IT-Verteidigungslinien im Pentagon

Anbieter zum Thema

Fsas Technologies GmbH

QGroup GmbH

Wie die Angreifer den Fuß in die Tür bekamen

Ähnlich wie beim Hack auf den Sicherheitsanbieter RSA ist die höchste Erfolgsaussicht eines Angriffs durch die Übernahme einer gültigen Identität gegeben. So stand am Anfang des DoD-Hacks ebenfalls eine E-Mail mit einem kompromittierten Anhang, genauer einer präparierten PDF-Datei.

Diese nutzte eine bis dato ungepatchte Schwachstelle im Adobe Acrobat Reader aus und installierte einen Trojaner namens Sykipot auf anfälligen Systemen. Damit hatten die Angreifer den Fuß in der Tür. Doch zwischen ihnen und der gewünschten Information stand noch die Überwindung der nächsten Sicherheitshürde, der CAC.

Vorbereitungsmaßnahmen

Selbst wenn man in den Besitz einer CAC kommt, so muss man zunächst einmal sehr viel Zeit in einem teuren Labor verbringen, um die Zertifikate zu extrahieren. Gleichzeitig muss der Angreifer bis zur Verwendung des Zertifikats hoffen, dass der Verlust der CAC noch nicht gemeldet worden ist. Und zu guter Letzt benötigt er immer noch die notwendige PIN.

Die meisten ausgegebenen CAC-Lesegeräte in den Behörden verwenden für die Eingabe der PIN die Computertastatur. Damit sind sie kompakter und vor allem auch günstiger zu produzieren. Mit dem Sykipot-Trojaner lassen sich allerdings die in Windows integrierten Funktionen nutzen, um die Tastatur-Eingaben des Anwenders abzufangen.

Der Angreifer war in diesem Fall sogar so geschickt, dass er dem Trojaner bereits eine Funktion mitgegeben hat, um das Einlegen der Smartcard zu erkennen. So wurde automatisch nur die PIN-Eingabe in einem bestimmten Fenster extrahiert, andere Tastatureingaben blieben außen vor.

Dadurch wurden nur minimale Datenmengen gesammelt und an den Angreifer übertragen, so dass diese Übermittlungen gegenüber Überwachungssystemen unerkannt bleiben. Nach kurzer Zeit hatte der Angreifer die gültige PIN, um die CAC des Mitarbeiters zu verwenden.

(ID:40020850)