Sicherheit & Cyberangriffe: Semikron, MBDA, Peter Berghaus GmbH, spanisches Ministerium

[English]Die letzten Stunden hat es mal wieder mit Cyberangriffen auf Firmen und Behörden gerappelt. Semikron, ein deutscher Hersteller von Leistungshalbleiterkomponenten ist Opfer eines Ransomware-Angriffs geworden. Auch der Hersteller von Verkehrstechnik und Signalanlagen, die Peter Berghaus GmbH, ist möglicherweise Opfer eines Cyberangriffs geworden (im Namen der Firma werden Betrugsmails verschickt). Weiterhin ist das spanische Wissenschaftsministerium Opfer eines Cyberangriffs geworden und der europäische Raketenhersteller MBDA ebenfalls. Hier eine Zusammenfassung diverser Sicherheitsvorfälle.

Ransomware bei Semikron

Der in Nürnberg beheimatete Hersteller von Leistungshalbleiterkomponenten, ist am Montag, den 1. August 2022, Opfer eines Ransomware-Angriffs geworden. Nachfolgender Tweet weist auf den Vorfall hin, den der Hersteller in dieser Meldung so beschreibt.

Die SEMIKRON Gruppe ist Opfer eines Cyber-Angriffs einer professionellen Hackergruppe geworden. Im Rahmen dieses Angriffs haben die Täter behauptet, Daten aus unserem System entwendet zu haben. Ob dies der Fall ist und welche Daten dies genau sind, wird gerade untersucht. Die für die Konzernzentrale zuständigen Behörden sind informiert. Sobald genauere Informationen über einen etwaigen Datenabfluss vorliegen, werden die betroffenen Kunden und Vertragspartner informiert.

Der Angriff hat auch zu einer teilweisen Verschlüsselung unserer IT-Systeme und Dateien geführt. Das gesamte Netzwerk wird derzeit forensisch untersucht und bereinigt.

Wir haben unverzüglich alle erforderlichen Maßnahmen eingeleitet, um mögliche Schäden zu begrenzen. Mit Unterstützung externer Cybersicherheits- und Forensik-Experten führen wir eine Untersuchung des Vorfalls durch. Gleichzeitig arbeiten wir daran die Arbeitsfähigkeit wiederherzustellen, um die Störungen für unsere Mitarbeiter, Kunden und Vertragspartner zu minimieren und die Sicherheit unserer IT-Systeme bestmöglich zu gewährleisten. Zudem werden wir von den zuständigen Behörden bei den Ermittlungen und der Koordination der weiteren Maßnahmen unterstützt.

Die Kollegen von Bleeping Computer haben eruiert, dass das Unternehmen Opfer der LV-Ransomware wurde. Laut einer vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen Warnung (die wohl Bleeping Computer vorliegt) erpressen die Betreiber der Ransomware das Unternehmen und drohen mit der Veröffentlichung der angeblich gestohlenen Daten. Das Unternehmen kann oder will derzeit nichts dazu sagen, ob und welche Daten entwendet wurden. Die Kollegen von Bleeping Computer gaben an, ein Dokument mit einer Lösegeldforderung von einem der verschlüsselten Semikron-Systeme eingesehen zu haben. Dem Dokument zufolge handelt es sich um einen LV-Ransomware-Angriff handelte und die Gruppe behauptet, Dokumente im Umfang von 2 TB abgezogen zu haben.

Semikron beschäftigt weltweit über 3.000 Mitarbeiter in 24 Niederlassungen und 8 Produktionsstätten in Deutschland, Brasilien, China, Frankreich, Indien, Italien, der Slowakei und den USA und erwirtschaftet im Jahr 2020 einen Umsatz von rund 461 Millionen Euro.

Cyberangriff auf die Peter Berghaus GmbH?

Auch der Hersteller von Verkehrstechnik und Signalanlagen, die Peter Berghaus GmbH in Kürten, ist möglicherweise Opfer eines Cyberangriffs geworden. Auf Twitter ist mir eine Reihe von Tweets unter die Augen gekommen, die einen Missbrauch nahelegen.

Es wird im Namen der Peter Berghaus GmbH eine Mail an diverse Empfänger (könnte ein Presseverteiler sein) verschickt, die im Anhang eine ZIP-Datei mit einer fingierten Überweisungsbestätigung enthält. Dort dürfte sich ein Schadprogramm im Archiv befinden. Die verschickten Mails bedeuten erst einmal nicht, dass die Peter Berghaus GmbH involviert ist, denn der Absender könnte ja gefälscht sein.

Deren Webseite berghaus-verkehrstechnik[.]de (z.Z. schlecht erreichbar) zeigt aber obigen Hinweis, dass betrügerische E-Mails im Namen der Firma verschickt werden. Man möge die Anhänge keinesfalls öffnen, sondern löschen. Der Hinweis "Wir werden das Problem umgehend beheben" deutet aber darauf hin, dass deren E-Mail-System, zumindest bei einem Benutzerkonto, kompromittiert sein könnte – also ein Cyberangriff stattgefunden hat.

Ransomware-Angriff auf spanisches Ministerium

Das spanische Ministerium für Wissenschaft und Innovation musste einen erfolgreichen Ransomware-Angriff auf seine IT-Systeme einräumen, wie man nachfolgendem Tweet entnehmen kann. Auf dieser Webseite des Ministeriums heißt es, dass der der Spanische Nationale Forschungsrat (CSIC), eine vom Ministerium für Wissenschaft und Innovation abhängige Organisation, Opfer einer Ransomware-artigen Cyberattacke wurde.

Pikant an der Mitteilung vom 2. August ist meiner Meinung nach, dass der Angriff am 16. und 17. Juli 2022 stattfand und bereits am 18. Juli entdeckt wurde. Das vom Cybersecurity Operations Centre (COCS) und dem National Cryptologic Centre (CCN) erstellte Protokoll wurde sofort aktiviert. Aber die Meldung erfolgte erst gut 2 Wochen später.

Die Maßnahmen zur Kontrolle und Behebung des Angriffs bestanden darin, den Zugang zum Netz in mehreren Zentren zu unterbrechen und das strenge internationale Protokoll zu befolgen, das zur Bewältigung des Vorfalls und zur Verhinderung der Ausbreitung des Angriffs auf nicht direkt betroffene Zentren erforderlich ist. Bisher ist etwas mehr als ein Viertel der Zentren des CSIC an das Netz angeschlossen, und in den nächsten Tagen wird das gesamte Netz der Zentren wiederhergestellt.

Dieser Angriff sei vergleichbar mit den Angriffen auf andere Forschungszentren wie das Max-Planck-Institut oder die US-amerikanische National Aeronautics and Space Administration (NASA). In Ermangelung eines abschließenden Untersuchungsberichts gehen Experten davon aus, dass der Ursprung des Cyberangriffs in Russland liegt, und weisen darauf hin, dass bisher kein Verlust oder keine Entführung sensibler oder vertraulicher Daten festgestellt wurde.

MBDA bestätigt Datendiebstahl

Der EU-Raketenhersteller MBDA bestätigt eine Erpressung durch Cyber-Kriminelle nach einem Datendiebstahl, bestreitet aber einen Sicherheitsvorfall durch einen Hack. Die Kollegen von Bleeping Computer haben auf Twitter und hier einige Informationen dazu offen gelegt.

In dieser Mitteilung weist der Hersteller den angeblichen Hack der IT zurück und hat bei der Polizei eine Anzeige wegen eines Erpressungsversuchs erstattet. Das Unternehmen schreibt, dass MBDA Opfer eines Erpressungsversuchs durch eine kriminelle Gruppe geworden sei, die fälschlicherweise behauptet, die Informationsnetzwerke des Unternehmens gehackt zu haben. Nachdem sich das Unternehmen geweigert hat, dieser Erpressungsdrohung nachzugeben und ein Lösegeld zu zahlen, hat die kriminelle Gruppe die Informationen im Internet verbreitet und gegen Bezahlung zugänglich gemacht.

Die Untersuchung durch die italienischen Behörden läuft. Die Herkunft der veröffentlichten Daten ist bereits geklärt: Sie stammen von einer externen Festplatte. Es sei zudem bestätigt, dass die gesicherten Netze des Unternehmens nicht gehackt worden sind. Die internen Überprüfungsprozesse des Unternehmens haben bisher ergeben, dass es sich bei den online zur Verfügung gestellten Daten weder um Verschlusssachen noch um sensible Daten handelt.

Manjusaka als Ergänzung zu Cobalt Strike

Cobalt Strike ist ein Framework mit flexiblen Funktionen, um Wirtschaftsspionage auf dem eigenen Netzwerk zu simulieren, Abwehrmaßnahmen zu testen und die eigene Computersicherheit zu erhöhen. Es wird aber auch häufig von echten Angreifern wie APT-Gruppen oder Ransomware-Gangs verwendet.

Obiger Tweet weist auf diesen Artikel von Talos hin, deren Sicherheitsforscher kürzlich ein neues Angriffs-Framework namens "Manjusaka" entdeckt haben. Das wird von chinesischen Gruppen in freier Wildbahn parallel zu Cobalt Strike oder als Ersatz eingesetzt, und soll das Potenzial haben, sich in der Bedrohungslandschaft durchzusetzen. Dieses Framework wird als Nachahmung des Cobalt Strike Frameworks beworben. Die Implantate für die neue Malware-Familie sind in der Sprache Rust für Windows und Linux geschrieben.

Eine voll funktionsfähige Version des Command and Control (C2)-Servers, geschrieben in GoLang, mit einer Benutzeroberfläche in vereinfachtem Chinesisch, ist frei verfügbar. Es kann verwendet werden, um problemlos neue Implantate mit benutzerdefinierten Konfigurationen zu generieren. Dies erhöht die Wahrscheinlichkeit, dass dieses Framework von böswilligen Akteuren in größerem Umfang eingesetzt wird.