Terroristische Hackergruppe Wer ist CyberAv3ngers?

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Die Hackergruppe „CyberAv3ngers“ bedroht kritische Infrastrukturen. Seit 2020 führt sie gezielte Cyberangriffe durch, vor allem gegen industrielle Steu­erungssysteme der USA und Israel. Das US-Außenministerium bietet bis zu zehn Millionen Dollar für Hinweise auf ihre Mitglieder.

Die iranische Hackergruppe „CyberAv3ngers“ ist eine mit der Islamischen Revolutionsgarde (IRGC) verbundene APT-Gruppe, die seit mindestens 2020 aktiv ist. Die Gruppe hat sich darauf spezialisiert, kritische Infrastruktursysteme weltweit anzugreifen. Das US-Außenministerium hat CyberAv3ngers in ihr Programm Rewards for Justice (RFJ) aufgenommen, welches fi­nan­ziel­le Belohnungen für Informationen, die zur Festnahme oder Verurteilung von Terroristen füh­ren, bietet.

Cyber-physische Systeme im Visier von APT-Gruppen

Wie staatlich unterstützte Angreifer OT-Systeme ins Visier nehmen

Wer steckt hinter CyberAv3ngers?

• Name: CyberAv3ngers

• Alias: Sons of Solomon, Bauxite

• Erste Aktivität: 2019-2020 datiert, als die Gruppe begann, gezielte Cyberangriffe auf kritische Infrastrukturen durchzuführen

• Motivation: Sabotage und Zerstörung, Anti-Israelische Propaganda, Teil der geopolitischen Strategie Irans

Hack-for-Hire

Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Wer sind die Opfer von CyberAv3ngers?

• Primäre Ziele: industrielle Steuerungssysteme (ICS) und operative Technologie (OT) Umgebungen

• Fokusländer: USA und Israel

• Deutsche Angriffsziele: keine bestätigten Berichte über Angriffe auf deutsche Ziele

Weltweites Spionagesystem

BSI warnt vor Salt Typhoon

Kopfeld auf CyberAv3ngers ausgesetzt

Grundsätzlich bietet das RFJ eine Belohnung von bis zu zehn Millionen US-Dollar für Hinweise, die zur Identifizierung oder zum Aufenthaltsort von Personen führen, die im Auftrag oder unter der Kontrolle einer ausländischen Regierung an bösartigen Cyberangriffen gegen kritische In­frastrukturen der USA beteiligt sind und damit gegen den Computer Fraud and Abuse Act (CFAA) verstoßen.

Auf seiner Webseite nennt das RFJ-Programm sechs Akteure, die als CyberAv3ngers agieren. Diese sind iranische Sicherheitsbeamte, die mit bösartigen Cyberaktivitäten von Hacker­grup­pen der iranischen Revolutionsgarde (IRGC) in Verbindung stehen. So ist einer von ihnen Leiter des Cyber-Elektronischen Kommandos der IRGC (IRGC-CEC) und Kommandeur der Quds-Ein­heit der IRGC, dem wichtigsten Mechanismus Irans zur Ausbildung und Unterstützung ter­ror­is­tisch­er Gruppen im Ausland. Er war an verschiedenen Cyber- und Geheim­dienst­opera­tio­nen der IRGC beteiligt. Die andere Mitglieder sind hochrangige Funktionäre des IRGC-CEC.

Forescout Threat Report 1HJ 2025

Neue Bedrohungen für kritische Infrastrukturen und Gesundheitswesen

Im Oktober 2023 bekannten sich Mitglieder von CyberAv3ngers auf ihrem Telegram-Kanal zu den Cyberangriffen auf israelische speicherprogrammierbare Steuerungen (SPS). Am 2. Februar 2024 verhängte das US-Finanzministerium Sanktionen gegen die sechs Funktionäre des Zen­tra­len Exekutivkomitees der Revolutionsgarden (IRGC-CEC) wegen ihrer Cyberangriffe. Sie wur­den als besonders benannte Staatsangehörige eingestuft, da sie Führungskräfte oder Funk­tio­näre des IRGC-CEC sind. Infolge dieser Einstufung wurden sämtliche Vermögenswerte und Vermögensinteressen dieser Akteure, die sich in den Vereinigten Staaten befinden oder im Besitz oder unter der Kontrolle von US-Bürgern stehen, gesperrt. Die Einstufung verbietet au­ßer­dem allen US-Bürgern sowie allen Transaktionen, die innerhalb der Vereinigten Staaten oder durch sie erfolgen, jegliche Geschäfte, die Vermögenswerte oder Interessen von be­nann­ten oder anderen gesperrten Personen betreffen.

Spionage, gefördert aus China

Wer ist Salt Typhoon?

Vorgehensweise von CyberAv3ngers

Berichten von Fortinet zufolge nutzt die Gruppe vor allem Sicherheitslücken in SPS aus, die häufig in der Abwasser- und Bewässerungstechnik eingesetzt werden, insbesondere solche israelischer Hersteller. So habe die Gruppe die speicherprogrammierbaren Steuerungen der Vision-Serie des israelischen Herstellers Unitronics ins Visier genommen und kompromittiert. Diese SPS werden in der Wasser- und Abwasserwirtschaft, der Energiebranche, der Lebens­mit­tel- und Getränkeindustrie, der Fertigungsindustrie, dem Gesundheitswesen und weiteren Branchen eingesetzt.

Zudem hätten die Akteure bereits die Schwachstelle EUVD-2023-31841^* / CVE-2023-28130 (CVSS-Score 7.2, EPSS-Score 3.79) in Check Point Gaia Portal sowie die Schwachstelle EUVD­2023-58685 / CVE-2023-6448 (CVSS-Score 9.8, EPSS-Score 13.29) in Visilogic ausgenutzt, die häufig in der Automatisierungs- und Steuerungstechnik eingesetzt werden.

Vorrangig nutze die Hackergruppe dem RFJ-Programm nach die Schadsoftware „IOCONTROL“. Damit hätten sie bereits Router, SPS, Mensch-Maschine-Schnittstellen (HMIs), Firewalls, IP-Kameras sowie Linux-basierte IoT- und SCADA-/OTA-Plattformen (Supervisory Control and Data Acquisition/Over-The-Air). Diese Cyberwaffe habe CyberAv3ngers unter anderem gegen Hersteller wie Baicells, D-Link, Hikvision, Red Lion, Orpak, Phoenix Contact und Teltonika sowie gegen zivile Infrastrukturen in verschiedenen Ländern gerichtet.

State of CPS Security 2025

OT-Geräte-Schwachstellen für Cyberwar ausgenutzt

Schutz vor CyberAv3ngers

Unternehmen und Organisationen können verschiedene Maßnahmen ergreifen, um sich vor CyberAv3ngers und ähnlichen Bedrohungen zu schützen.

• Halten Sie IT- und OT-Systeme regelmäßig auf dem neuesten Stand, um bekannte Schwach­stellen zu schließen, wie zum Beispiel EUVD-2023-31841 / CVE-2023-28130 in Check Point Gaia und EUVD-2023-58685 / CVE-2023-6448 in Visilogic.

• Ersetzen Sie Werkseinstellungen für Passwörter und deaktivieren Sie Backdoor- oder Ad­min­is­tra­torkonten in PLCs (Pro­grammable Logic Controllers) und ICS-Geräten (Industrial Control Systems), um häufig ausgenutzte Angriffspunkte zu minimieren.

• Isolieren Sie OT/ICS-Umgebungen von IT-Netzwerken und dem Internet durch Firewalls, VPNs mit Multifaktor-Authentifizierung und, wo möglich, Air-Gapping, um den Fernzugriff zu blockieren.

• Implementieren Sie kontinuierliche Anomalieerkennung in OT- und IT-Systemen, um verdächtige Aktivitäten wie Brute-Force-Versuche oder unübliche PLC-Abfragen (Programmable Logic Controller) zu erkennen.

• Überprüfen Sie die Konfigurationen von Unitronics Vision Series PLCs und beschränken Sie deren Internetzugänglichkeit, um die Risiken zu minimieren.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Pro-russische Hackergruppe

Wer ist NoName057(16)?

(ID:50784026)