Die Angriffsmethode Cloud Snooper verwendet eine bislang unbekannte Kombination aus Hackertechniken, um Schadsoftware den Weg frei zu machen und ungehemmt auf Servern mit Befehls- und Kontrollservern durch Firewalls hindurch kommunizieren zu können. Entdeckt wurde sie vom IT-Sicherheitsdienstleister Sophoslabs
Die Komplexität der Attacken in Kombination mit den verwendeten APT-Techniken (Advanced Persistant Threat) legt laut Sophoslabs den Schluss nahe, dass es sich bei den Schöpfern um eine sehr schlagkräftige Hackertruppe handelt, die möglicherweise staatliche Unterstützung genießt.
Wie der Angriff abläuft
Der Bausatz bestehe aus einem ein Rootkit, das Firewalls umgehe, und einem Backdoor Payloud. Es handle sich hier um eine seltene Technik, um Zugang zu Servern zu erhalten, die als normaler Verkehr getarnt sei, verdeutlichen die Sicherheitsexperten.
Die Backdoor Payload verteilt den schadhaften Code sowohl auf Windows- als auch auf Linux-Systemen; eine bekannte, wenn auch ungewöhnliche Vorgehensweise, heißt es in dem Report des Sicherheitsunternehmens.
Besonderheit: Die Kombination
Jedes dieser Elemente sei schon in vorherigen Attacken gesichtet worden, bislang traten sie noch nicht gemeinsam auf. Die Sophos-Experten erwarten, dass dieses anspruchsvolle Paket nach und nach bis in die untersten Hierarchieebenen der Cyberkriminellen durchsickert, wo es in Zukunft als Blaupause für neue Firewall-Angriffe eingesetzt wird.
„Das ist das erste Mal, dass eine Angriffsform moderne Bypassing-Technologie mit einem plattformübergreifenden Payload kombiniert, die sowohl Windows- als auch Linux-Systeme attackiert“, erläutert Sophos-Sicherheitsexperte Michael Veit.
Linux-Syteme ins Auge gefasst
„IT-Sicherheitsteams und Netzwerkadministratoren müssen sehr gewissenhaft sein, wenn es um das Patchen aller nach außen gerichteten Dienste geht, um Angreifer daran zu hindern, Cloud- und Firewall-Sicherheitsrichtlinien zu umgehen. Sie müssen sich zudem vor plattformübergreifenden Attacken schützen. Bislang waren Windows-basierte Anlagen ein typisches Angriffsziel. Nun aber haben Cyberkriminelle auch Linux-Systeme ins Auge gefasst, da Cloud-Services ein beliebtes Jagdrevier geworden sind. Es ist nur eine Frage der Zeit, bis mehr und mehr Cyberkriminelle die Cloud-Snooper-Taktik anwenden werden“, prognostiziert Veit.
Was Unternehmen dagegen tun können
Laut SophosLabs können sich Unternehmen schützen, indem sie eine vollständige Inventur sämtlicher Geräte, die mit dem Netzwerk verbunden sind tätigen. Die Sicherheitssoftware auf allen Geräten müsse dabei auf dem neuesten Stand sein.
Als nächstes sei sicherzustellen, dass alle nach außen gerichteten Dienste gepatcht sind. Cloud-Hosting Services bieten oft Firewall-Sicherheit inklusive, das sollte jedoch kein Ersatz für unternehmenseigene Cloud-Sicherheitsmaßnahmen sein.
Ebenfalls sollten alle Cloud-Konfigurationen gewissenhaft geprüft werden. Laut dem Sophos Threat Report 2020 sind Fehlkonfiguration und ein Mangel an Sichtbarkeit die Hauptgründe für einen Cloud-Angriff.
Zudem sollte auf jedem intern verwendeten Sicherheits-Dashbord oder Bedienfeld die Zwei-Faktor-Authentifizierung (2FA) aktiviert werden, um Angreifer während einer Attacke zu hindern, Sicherheitsprodukte zu dekativieren. (sg)
