösartigen Spear-Phishing-E-Mails gewarnt und die APT-Angriffe abgewehrt werden. Auch generelle Phishing-Attacken, die weniger zielgerichtet ablaufen und bei denen häufig bekannte Internet-Unternehmen als Absender vorgegeben werden, lassen sich mit der neuen Methode zuverlässig enttarnen.

Aufgedeckt: Sicherheitslücken in vielen Firewalls
Bei der Analyse von Standard-Protokollen für E-Mail (MIME) und Web Traffic (HTTP) stießen die Forscher auf zahlreiche Sicherheitslücken bei verbreiteten Firewalls, Mailfiltern und Antivirus-Systemen. So erkannten die IT-Sicherheitssysteme Malware in selten verwendeten Protokoll-Erweiterungen oder fehlerhaft angewendeten Standards nicht und ließen sie einfach durch. Viele Firewalls konnten bspw. Daten nicht analysieren, die mit dem nur vereinzelt genutzten Protokoll-Standard ?deflate? komprimiert waren. Statt die ungeprüften Daten jedoch zu blockieren, ließen die Firewalls sie einfach passieren.

Frei verfügbares Testsystem für Firewalls
Die Forscher vermuten, dass das riskante Durchlassen ungeprüfter Inhalte von einigen Herstellern zugunsten der Benutzerfreundlichkeit in Kauf genommen wird, um die Anwender nicht durch blockierte Inhalte zu verärgern. Alle betroffenen Hersteller wurden von den Forschern über die gefundenen Sicherheitsmängel informiert, die meisten sind inzwischen behoben. Ob die eigene Firewall bei der Kontrolle von Web Traffic via HTTP Schwachstellen ausweist, kann jeder mit diesem im Projekt APT Sweeper entwickelten, frei verfügbaren Tool testen:
HTTP Evader Test Site: https://noxxi.de/research/http-evader.html

Die Forscher des IT-Sicherheitsunternehmens genua waren bei APT-Sweeper für die Projektleitung verantwortlich, zudem entwickelten sie Indikatoren zur APT-Erkennung in Datenströmen. Die High Resistance Firewall genugate des deutschen Herstellers genua weist keine der aufgedeckten Schwachstellen auf. Die Firewall leitet nur Daten weiter, die sie komplett analysieren konnte - unverständliche und fehlerhafte Inhalte werden konsequent geblockt. Das Projekt APT Sweeper wurde vom Bundesministerium für Bildung und Forschung gefördert. (genua: ra)

eingetragen: 28.10.18
Newsletterlauf: 23.11.18

genua: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Social Engineering weiter auf dem Vormarsch

    Angesichts wachsender Angriffsflächen, zunehmend raffinierter Angriffe und dynamischer Bedrohungslandschaften müssen IT-Abteilungen das Thema IT-Security mit höchster Priorität angehen. Die Security-Experten von Controlware geben Tipps, welche Trends und Entwicklungen in den kommenden Monaten besondere Aufmerksamkeit verdienen. "Das Jahr 2019 begann mit einer Serie von Datendiebstählen, bei denen Prominente und Politiker gezielt ins Visier genommen wurden - und gab uns damit wieder einen Hinweis auf die Bedrohungen, denen wir uns stellen müssen. Wir gehen davon aus, dass sich die Bedrohungslage auch in den kommenden Monaten nicht entspannen wird", berichtet Mario Emig, Head of Information Security Business Development bei Controlware. "Positiv ist, dass demnächst wichtige technologische Innovationen Marktreife erreichen werden. Unternehmen erhalten damit die Chance, ihre IT-Security auf ein höheres Level zu heben - und können sich proaktiv vor Bedrohungen schützen."

  • Ransomware: "Geboren" als Trojaner

    1989 erblickte die erste Erpressungssoftware das Licht der Welt und hat sich seither zu einer der unverfrorensten Datenbedrohungen entwickelt. Sophos hält eine kurze Rückschau auf 30 Jahre digitale Erpressung. In den letzten Jahren hat es Ransomware immer wieder in die Schlagzeilen geschafft - dabei waren es tatsächlich nur die wenigsten Angriffe der erpresserischen Software, die tatsächlich öffentlich wurden. Die Mehrzahl der Attacken verlief im Verborgenen, die Opfer - zumeist Unternehmen - schwiegen aus Scham. So wundert es kaum, dass es die Malware beinahe klammheimlich bereits zu einem runden Geburtstag geschafft hat: sie wird 30.

  • Cybersecurity: Wann kommt das böse Erwachen?

    In Deutschland ist jeder zweite Internetnutzer bereits Opfer von Cyberkriminalität. Ob im privaten oder beruflichen Bereich: Zunehmend laufen Prozesse digital ab. Ganze Wirtschaftszweige sind auf smarte Mittel angewiesen und können sich einen Verlust von sensiblen Daten nicht leisten. "Nahezu jedes Unternehmen hat eine moderne Schließanlage oder ein Alarmsystem, um sich vor möglichen Einbrüchen zu schützen. Aber wenn es um Cybersecurity geht, gerät der Sicherheitsgedanke in den Hintergrund, da es sich um eine unsichtbare Bedrohung handelt", so Karsten Glied, Geschäftsführer der Techniklotsen GmbH. "Internetsicherheit muss endlich ernst genommen werden. Kriminelle Aktivitäten im Netz generieren zwar kurzfristig Aufmerksamkeit für das Problem, das sorgt aber bisweilen nicht für einen veränderten Umgang mit der Thematik." Ins Visier von Hackern können sowohl kleine Unternehmen als auch internationale Konzerne, ja sogar Altenheime oder Kliniken geraten. Dabei geht die größte Gefahr nicht von professionellen Hackern aus - Kleinkriminelle und sogenannte Script-Kiddies bilden den Großteil der potenziellen Angreifer.

  • Klick-Betrug: Eine wachsende Gefahr

    Die Sicherheitsexperten von Avira analysierten Muster, Angriffszahlen und Bedrohungslagen aus dem vergangenen Jahr, um die größten Cyber-Gefahren für 2019 vorherzusagen. Die Prognose, dass auch in diesem Jahr die Anzahl an Bedrohungen und Attacken zunehmen wird, dürfte dabei niemanden überraschen. Die Wege, Mittel und auch Ziele der Cyber-Kriminellen werden jedoch immer komplexer und für User gefährlicher.

  • Malware für Credential-Diebstahl

    Die ganze Welt spricht von Ransomware, wenn es um Malware geht. Dabei spielten nach Auswertungen der FireEye Threat Intelligence im vergangenen Jahr 2018 entsprechende Attacken mit lediglich zwei Prozent nur eine untergeordnete Rolle. Viel größer waren Malware-Attacken bei denen es darum ging persönliche Daten zu erlangen. Der Einsatz von Credential Theft Malware stellte demnach mit 47 Prozent fast die Hälfte der festgestellten Malware-Angriffe. Das Aufdecken der Doxing-Attacke gegen deutsche Politiker und Prominente Anfang 2019 zeigt deutlich, dass viele Internetnutzer immer noch zu sorglos mit ihren Passwörtern umgehen. Aber selbst, wer in diesem Umfeld Sorgfalt walten lässt, ist nicht immer zu 100 Prozent geschützt. Das haben die Cyber-Security-Experten der FireEye Threat Intelligence ermittelt. "Zwar ist Ransomware immer noch ein Thema, erklärt Jens Monrad, Head of FireEye Intelligence EMEA. "Die momentan wichtigste Bedrohung ist allerdings die durch Credential Theft Malware".