Kaspersky Lab hat einen raffinierten Cyberangriff auf sein Unternehmensnetzwerk aufgedeckt, der auch hochrangige Ziele in westlichen Ländern, im Nahen Osten und in Asien traf. Die hoch entwickelte Malware-Plattform wurde Duqu 2.0 genannt und nutzt bis zu drei Zero-Day-Sicherheitslücken aus. [...]
Vorläufige Schlussfolgerungen von Kaspersky Lab:
- Der Angriff wurde von derselben Gruppe, die hinter der berüchtigten Duqu-APT-Attacke im Jahr 2011 steckte, sorgfältig geplant und durchgeführt.
- Kaspersky Lab geht mit hoher Gewissheit davon aus, dass das vorrangige Angriffsziel darin bestand, Informationen über neueste Technologien des Unternehmens zu erlangen. Die Angreifer waren besonders an Details bestimmter Produkte wie Kaspersky Secure Operating System, Kaspersky Fraud Prevention, Kaspersky Security Network sowie Anti-APT-Lösungen und -Services interessiert. Abteilungen außerhalb der Forschungs- und Entwicklungsabteilung wie Vertrieb, Marketing, Unternehmenskommunikation oder Rechtsabteilung standen nicht im Interesse der Angreifer.
- Die Informationen, auf die die Angreifer Zugriff hatten, seien aber in keiner Weise entscheidend für den Betrieb der Kaspersky-Produkte, beruhigt das Unternehmen. Im Gegenteil: Der Informationsgewinn, den Kaspersky Lab durch den Angriff erzielt hat, soll die Leistungsfähigkeit der eigenen IT-Sicherheitslösungen weiter verbessern.
- Die Angreifer zeigten auch ein großes Interesse an den aktuellen Untersuchungen fortschrittlicher zielgerichteter Angriffe.
- Die Angreifer haben mutmaßlich bis zu drei Zero-Day-Sicherheitslücken ausgenutzt. Die letzte verbliebene Zero-Day CVE-2015-2306 wurde, nachdem diese von Kaspersky-Experten gemeldet wurde, durch Microsoft am 9. Juni 2015 gepatcht.
- Das Schadprogramm nutzte eine fortschrittliche Methode, um sich im System zu verstecken. Der Code von Duqu 2.0 existiert ausschließlich im Arbeitsspeicher des Computers und versucht sämtliche Spuren auf der Festplatte zu entfernen.
MÄCHTIGE SCHATTENMÄNNER
„Die Akteure hinter Duqu sind eine der am besten ausgebildeten und mächtigsten APT-Gruppen. Und sie haben alles getan, um zu versuchen, unter dem Radar zu bleiben“, sagt Costin Raiu, Director Global Research and Analysis Team von Kaspersky Lab. „Diese hoch entwickelte Attacke nutzte bis zu drei Zero-Day-Exploits. Das ist sehr eindrucksvoll. Die Kosten müssen sehr hoch gewesen sein. Um im Verborgenen operieren zu können, ‚residierte‘ die Malware nur im Arbeitsspeicher des Kernels. Anti-Malware-Lösungen könnten so Probleme haben, diese zu entdecken. Um weitere Befehle zu erhalten, verbindet sich die Malware auch nicht direkt mit den Command-and-Control-Servern. Stattdessen infizieren die Angreifer Netzwerk-Gateways und Firewalls, indem sie schadhafte Treiber installieren, die sämtlichen Datenverkehr der internen Netzwerke zu den Servern der Angreifer vermitteln.“
„Das Ausspionieren von Cybersicherheitsunternehmen ist eine sehr gefährliche Tendenz. Sicherheitssoftware ist die letzte Bastion zum Schutz von Unternehmen und Endkunden in der modernen Welt, in der Hardware und Netzwerkausstattung kompromittiert werden kann“, kommentiert Eugene Kaspersky, CEO von Kaspersky Lab. „Früher oder später werden Terroristen und professionelle Cyberkriminelle in ähnlich zielgerichteten Angriffen implementierte Technologien prüfen und einsetzen. Und das ist ein sehr ernstzunehmendes und wahrscheinliches Szenario.“
„Der einzige Weg, die Welt sicherer zu machen, ist es, solche Vorfälle zu berichten“, erklärt Eugene Kaspersky weiter. „Das hilft, um das Sicherheitsdesign von Unternehmensinfrastruktur zu verbessern und ein klares Signal an die Entwickler dieser Malware zu senden: alle illegalen Operationen werden gestoppt und verfolgt. Der einzige Weg, die Welt zu beschützen, ist es, Strafverfolgungsbehörden und Sicherheitsunternehmen zu haben, die solche Angriffe offen bekämpfen. Wir werden Angriffe immer veröffentlichen, egal welchen Ursprung sie haben.“
Kaspersky Lab betont, dass dies ausschließlich vorläufige Ergebnisse der Untersuchung sind. Es gäbe keinen Zweifel, dass der Angriff geografisch viel ausgedehnter und gegen viele weitere Ziele gerichtet sei. Aber auf Grundlage dessen, was das Unternehmen bereits weiß, wurde Duqu 2.0 genutzt, eine komplexe Auswahl von Zielen auf höchster Ebene, die gleichzeitig unterschiedliche geopolitische Interessen haben, anzugreifen.
Tod Beardsley, Security Engineering Manager des Unternehmens Rapid7, stimmt den Einschätzungen von Kaspersky Lab zu: „Nach der Überprüfung der technischen Analyse von Kaspersky können wir sicher sagen, dass Duqu 2.0 sowohl den Stand der Technik darstellt als auch die Messlatte für derartige Cyberoperationen. Selbst wenn man bezweifelt, dass Stuxnet, Duqu und Duqu 2.0 von finanziell und mit hoch qualifizierten Kräften gut ausgestatteten, geopolitisch motivierten westlichen Nationen stammen: Duqu 2.0 ist bereits genau das, was wir künftig von ernsthaften nationalen Cyber-offensiven Fähigkeiten erwarten dürfen.“ Beardsley weiter: „Wir sind sehr froh darüber, dass Kaspersky seine detaillierten Ergebnisse veröffentlicht. Wir sehen hier mehr Transparenz, als es in der Regel bei anfänglichen Berichten über Sicherheitsvorfälle der Fall ist. Ich bin zuversichtlich, dass Kaspersky weitere Details darüber bekannt geben wird, wie genau es gelang, die Aktivität von Duqu 2.0 zu erkennen. Denn genau diese Erkennungstechniken sind es, die Sicherheitsverantwortliche einsetzen müssen, um kritische Infrastrukturnetze gegen ähnliche Angriffe zu verteidigen und zu sanieren.“ (pi/rnf)
Be the first to comment