Bericht: Russische Hacker stehlen Log-ins britischer Beamter
Russische Hacker sollen einem Medienbericht zufolge die Anmeldedaten britischer Regierungsbeamter gestohlen und sich Zugang zu deren E-Mail-Konten verschafft haben.
Laut dem britischen «Telegraph» nutzten die Angreifer dabei eine Schwachstelle im Sicherheitssystem aus und setzten zuvor gestohlene Daten ein, um Barrieren zum Schutz kritischer Infrastruktur zu umgehen.
Der am Sonntagabend noch andauernde Angriff ist demnach als «FortiBleed» bekannt. Eine staatliche russische Beteiligung an dem Angriff ist nach Einschätzung von Sicherheitsforschern bislang nicht nachgewiesen.
Im Darknet zum Verkauf
Laut einer Liste der kompromittierten Konten, die dem «Telegraph» vorliegt, wurden Zugangsdaten von Mitarbeitern des Aussenministeriums im Ausland sowie von Kommunalbeamten in ganz Grossbritannien abgegriffen. Dazu gehörten etwas Konten von IT-Mitarbeitern britischer Botschaften in Thailand und auf Mauritius sowie von Mitarbeitern der zentralenglischen Grafschaft Derbyshire und des Londoner Stadtbezirks Waltham Forest.
Der Angriff umfasste demnach E-Mail-Adressen und die dazugehörigen Passwörter. In Dark-Web-Foren würden die Zugangsdaten zum Verkauf angeboten. Unter den zum Verkauf stehenden Zugangsdaten befinden sich laut dem Bericht etwa Anmeldedaten für den nationalen Gesundheitsdienst NHS, Energieversorger sowie wichtige Arzneimittellieferanten im ganzen Land.
Verbindung zu Ransomware-Banden
Hinter der massiven «FortiBleed»-Angriffswelle steht eine professionell organisierte Gruppe von rund 20 Cyberkriminellen, die als sogenannte Initial Access Brokers agieren. Die Hintermänner nutzen ein eigens entwickeltes Programm namens «FortigateSniffer», um Zugangsdaten abzugreifen.
Sicherheitsanalysten konnten belegen, dass eine Person aus dem zentralen Umfeld der FortiBleed-Infrastruktur gleichzeitig auf den Verhandlungsplattformen der Ransomware-Operationen INC Ransom und Lynx aktiv war. Dabei handelt es sich um russischsprachige Cyberkriminelle.
Wenn Infostealer zuschlagen
Wenn ein PC, Laptop oder Smartphone mit einem Infostealer infiziert wird, durchsucht diese Schadsoftware das System automatisch und blitzschnell nach wertvollen persönlichen Daten. Die vom Infostealer gesammelten Opfer-Informationen werden meist in eine Textdatei gepackt, komprimiert und unbemerkt an einen von Cyberkriminellen betriebenen Server gesendet. Oft geschieht dies über anonyme Messenger wie Telegram. Ein entsprechendes Datenpaket nennt man Stealer-Log.
In der Cyberkriminalität herrscht mittlerweile Arbeitsteilung. Die Akteure, die die Stealer-Logs einsammeln, werten diese oft gar nicht selbst aus. Sie fungieren als sogenannte «Initial Access Broker» (Händler für Erstzugänge). Das heisst, sie verkaufen die Stealer-Logs massenhaft auf speziellen Marktplätzen im Darknet oder in geschlossenen Telegram-Kanälen weiter.
Die Kriminellen haben es auf alles abgesehen, was sich für weitere Cygerangriffe nutzen oder direkt zu Geld machen lässt. Ein typisches Stealer-Log enthält (vom Opfer) gespeicherte Passwörter und Login-Daten, etwa zu Kryptowährungs-Konten.
Besonders begehrt sind Session-Cookies, weil sie Zugriff auf geschützte Online-Dienste ermöglichen: Wenn man sich etwa beim Server der eigenen Firma über das Internet anmeldet, speichert der Browser eine kleine Datei, damit man eingeloggt bleibt. Wenn Angreifer dieses Cookie erbeuten, können sie die «Sitzung» kopieren und sich dann oft ohne Passwort oder gar ohne Zwei-Faktor-Authentifizierung (2FA) einloggen.
Käufer solcher Stealer-Logs sind beispielsweise Ransomware-Gruppen. Sie kaufen gezielt die Logs von Firmen-Angestellten, nutzen die gestohlenen Zugangsdaten und Cookies, um sich unbemerkt ins Unternehmensnetzwerk einzuloggen, und starten von dort aus ihre eigentliche Erpressungsattacke.
Quellen
(sda/dpa)
