Das Bundesamt für Verfassungsschutz (BfV) hat in einer Mitteilung gerade vor Cyberangriffen der chinesischen APT27-Gruppe auf deutsche Firmen gewarnt. Die chinesischen Angreifer versuchen durch Schadsoftware Firmeninterna auszuspionieren. Hier einigen Informationen, soweit bekannt.
Anzeige
Ich bin über nachfolgenden Tweet des Bundesamt für Verfassungsschutz (BfV) auf die Thematik aufmerksam geworden.
Die Cyberspionagegruppierung APT27 ist seit mindestens 2010 aktiv. Dem Bundesamt für Verfassungsschutz (BfV) liegen Erkenntnisse über eine anhaltende Cyberspionagekampagne durch die Cyberangriffsgruppierung APT27 unter Einsatz der Schadsoftwarevariante HYPERBRO gegen deutsche Wirtschaftsunternehmen vor. Bei HYPERBRO handelt es sich um ein Remote-Access-Tool (RAT), welches aus verschiedenen Komponenten besteht.
Nach aktuellen Erkenntnissen nutzen die Angreifer seit März 2021 Schwachstellen in Microsoft Exchange sowie in der Software Zoho AdSelf Service Plus1 als Einfallstor für die Angriffe aus. Die Angreifer verfügten bereits vor öffentlichem Bekanntwerden über Kenntnis der Schwachstellen in der Software Zoho Manage Engine ADSelfService Plus (CVE-2021-40539) sowie in Microsoft Exchange Server 2013, 2016 und 2019 (CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065), die zur Auslieferung von HYPERBRO verwendet werden.
Anzeige
Gegenwärtig beobachtet das BfV eine Zunahme von Angriffen gegen deutsche Ziele durch die Gruppierung unter Verwendung der HYPERBRO-Schadsoftware. Laut BfV kann nicht ausgeschlossen werden, dass die Akteure neben dem Diebstahl von Geschäftsgeheimnissen und geistigem Eigentum versuchen, die Netzwerke der (Unternehmens-)Kunden beziehungsweise von Dienstleistern zusätzlich zu infiltrieren (Supply-Chain-Angriff).
Das BfV geht von einer anhaltenden Angriffswelle durch den Akteur auf die deutsche Wirtschaft aus und hat diese PDF-Datei (BfV Cyber-Brief Nr. 01/2022) mit weiteren Details veröffentlicht. Dort gibt es auch Hinweise zu Detektionsregeln und technische Indikatoren (Indicators of Compromise), um Wirtschaftsunternehmen die Identifikation bestehender Infektionen mit den derzeit kursierenden und möglicherweise neuen Versionen der Schadsoftware zu ermöglichen. Zudem wurden YARA-Regeln zur Identifikation und Abwehr der Schädlinge veröffentlicht.
Anzeige
So neu sind die Berichte gar nicht:
https://unit42.paloaltonetworks.com/emissary-panda-attacks-middle-east-government-sharepoint-servers/
Also ich lese aus der Meldung, dass valide Internet Benutzer auf kaputte IT-Systeme zugreifen und diese dann aus dem Internet entfernen.
So als Sicherheitsmaßnahme für das Internet.
Auwweia, ich stell mir Deutschland als Toll- und Spielwiese für diese Hacker vor. Sicherheit kostet, IT-Verlust ist teuer. Das z. B. durfte ein Schweizer Unternehmen auf die harte Tour lernen. Deren Hoster hatte alles richtig gemacht und das IT-Unternehmen, das sich um die Sicherheit des Unternehmens kümmerte, hatte immer wieder auf Probleme und Angebote hingewiesen. Die Chefetage war sich sicher, dass deren damaliges Schutzkonzept ausreichte (ich liebe BWL'er). Dann wurde dieses Unternehmen gehackt, über die Firmenwebseite, auf dem Hoster (und den konnte einfach keine Schuld treffen }:( ):
https://www.golem.de/news/ransomware-jeder-hat-daten-die-eine-erpressung-wert-sind-2201-161581.html
"Nice" zu lesen.
In dem Golemartikel steht u.a. diese Empfehlung:
"Was können Unternehmen nun tun, um sich zu schützen? Zum einen, bei einer kleinen Umgebung tatsächlich in die Cloud zu wechseln."
Das ist schon länger auch meine Meinung. Eine kleine Firma ohne IT-Abteilung kann sich einfach nicht alleine absichern und muss wichtige Dinge in die Cloud legen.