
APT-Attacken: Forscher entwickeln Erkennungsverfahren zur zuverlässigen Abwehr + Advanced Persistent Threats (APT) gehören zu den größten Gefahren in der IT. Dabei überlisten Angreifer gezielt die Sicherheitssysteme in hochsensiblen Netzen, um sich dort einzunisten und Daten zu stehlen oder zu einem bestimmten Zeitpunkt kritische Systeme zu sabotieren.
Im Projekt APT-Sweeper haben Forscher die Spuren dieser Angriffe verfolgt und eine wirksame Erkennungsmethode entwickelt: APTs beginnen zumeist mit Spear-Phishing-Mails, die charakteristische strukturelle Merkmale aufweisen – anhand dieser Muster können die Angriffe identifiziert und abgewehrt werden. Zudem deckten die Forscher Schwachstellen bei zahlreichen Sicherheitssystemen auf, die Malware in selten verwendeten oder fehlerhaft angewendeten Standards für E-Mail und Web Traffic nicht erkennen und einfach passieren lassen. Ob die eigene Firewall bei Web Traffic Sicherheitslücken aufweist, kann jeder mit dem frei verfügbaren Tool HTTP Evader ( https://noxxi.de/research/http-evader.html )
prüfen. Forschungspartner im Projekt APT-Sweeper waren die Technische Universität Braunschweig, die Friedrich-Alexander-Universität Erlangen und das IT-Sicherheitsunternehmen genua GmbH.
APT-Angriffe unterscheiden sich deutlich von anderen Hacker-Attacken: Zum einen sind die Täter zumeist gut ausgebildete und ausgestattete staatliche Dienste oder kriminelle Organisationen. Zum anderen wird gezielt ein bestimmtes IT-System anvisiert, häufig im Bereich Wirtschaft, Forschung, Politik oder Militär. Die Attacke beginnt nach sorgfältiger Aufklärung zumeist mit Spear-Phishing. Dabei wird Mitarbeitern im Ziel-Netzwerk eine E-Mail von einer bekannten, aber gefälschten Absenderadresse zugesandt, deren Inhalt individuell auf den Empfänger abgestimmt ist.
Backdoor via Spear Phishing
Öffnen die Mitarbeiter in der scheinbar vertrauenswürdigen E-Mail den Anhang oder den eingefügten Link, so wird ein Trojaner geladen und installiert eine Backdoor im sensiblen Netzwerk. Jetzt hat der Angreifer direkten Zugang auf sein Ziel. Dort agiert er vorsichtig, um unentdeckt von Sicherheitssystemen möglichst lange Know-how stehlen oder kritische Systeme sabotieren und somit maximalen Schaden anrichten zu können.
Strukturelle Merkmale verraten gefälschte E-Mails
Um solche Attacken bereits in der Spear-Phishing-Phase aufdecken zu können, analysierten die Forscher im Projekt APT-Sweeper strukturelle Merkmale von E-Mails: Mit welchem Mail-Programm wurden sie geschrieben, über welche Server wurden sie zugestellt, welche Anhänge sind angefügt? Insgesamt erfassten die Forscher über 100 strukturelle Merkmale bei E-Mails von bekannten Absendern und erstellten mittels maschinellen Lernens zu jedem ein Profil.
Hohe Trefferquote: Spear-Phishing wird zuverlässig erkannt
Auf Basis der Absenderprofile entwickelten die Forscher eine Erkennungsmethode, die bei APT-Attacken eine hohe Trefferquote erreicht: Wird eine Spear-Phishing-E-Mail mit bekannten, aber gefälschten Absenderdaten mit dem angelegten Profil verglichen, lassen sich deutliche Abweichungen feststellen. Da Merkmale wie z. B. der Versandweg einer E-Mail erheblich schwieriger zu fälschen sind als die Absenderadresse, und über die Profile viele Strukturdaten abgeglichen werden, ist die neue Methode sehr treffsicher. So können die Empfänger vor bösartigen Spear-Phishing-E-Mails gewarnt und die APT-Angriffe abgewehrt werden. Auch generelle Phishing-Attacken, die weniger zielgerichtet ablaufen und bei denen häufig bekannte Internet-Unternehmen als Absender vorgegeben werden, lassen sich mit der neuen Methode zuverlässig enttarnen.
Aufgedeckt: Sicherheitslücken in vielen Firewalls
Bei der Analyse von Standard-Protokollen für E-Mail (MIME) und Web Traffic (HTTP) stießen die Forscher auf zahlreiche Sicherheitslücken bei verbreiteten Firewalls, Mailfiltern und Antivirus-Systemen. So erkannten die IT-Sicherheitssysteme Malware in selten verwendeten Protokoll-Erweiterungen oder fehlerhaft angewendeten Standards nicht und ließen sie einfach durch. Viele Firewalls konnten bspw. Daten nicht analysieren, die mit dem nur vereinzelt genutzten Protokoll-Standard ?deflate? komprimiert waren.
Statt die ungeprüften Daten jedoch zu blockieren, ließen die Firewalls sie einfach passieren.
Frei verfügbares Testsystem für Firewalls
Die Forscher vermuten, dass das riskante Durchlassen ungeprüfter Inhalte von einigen Herstellern zugunsten der Benutzerfreundlichkeit in Kauf genommen wird, um die Anwender nicht durch blockierte Inhalte zu verärgern. Alle betroffenen Hersteller wurden von den Forschern über die gefundenen Sicherheitsmängel informiert, die meisten sind inzwischen behoben. Ob die eigene Firewall bei der Kontrolle von Web Traffic via HTTP Schwachstellen ausweist, kann jeder mit diesem im Projekt APT Sweeper entwickelten, frei verfügbaren Tool testen:
HTTP Evader Test Site: https://noxxi.de/research/http-evader.html
Die Forscher des IT-Sicherheitsunternehmens genua waren bei APT-Sweeper für die Projektleitung verantwortlich, zudem entwickelten sie Indikatoren zur APT-Erkennung in Datenströmen. Die High Resistance Firewall genugate des deutschen Herstellers genua weist keine der aufgedeckten Schwachstellen auf. Die Firewall leitet nur Daten weiter, die sie komplett analysieren konnte – unverständliche und fehlerhafte Inhalte werden konsequent geblockt.
Das Projekt APT Sweeper wurde vom Bundesministerium für Bildung und Forschung gefördert.
Fachartikel

ChatGPT bei der Arbeit nutzen? Nicht immer eine gute Idee

Das Aktualisieren von Software-Agenten als wichtige Praktik der Cyberhygiene auf MSP-Seite

Kosteneinsparungen und Optimierung der Cloud-Ressourcen in AWS

CVE-2023-23397: Der Benachrichtigungston, den Sie nicht hören wollen

Wie sich kleine und mittlere Unternehmen proaktiv gegen Ransomware-Angriffe wappnen
Studien

Studie zeigt 193 Millionen Malware-Angriffe auf Mobilgeräte von Verbrauchern im EMEA-Raum

2023 State of the Cloud Report

Trotz angespannter Wirtschaftslage: die Security-Budgets steigen, doch der IT-Fachkräftemangel bleibt größte Hürde bei Erreichung von Security-Zielen

BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher

Wie Cloud-Technologie die Versicherungsbranche revolutioniert
Whitepaper

Aufkommende Trends in der externen Cyberabwehr

Cyber-Sicherheit für das Management – Handbuch erhöht Sicherheitsniveau von Unternehmen

Aktueller Datenschutzbericht: Risiko XXL am Horizont

Vertrauen in die Lieferkette durch Cyber-Resilienz aufbauen

TXOne Networks und Frost & Sullivan veröffentlichen Jahresbericht 2022 über aktuelle Cyberbedrohungen im OT-Bereich
Unter4Ohren

Optimierung der Cloud-Ressourcen und Kosteneinsparungen in AWS

DDoS – der stille Killer

Continuous Adaptive Trust – mehr Sicherheit und gleichzeitig weniger mühsame Interaktionen

Datenschutz und -kontrolle in jeder beliebigen Cloud bei gleichzeitiger Kostensenkung, Reduzierung der Komplexität, Verbesserung der Datenverfügbarkeit und Ausfallsicherheit
