Datenexfiltration verhindern Die Cloud vor LAPSUS$-ähnlichen Bedrohungen schützen

Anbieter zum Thema

Mimecast Germany GmbH

Specops Software GmbH

Varonis Systems (Deutschland) GmbH

Mit hochkarätigen Angriffen auf Microsoft, Okta und andere große Tech-Unternehmen machte die Cybercrime-Gruppe LAPSUS$ vor ein paar Monaten Schlagzeilen. Inzwischen hat die britische Polizei sieben mutmaßliche Mitglieder im Alter zwischen 16 und 21 Jahren festgenommen, aber ist dadurch die Gefahr gebannt? Mit Sicherheit nicht: Ähnliche Angriffe können und werden folgen. Deshalb lohnt sich ein Blick auf die eingesetzten Techniken und Taktiken, um die entsprechenden Lehren daraus zu ziehen, und sich auf ähnliche zukünftige Angriffe dieser Art vorzubereiten.

Im Gegensatz zu den meisten Ransomware-Gruppen, die bösartige Payloads zur Massenverschlüsselung und Exfiltration von Daten einsetzen, verwendet die LAPSUS$-Gruppe einfache, aber effektive Social-Engineering-Techniken, um Umgebungen zu infiltrieren und sensitive Daten zu stehlen. Laut Microsoft gehören dabei zu den eingesetzten Taktiken insbesondere „telefonbasiertes Social Engineering, SIM-Swapping, um die Übernahme von Konten zu erleichtern, der Zugriff auf persönliche E-Mail-Konten von Mitarbeitern der Zielunternehmen, die Bezahlung von Mitarbeitern, Lieferanten oder Geschäftspartnern der Zielunternehmen für den Zugang zu Anmeldeinformationen und die Genehmigung der Multifaktor-Authentifizierung (MFA) sowie das Eindringen in die laufenden Krisenkommunikationsgespräche ihrer Ziele.“ Zusätzlich zu diesen Social-Engineering-Methoden setzt LAPSUS$ Tools ein, um öffentliche Code-Repositories zu durchsuchen, die exponierte Anmeldedaten oder offene RDP-Ports identifizieren, sowie „Redline“-Software, die Passwörter direkt vom Benutzer stiehlt.

Sobald die Cyberkriminellen die Anmeldedaten erlangt und die MFA umgangen haben, dringen sie in das Unternehmensnetzwerk und öffentliche SaaS-Anwendungen ein und beginnen mit der Suche nach sensitiven Daten. Als Teil ihres Angriffspfads suchen sie in privaten GitHub-Repositories und Kollaborationsplattformen wie Google Drive und Microsoft 365 nach weiteren Anmeldedaten (vorzugsweise von privilegierten Benutzern und Administratoren), um ihre Privilegien zu erweitern und ihre Reichweite zu vergrößern. Anstatt die Daten vor der Exfiltration zu verschlüsseln, laden sie die Daten direkt über ein VPN oder eine virtuelle Maschine herunter. Danach versuchen sie, die Originale der Daten zu zerstören, so dass den Unternehmen keine andere Wahl bleibt, als für die Wiederbeschaffung der Daten zu bezahlen oder zu riskieren, dass die Hacker sie online verkaufen oder veröffentlichen.

Ablauf des Angriffs

Der Sicherheitsforscher Bill Demirkapi erhielt eine Kopie des Mandiant-Untersuchungsberichts mit einer detaillierten Zeitleiste der Techniken, die bei einem kürzlichen LAPSUS$-Eindringen verwendet wurden. Dabei zeigte LAPSUS$ einen gewissen Mangel an OPSEC-Raffinesse nach dem Eindringen: Die Angreifer durchsuchten Bing und Google vom Rechner des Opfers aus nach handelsüblichen Hacking-Tools und luden sie direkt von GitHub herunter. Dem Bericht von Mandiant zufolge nutzten sie Process Hacker, Process Explorer und Mimikatz, um sich einen Überblick zu verschaffen, Fuß zu fassen, den Endpunkt-Agenten von FireEye zu deaktivieren und ihre Rechte zu erweitern.

So kompromittierten sie das Microsoft 365-Konto eines Benutzers und begannen, nach sensitiven Dateien zu suchen. Sie fanden eine Excel-Datei mit dem Namen DomAdmins-LastPass.xlsx an einem freigegebenen Speicherort. Die Datei enthielt vermutlich Admin-Anmeldedaten im Klartext, die es dem Angreifer ermöglichten, zusätzliche Konten zu erstellen, die Konten zu einer Gruppe namens „tenant administrators“ hinzuzufügen und Regeln für die automatische Weiterleitung von E-Mails einzurichten, um E-Mails, die an sykes.com-Postfächer außerhalb des Unternehmens gesendet wurden, mit einer BCC zu versehen.

SSO-, IAM- und SaaS-Angriffe erkennen und abwehren

LAPSUS$-ähnliche Bedrohungen sind mit herkömmlicher Perimeter- und Endpunktsicherheit allein nur schwer oder gar nicht zu erkennen. Die Angreifer verbringen nur sehr wenig Zeit auf dem Endpunkt, bevor sie mit gestohlenen Anmeldedaten oder Cookies zu Cloud-Anwendungen wechseln. Es gibt keine spezifischen Hashes, Registrierungsschlüssel und andere statische IOCs, die Alarme auslösen. Entsprechend sollten Angriffe im Stil von LAPSUS$ wie Insider-Angriffe behandelt werden. Grundsätzlich gilt: Man sollte immer davon ausgehen, dass der Perimeter überwunden wurde. Deshalb ist es wichtig, die Zugriffsrechte der Mitarbeitenden einzuschränken und auf ungewöhnliches Verhalten zu achten.

Zugriffsrechte auf das nötige Maß und damit auch die Risiken reduzieren

Das Ziel der meisten Cyberangriffe ist es, wertvolle Daten zu stehlen und im Falle von Ransomware-Attacken zu verschlüsseln. Zu wissen, wer auf welche Daten zugreifen kann, und eine übermäßige Exposition zu beseitigen, ist der Schlüssel zur Reduzierung des Explosionsradius. Für den Fall, dass ein einzelnes Konto kompromittiert wird, muss sichergestellt werden, dass die Angreifer erhöhte Zugriffsrechte benötigt, um größeren Schaden anzurichten.

Die richtige Dimensionierung des Zugriffs beginnt mit der Transparenz der Berechtigungen. Von entscheidender Bedeutung ist hier eine Bestandsaufnahme der Super-Admins in den verschiedenen Cloud-Anwendungen. Je nach Anwendung kann es schwierig sein, festzustellen, wer privilegierten Zugriff hat. In Salesforce kann man beispielsweise ein benutzerdefiniertes Benutzerprofil erstellen, das ein Administratorkonto imitiert, aber einen harmlosen Namen wie „Sales-Nutzer“ trägt. Deshalb sollten Richtlinien eingerichtet werden, die warnen, wenn ein Benutzer zu einer Berechtigungsgruppe hinzugefügt wird oder Superadministratorrechte erhält. In den meisten Unternehmen dürfte diese Aktion äußerst selten vorkommen, so dass die Warnungen eine hohe Zuverlässigkeit aufweisen.

Eine weitere Möglichkeit, das Risiko drastisch zu reduzieren, besteht darin, proaktiv zu ermitteln, wo sensitive Daten öffentlich, für Gastbenutzer (wie Partner bzw. Auftragnehmer) oder für alle Benutzer in einem Unternehmen zugänglich sind. Durch die Reduzierung des Zugriffs auf sensitive Daten wird es für Gruppen wie LAPSUS$ schwieriger, Daten zu finden, die für sie lohnenswert sind. Dies gilt sowohl für die eigenen Mitarbeitenden als auch für Externe, die oftmals gezielt von Cyberkriminellen angegangen und für das „Überlassen“ ihres Zugangs bezahlt werden.

Nur wenn Sicherheitsverantwortliche in der Lage sind, die Berechtigungen eines Benutzers über mehrere SaaS-Anwendungen und Datenspeicher hinweg schnell zu identifizieren, lässt sich das Ausmaß einer Kompromittierung innerhalb kurzer Zeit einordnen und damit die Untersuchung, Reaktion und Offenlegung schneller und schlüssiger gestalten. Bei mehreren Gelegenheiten erhielt LAPSUS$ Zugriff auf den virtuellen Desktop eines Mitarbeiters, der bereits bei mehreren SaaS-Anwendungen wie GitHub und Jira angemeldet war. Da eine Person in einer Multi-Cloud-Umgebung über mehrere Benutzerkonten verfügen kann, ist es wichtig, diese Identitäten automatisch zu verknüpfen, damit der potenzielle Zugriff bewertet und die Protokollereignisse dieser Person einfach zusammengefasst werden können.

Das Nutzerverhaltens über verschiedene Anwendungen und Systeme hinweg überwachen

Wenn der Perimeter überwunden ist, stellt die Analyse des Benutzerverhaltens und der Datenaktivität eine effektive Möglichkeit dar, einen Angreifer, der sich als regulärer Nutzer tarnt, zu erkennen und zu stoppen. Selbst wenn eine Gruppe wie LAPSUS$ umfangreiche Nachforschungen und Erkundungen über den kompromittierten Benutzer anstellt, kann sie dessen Verhalten nicht perfekt imitieren, insbesondere wenn sie sich durch die Unternehmens-Umgebung bewegt und auf große Datenmengen zugreift und diese herunterlädt.

Dabei ist es grundlegend, das „Normalverhalten“ aller Benutzer und aller wichtigen Anwendungen und Daten zu erfassen. In dieses Profil fließt beispielsweise ein, welche Dateien/Ordner vom jeweiligen Mitarbeitenden normalerweise in M365, Box, Google usw. verwendet werden, welche Websites und Apps auf welche Weise genutzt werden und mit welchen Geräten, IPs und Geodaten sie typischerweise Zugriff erlangen. Sobald umfangreiche Profile für den Normalzustand vorliegen, können hochentwickelte ML-Algorithmen selbst geringfügige Abweichungen erkennen, die auf kompromittierte oder böswillige Insider hinweisen könnten. LAPSUS$ ist hierfür ein Paradebeispiel: Auch wenn die Angreifer über die Anmeldedaten, Telefonnummer, Wiederherstellungs-E-Mail und IP-Adresse einer Person verfügen, sind sie dennoch nicht diese Person. Während sie sich durch die Umgebung bewegen, suchen, öffnen und laden sie Daten nach Mustern herunter, die nicht mit denen der entsprechenden Peron übereinstimmen.

Hochentwickelte Lösungen erkennen auf diese Weise etwa, wenn ein Benutzer auf eine ungewöhnliche Menge sensitiver Daten zugreift oder sie herunterlädt, auf Daten zugreift, die er normalerweise nicht nutzt, sensitive Daten öffentlich geteilt werden oder wenn ein Konto nach einer langen inaktiven Phase wieder verwendet wird. Je umfangreicher dabei der Kontext über mehrere Cloud-Applikationen hinweg ist, desto präziser lassen sich Auffälligkeiten erkennen. Deshalb ist eine ganzheitliche Überwachung der Cloud-Dienste notwendig: Cyberkriminelle bewegen sich lateral von einem Cloud-Dienst zum nächsten, um die Wirkung ihres Angriffs zu maximieren. Dabei verwenden sie häufig – wie auch bei LAPSUS$ zu sehen war – die Anmeldeinformationen, die sie in einer Cloud-Anwendung gefunden haben, um sich Zugang zu einer anderen zu verschaffen. Deshalb ist es wichtig, alle Cloud-Datenspeicher zu überwachen und zu verfolgen, wie sich die Mitarbeitenden zwischen ihnen bewegen, damit diese Art von Querbewegungen erkannt und gestoppt werden kann.

LAPSUS$ hat uns deutlich vor Augen geführt, dass es auch für unerfahrene Angreifer sehr einfach ist, in kurzer Zeit erheblichen Schaden anzurichten. Deshalb müssen Sicherheitsverantwortliche noch stärkeres Augenmerk auf eine höhere Cloud-Transparenz und verhaltensbasierte Erkennung legen. Nur durch eine kluge Kombination dieser beiden Elemente sind sie in der Lage, Angreifer und Datenexfiltration im Stil von LAPSUS$ zu erkennen und zu verhindern.

Über den Autor: Michael Scheffler ist Country Manager DACH von Varonis Systems.

(ID:48534038)