Evasion Tactics Wie Hacker unsere Sicherheits­lösungen austricksen

Cyberkriminelle gehen immer intelligenter vor, um Sicherheitslösungen und Mechanismen in Unternehmen auszutricksen. Mit speziellen Techniken verschleiern sie ihre Angriffe und verhindern deren Erkennung. Dadurch ist eine Kompromittierung von Netzwerken noch gefährlicher.

Hacker und andere Cyberkriminelle dringen zumeist still in Netzwerke ein, um zu verhindern, dass ihre Angriffe schnell erkannt werden. Dabei kommen Evasion Tactics zum Einsatz, mit denen sich viele Sicherheitslösungen umgehen lassen. Hacker nutzen alle Optionen und Wege, um in Netzwerke einzudringen. Der CrowdStrike 2024 Global Threat Report zeigt beispielsweise auf, dass Angreifer zunehmend mit größerer Geschwindigkeit und Heimlichkeit operieren. Identitätsbasierte Angriffe haben 2023 stark zugenommen, unterstützt durch generative KI, die neue Techniken für Phishing und Social Engineering ermöglicht. Dabei kommen Technologien zum Einsatz, die Angriffe verschleiern sollen und die man deshalb auch als Evasions-Techniken (Evasion Tactics) bezeichnet.

So umgehen Hacker Sicherheitsmechanismen in Unternehmen

Evasion Tactics sind Techniken, die Angreifer einsetzen, um Sicherheitsmechanismen und -kontrollen zu umgehen. Ziel ist es, unbemerkt in Netzwerke und Systeme einzudringen. Diese Taktiken umfassen eine Vielzahl von Methoden, wie zum Beispiel das Verschleiern von Malware, das Nutzen von Zero-Day-Schwachstellen oder das Verschlüsseln des Datenverkehrs, um der Erkennung durch Intrusion Detection Systeme (IDS) und Intrusion Prevention Systeme (IPS) zu entgehen.

Angreifer nutzen zudem Social Engineering, um Benutzer dazu zu bringen, bösartige Anhänge zu öffnen oder auf schädliche Links zu klicken. Bei Techniken wie Polymorphing wiederum ändert eine Schadsoftware ständig ihren Code. Ziel ist es, signaturbasierte Erkennungssysteme zu umgehen.

Phishing und Social Engineering sind wichtige Faktoren bei Evasion Tactics

Ein wichtiger Faktor bei Evasion Tactics ist es, an die Anmeldedaten von Benutzern zu kommen. Dabei fälschen die Angreifer bekannte Seiten im Internet, wie die Oberflächen von Suchmaschinen oder Anmeldemasken von Clouddiensten, etwa Azure, AWS oder auch Microsoft 365. Auch Support-Seiten sind ein häufig gewählter Weg, die Anwender abzulenken und heikle Informationen abzugreifen.

Die Seiten sind inzwischen professionell gestaltet, teilweise mit Hilfe von KI. Oft merken selbst erfahrene Anwender nicht, dass sie sich gerade auf einer gefälschten Seite befinden, auf der Angreifer versuchen an Unternehmensdaten zu kommen. Dabei kommen auch Technologien wie irreführende Umleitungen von Internetseiten (Deceptive Redirection Chain) zum Einsatz. Hierbei werden Zugriffe auf Webseiten so oft weiter- und umgeleitet, dass Anwender und zum Teil auch Sicherheitslösungen so „verwirrt“ werden, dass die Umleitungen auf bösartige Seiten schlichtweg nicht auffallen.

HTML-Schmuggel auf dem Vormarsch

Beim HTML-Schmuggel (HTML-Smuggeling) schleusen Cyberkriminelle schädlichen HTML-Code in scheinbar harmlose Dateien oder E-Mails ein. Die Nutzer öffnen die Dateien in der Annahme, dass sie sicher sind, was jedoch zur Ausführung des schädlichen Codes führt. Ein aktuelles Beispiel ist der Einsatz von HTML-Dateien, die in E-Mail-Anhängen verschickt werden. Diese Dateien enthalten versteckten JavaScript-Code, der beim Öffnen durch den Nutzer eine Phishing-Seite erzeugt. Auf dieser gefälschten Seite werden die Nutzer aufgefordert, vertrauliche Informationen wie Login-Daten einzugeben.

Beim Öffnen der Datei im Browser werden Nutzer auf eine gefälschte Login-Seite eines bekannten Online-Dienstes umgeleitet, die täuschend echt wirkt. Die Eingabe der Login-Daten führt zur sofortigen Weiterleitung dieser Daten an die Angreifer. Die Methode zeigt die Gefährlichkeit von HTML-Schmuggel, weil sie herkömmliche Sicherheitsmechanismen umgeht und Anwendern eine vertrauenswürdige Umgebung vortäuscht.

Legitime Systemwerkzeuge im Fokus von Angreifern

Eine weitere Methode sind Living-off-the-Land (LotL)-Techniken, bei denen Angreifer legitime Systemwerkzeuge und -prozesse missbrauchen. Zum Beispiel werden PowerShell-Skripte verwendet, um Malware herunterzuladen und auszuführen, ohne dass herkömmliche Antivirenprogramme dies erkennen. Der Link dazu ist in E-Mails versteckt.

Eine ebenfalls gängige Taktik ist die Verschleierung von Malware mittels Packers und Crypters, die den Schadcode durch Verschlüsselung und Kompression verbergen. Diese Techniken erschweren die Identifizierung und Analyse durch signaturbasierte Erkennungssysteme. Verbreitet ist auch die Verwendung von Fileless Malware, die ausschließlich im Arbeitsspeicher operiert und keine Spuren auf der Festplatte hinterlässt. Das erschwert die Forensik beträchtlich. Diese Beispiele verdeutlichen die Notwendigkeit erweiterter Sicherheitsmechanismen, wie Verhaltensanalysen und maschinellem Lernen, um Evasion Tactics entgegenzuwirken. Moderne Scantools suchen zum Beispiel nach verdächtigem Netzwerkverkehr, ohne dass auf den Endgeräten Agenten installiert sein müssen.

Domain-Generation-Algorithms und Command-and-Control-Server

Der Einsatz von Domain-Generation-Algorithms (DGA), bei denen Malware automatisch eine Vielzahl von Domainnamen generiert ist in „freier Wildbahn“ ebenfalls häufiger zu beobachten. Diese Domains kommen zum Einsatz, um Command-and-Control-Server (C2) zu kontaktieren. Dadurch wird es schwieriger, die Kommunikation zu blockieren. Slow-and-Low-Angriffe, bei denen Angreifer ihre Aktivitäten bewusst verlangsamen und minimieren, um unter dem Radar von Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) zu bleiben sind ebenfalls eine nicht zu unterschätzende Gefahr. Diese Methode erschwert es, bösartige Aktivitäten in einem Meer von legitimem Datenverkehr zu erkennen.

Phishing-Attacken werden zunehmend durch den Einsatz von Homograph-Angriffen durchgeführt, bei denen Angreifer visuell ähnliche Zeichen in URLs verwenden, um täuschend echte Phishing-Websites zu erstellen. Zum Beispiel kann ein kyrillischer Buchstabe, der wie ein lateinischer Buchstabe aussieht, in der URL eingesetzt werden, um Nutzer zu täuschen. Darüber hinaus nutzen Angreifer vermehrt Spear-Phishing-Kampagnen, bei denen gezielt bestimmte Personen oder Organisationen ins Visier genommen werden. Diese Kampagnen sind meist gut recherchiert und dementsprechend personalisiert. Das erhöht die Wahrscheinlichkeit, dass die Opfer auf den Betrug hereinfallen. Der Bericht „Introduction to the 2024 Annual Cyber-Threat Report“ von ReliaQuest hebt hervor, dass 71,1 Prozent der beobachteten Angriffe Spearphishing-Techniken nutzen. Zudem wurde ein starker Anstieg von Business Email Compromise (BEC) Angriffen um 246 Prozent festgestellt, unterstützt durch Phishing-as-a-Service (Phaas)-Angebote. Das zeigt, dass die Angreifer mittlerweile den Fokus auf die Anwender im Unternehmen legen.

Eine raffinierte Technik ist auch die Nutzung von CAPTCHA-Busting-Diensten. Sie ermöglichen es einem Angreifer, automatisierte Bots zu verwenden, um Phishing-Seiten vor Entdeckung zu schützen. Durch den Einsatz solcher Dienste stellen Angreifer sicher, dass nur menschliche Nutzer Zugriff auf die Phishing-Seite erhalten, während Sicherheits-Bots ausgesperrt werden. Auch die Verwendung von HTTPS auf Phishing-Seiten hat zugenommen, so dass Nutzer diesen Seiten tendenziell eher vertrauen. Gleichzeitig sind die Phishing-Seiten schwerer als solche zu erkennen, weil verschlüsselter Datenverkehr schwieriger zu analysieren ist.

Wie sollten Unternehmen auf Angriffe mit Evasion Tactics reagieren?

Um Unternehmen besser vor den genannten Angriffsmethoden zu schützen, sind Sicherheitsmaßnahmen erforderlich, die über herkömmliche Lösungen hinausgehen. Traditionelle Malware-Scanner und IDS-Systeme stoßen an ihre Grenzen, da sie hauptsächlich auf signaturbasierte Erkennung setzen und oft nicht in der Lage sind, die dynamischen und verschleierten Angriffe zu identifizieren. Stattdessen sollten Unternehmen auf agentenlose Systeme setzen, die den gesamten Netzwerkverkehr in Echtzeit überwachen und analysieren.

Solche Systeme haben den Vorteil, dass sie keinen zusätzlichen Software-Agenten auf Endgeräten benötigen, was die Systemleistung schont und die Verwaltung vereinfacht. Der Netzwerkverkehr wird kontinuierlich überwacht, so dass man verdächtige Aktivitäten und Anomalien, die auf potenzielle Bedrohungen hinweisen, frühzeitig erkennt. Zum Beispiel kann eine plötzlich auftretende Kommunikation mit einer großen Anzahl neu registrierter Domains, wie sie bei DGA-basierten Angriffen vorkommt, sofort identifiziert und blockiert werden.

Bei HTML-Schmuggel und Fileless Malware, die herkömmliche Erkennungsmethoden umgehen, spielen verhaltensbasierte Analysen eine entscheidende Rolle. Agentenlose Systeme identifizieren auffällige Verhaltensmuster, wie ungewöhnliche PowerShell-Aktivitäten oder das Laden von HTML-Dateien, die JavaScript-Code enthalten. Das gibt Firmen die Möglichkeit entsprechende Maßnahmen zu ergreifen, bevor Schäden entstehen. Anomalien im Netzwerkverkehr können auch auf die schon erwähnten Slow-and-Low-Angriffe verweisen, die gezielt IDS-Systeme umgehen.

Homograph-Angriffe und HTTPS-verschlüsselte Phishing-Seiten erfordern eine tiefgehende URL- und Inhaltsanalyse. Agentenlose Systeme registrieren subtile Unterschiede in URLs und analysieren den verschlüsselten Datenverkehr, um Phishing-Seiten trotzdem zu entlarven.

Wenn Unternehmen diese Techniken miteinander kombinieren, können sie eine robuste Verteidigungslinie gegen die vielfältigen und zunehmend raffinierten Bedrohungen aufbauen.

Über den Autor: Etay Maor ist Chief Security Strategist bei Cato Networks.

(ID:50209619)