Wenn das Business Netzwerk zum Einfallstor wird Pishing-Angriff auf einen Auto­mobil­zu­lieferer

Anbieter zum Thema

Fsas Technologies GmbH

Täglich klicken nicht wenige Menschen auf den Link in einer E-Mail, die scheinbar vertrauenswürdig ist und professionell daher kommt. Auch ein mittelständischer Automobilzulieferer wurde jüngst Opfer einer solchen Attacke. Wie sich der Fall chronologisch entwickelte und wie es dem Unternehmen – gemeinsam mit seinem IT-Dienstleister – gelang, den Angriff erfolgreich einzudämmen und resilienter gegenüber kommenden Bedrohungen zu werden, führt nachfolgender Bericht auf.

BND-Präsident Bruno Kahl hält Cyberangriffe für eine der größten Bedrohungen, denen Deutschland ausgesetzt ist. Warnungen vor Pishing-E-Mails hört man zudem fast täglich, aus den Medien, vom BSI oder vom eigenen Arbeitgeber. Report München berichtete erst kürzlich von der Stadt Rodgau, die nach einem daraus resultierenden Hackerangriff großflächig lahmgelegt war. Der Link auf eine gefälschte Webseite ist nur eine Form des Köders in einer E-Mail. Auch Fake-Dokumente wie Quittungen oder Kaufverträge im Anhang können dazu verleiten, sie zu öffnen. Gerade dass Pishing-Angriffe derart vielseitig sind, macht sie so gefährlich und schwer auszumachen – wenn man nicht wirklich immer hundertprozentig misstrauisch ist.

Die Automobilindustrie war schon des Öfteren Opfer solcher Attacken und der vorliegende Fall ist beileibe nicht der erste. So hatte es 2022 eine großangelegte Kampagne gleich parallel auf Autohersteller, Autohäuser und Werkstätten abgesehen. Die Kriminellen bauten damals verschiedene Webseiten echter Unternehmen als Drop-Sites nach, auf die sich die Phishing-E-Mails zurückverfolgen und damit fälschlicherweise verifizieren ließen. Wie durchdacht das Ganze war, zeichnete anschaulich der Blog „Check Point“ nach: Eine E-Mail gab vor, einen unterschriebenen Vertrag für eine Autoübergabe zu enthalten. Den Erhalt galt es zu bestätigen und Fahrzeugpapiere, TÜV-Bescheinigung zu übermitteln. Sobald man den Vertrag anklickte, öffnete sich unbemerkt eine zweite Datei, welche die Drop-Site kontaktiert, über die dann die Malware eingeschmuggelt wurde. Das Opfer bekam davon nichts mit, es sah nur den „Kaufvertrag“.

Neue Geschäftskontakte wurden recherchiert

Im Fall des mittelständischen Automobilzulieferers begannen die Hacker mit der Vorbereitung offenbar bereits mehrere Wochen vor der eigentlichen Attacke. Diese kam sogar ohne Einschleusen von Malware aus. Über soziale Business-Netzwerke identifizierten sie neue Geschäftspartner des Unternehmens. In dessen Mitarbeiter-Profilen tauchten ab einem bestimmten Zeitpunkt vermehrt Kontakte zu Teammitgliedern des neuen Geschäftspartners auf.

So konnten die Hacker die gefälschten E-Mail-Adressen sorgfältig auswählen, um vertrauenserweckende, personalisierte Phishing-E-Mails zu erstellen und ab Februar 2023 an einzelne Beschäftigte des Automobilzulieferers zu verschicken. Professionelles Erscheinungsbild, fehlerfreie Sprache, einwandfreier Absender – wer sollte da Verdacht schöpfen? Arglos klickten die Angeschriebenen auf den Link in der E-Mail und gelangten auf eine gefälschte Login-Seite des angeblich neuen Extranets des Geschäftspartners. Dort konnte man sich – unter Verwendung des Domain Accounts – für das Partner-Extranet registrieren, um künftig einfach und ohne Login Zugriff zu erhalten.

Nicht wenige Angestellte waren es, die prompt darauf hereinfielen. Sie alle erteilten den Kriminellen damit Zugriff auf ihre E-Mail-Postfächer. Von da aus war es kein weiter Weg zu weiteren Zugängen Cloud-basierter Systemen wie der CRM- oder Projekt-Management-Lösung. Diese kaperten die Hacker über angeforderte Passwort-Resets und konnten daraufhin Kundeninformationen, Finanz- und weiteren vertrauliche Daten abrufen.

Die Reaktion: Erkennung und Maßnahmen

Wenige Tage später fielen der IT-Abteilung erstmals ungewöhnliche Aktivitäten im Netzwerk auf. Da versuchte jemand, neue VPN-Zugänge zu erhalten und es gab verdächtige Login-Versuche ins Unternehmensnetz über bestehende VPN-Verbindungen. Sofort war klar: Hier ist etwas Größeres im Gange. Das Standardszenario in solchen Fällen: zuerst die betroffenen Systeme isolieren und die betroffenen Mitarbeitenden benachrichtigen. Es folgt eine umfassende forensische Untersuchung, bevor die Systeme wieder anlaufen können. Der letzte, in die Zukunft gerichtete Schritt war es dann, die Sicherheitsstandards nochmals zu erhöhen und zusätzliche Maßnahmen zu definieren, um einen solchen Vorgang künftig definitiv zu verhindern.

Isolierung + Passwortwechsel als erste Schritte

Zunächst also isolierte die IT-Abteilung die betroffenen Systeme und deaktivierte das VPN-Gateway, ebenso wie die Zugänge zu den Cloud-basierten Systemen. Verbindungen zum Mailserver waren damit nur noch direkt aus dem Unternehmensnetzwerk möglich. Damit wurde verhindert, dass die Angreifer noch andere Teile der IT-Infrastruktur attackieren und weiteren Schaden anrichten.

Im nächsten Schritt informierte das Unternehmen seine Beschäftigten und forderte sie auf, umgehend ihre Passwörter zu ändern. Etwas komplizierter war das bei denjenigen, die sich zu diesem Zeitpunkt außerhalb des Unternehmensnetzwerkes befanden (im Home-Office oder auf Dienstreise). Wegen des deaktivierten VPN-Gateway und dadurch beschränkten Zugangs zum Mailserver kamen sie nicht auf das Netzwerk und konnten folglich auch ihre E-Mails nicht lesen. Aufgabe für den Service Desk daher: jede einzelne Person anrufen, sie über den Vorfall informieren und beim Passwortwechsel unterstützen. Wer auf diese Weise nicht zu erreichen war, dessen Zugang wurde deaktiviert. Ergebnis des konzertierten Vorgehens: Innerhalb von 48 Stunden war ein unternehmensweiter Passwortwechsel vollzogen.

Anschließend leitete die IT-Abteilung mit Unterstützung ihres IT-Dienstleisters handz.on eine umfassende forensische Untersuchung ein, um das Ausmaß des Datenverlusts und die Identität der Angreifer festzustellen. Die eigentliche Analyse wurde dabei auf extra dafür erstellten Kopien („Snapshots“) der betroffenen Systeme durchgeführt. Um festzustellen, wie weit und über welchen Zeitraum die Angreifer ins Netz eindringen konnten, konzentrierten sich die Untersuchungen hauptsächlich auf die Auswertung der Logfiles von VPN-Gateway, Mailserver, Firewalls und der Cloud-basierten Systeme.

Wiederanlauf, gezogene Lehren und neue Sicherheitsstandards

Die forensische Untersuchung zeigte: Es lag kein weiterer Schaden vor. Die Passwörter waren zurückgesetzt, die VPN-Verbindungen deaktiviert – jetzt konnte damit begonnen werden, die isolierten bzw. eingeschränkten Systeme wieder freizuschalten. Mailserver-Zugriffe über Verbindungen aus dem Internet waren wieder erlaubt, das VPN-Gateway und die Zugänge auf die Cloud-basierten Systeme wurden reaktiviert.

Um ähnliche Vorfälle in der Zukunft zu vermeiden, verstärkte das Unternehmen anschließend seine Sicherheitsmaßnahmen. Eine Multi-Faktor-Authentifizierung (MFA) für die Anmeldung an der Domäne und den Cloud-basierten Systemen wurde eingeführt und der IT-Dienstleister mit der Konzeption einer Awareness-Kampagne beauftragt. Deren Ziel: die Mitarbeitenden mittels Sicherheitsschulungen engmaschig über Cyberkriminalität und Phishing aufzuklären. Auch regelmäßige Sicherheitsüberprüfungen in Form von Penetrationstests exponierter Systeme und simulierten Phishing-Angriffen finden seitdem statt.

Im nächsten Schritt wird das Expertenteam von Handz.On mit einer Gap-Analyse des bestehenden Information-Security-Management-Systems (ISMS) durchführen. Dadurch soll dieses fit gemacht werden für die geplante Rezertifizierung nach dem TISAX-Standard für Informationssicherheit in der Automobilindustrie. Perspektivisch erwägt der Automobilzulieferer ferner einen Zero-Trust-Ansatz, d. h. den Aufbau einer Architektur, bei der jeder einzelne Systemzugriff eine Authentifizierung verlangt. Eine Identity-Access-Management (IAM)-Lösung verwaltet dabei zentral die Systemzugänge.

Fazit

Wie groß die Bedrohung durch Cyberangriffe ist, wurde dem Automobilzulieferer durch den Phishing-Angriff schlagartig klar. Auch wenn dieser, rückblickend betrachtet, vergleichsweise glimpflich ablief, so macht er doch deutlich: Es geht heute nicht mehr ohne proaktive Sicherheitsmaßnahmen. Allein dass Informationen aus sozialen Business-Netzwerken den Kriminellen genügend Informationen lieferten, um ihren Angriff zu starten – und sie diesen darauf basierend so geschickt zu timen verstanden – muss verblüffen.

Frühzeitige Erkennung und schnelle Reaktion waren im vorliegenden Fall essentiell. Lessons learned: Klare Verhaltensregeln müssen eingeübt werden, und dies am besten über permanente firmeninterne Schulungen der Mitarbeitenden, die erst dadurch für die Risiken von Phishing-Angriffen und perfiden Methoden der Hacker sensibilisiert werden.

Über den Autor: Sebastian Welke ist Senior Consultant bei der handz.on GmbH.

(ID:49853566)