TTP-Analyse und Empfehlungen BSI warnt vor russischem Geheimdienst

Anbieter zum Thema

BSI Bundesamt f. Sicherheit in der Informationstechnik

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Russische GRU-Hacker greifen gezielt westliche Logistik- und IT-Unter­neh­men an, um Hilfslieferungen an die Ukraine auszuspähen. Das BSI warnt und gibt konkrete Tipps zum Schutz vor den ausgefeilten APT-Angriffen.

Um die Bemühungen Russlands, die Ukraine zu annektieren, zu unterstützen, ist auch der russische Militärgeheimdienst GRU aktiv. Seine Cyberexperten und Hacker richten ihre Aktivitäten gegen westliche Logistik- und Technologie­unternehmen, die an Hilfslieferungen an die Ukraine beteiligt sind. Nun hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem Bundesamt für Verfassungsschutz (BfV) und dem Bundes­nachrichten­dienst (BND) ein Cybersecurity Advisory herausgegeben, welches die Techniken, Taktiken und Vorgehensweisen (Tactics, Techniques, and Procedures, TTPs) der russichen Akteure genauer betrachtet und Handlungsempfehlungen für potenziell betroffene Unternehmen gibt.

Teil der russischen Strategie

Hacker nehmen Rüstungslieferanten der Ukraine ins Visier

So geht Russland bei Cyberangriffen vor

Die Aktivitäten des GRU umfassen Cyberspionage und Sabotageangriffe, die den Betrieb stören sollen. Seit 2022 sei vor allem die Einheit 26165, die auch unter den Namen APT28 und Fancy Bear bekannt ist, für die Attacken verantwortlich. Zu ihren Opfern zählen:

• Logistikunternehmen wie Luft-, See-, Bahnverkehr, Speditionen und Hafenbetreiber

• Technologieunternehmen wie IT-Dienstleister und Softwareanbieter

• Zulieferer und Partner von Verteidigungs- und Hilfsorganisationen

Desinformation, Phishing, Betrug und Hackerangriffe

Russische Bedrohungen für die Olympischen Spiele

Das BSI und seine Partner haben sich die Vorgehensweisen der Angreifer aus Russland genauer angeschaut. Diese folgen typischen Mustern von Advanced Persistent Threats (APTs).

• 1. Initialer Zugriff: Um sich erstmals Zugriff auf fremde Systeme zu verschaffen, nutzen die Hacker Credential Guessing und Brute-Force-Angriffe. Letzterer beschreibt eine besonders aggressive Angriffsmethode, bei der automatisiert alle möglichen Zeichenkombinationen für Passwörter getestet werden, bis das richtiger gefunden wird. Beim Credential Guessing werden zuvor gestohlene Benutzernamen-Passwort-Kombinationen systematisch ausprobiert, bis eine davon zum Erfolg führt.

• 2. Rechteausweitung: Nach dem erfolgreichen Erstzugriff begehen die Akteure damit, systematisch das Netzwerk weiter zu kompromittieren, um dauerhaften Zugriff und weitere Informationen über fremde Systeme zu erlangen. Außerdem bewegen sie sich lateral im Netzwerk, um ihre Rechte zu erweitern. Eine technische Analyse ergab, dass der GRU dafür die Open-Source-Tools Impacket und PsExec einsetzte. Auch Tools wie Certipy und ADExplorer.exe zur Auslesung von Active-Directory-Datenbanken kamen dabei zum Einsatz.

• 3. Datenexfiltration: Um Daten zu stehlen setzt der russische Geheimdienst auf Python-Skripte. Damit können sie Klartext-Passwörter aus Gruppenrichtlinien auslesen, Domänenkonten zu ermitteln und Brute-Force-Angriffe via Lightweight Directory Access Protocol (LDAP) durchzuführen. Danach haben sie die Evenlogs gelöscht, um ihre Spuren zu verwischen.

Spionage

Täglich hybride Angriffe auf Deutschland

Schutzmaßnahmen

Die über 20 Sicherheitsbehörden und Nachrichtendienste, die an den Untersuchungen beteiligt waren, haben den Ergebnissen über die Cyberangriffe des russischen Geheimdienstes Maßnahmen beigefügt, die Unternehmen ergreifen können, um sich zu schützen.

• Netzwerksegmentierung und Zugriffskontrolle: Kritische Systeme wie Mailserver und Domaincontroller sollten klar abgegrenzt und nur über autorisierte Verbindungen erreichbar sein.

• Privilegierte Konten begrenzen und trennen: Administratorrechte nur bei Bedarf vergeben sowie getrennte Konten für unterschiedliche Aufgaben

• Monitoring und Loganalyse: Zentrale Erfassung und Auswertung sicherheitsrelevanter Logdaten, insbesondere zur Erkennung ungewöhnlicher Anmeldeversuche und gelöschter Ereignisprotokolle. Dazu gehören auch regelmäßige Auswertungen.

• Blocking verdächtiger Domains und Dienste: Dienste wie „*.webhook.site“, „*.mockbin.org“ oder „*.frge.io“, die häufig zur Phishing-Infrastruktur gehören, sollten blockiert oder gezielt überwacht werden.

• Absicherung von IP-Kameras und IoT-Geräten

• Firmware regelmäßig aktualisieren

• Zugriff nur über das Virtual Private Network und mit Multifaktor-Authentifizierung (MFA) erlauben

• Verzicht auf veraltete Authentifizierungsverfahren: Protokolle wie den NT LAN Manager oder unverschlüsselte SMB-Verbindungen (Server Message Block) sollten deaktiviert und durch moderne Verfahren wie die Public Key Infrastructure ersetzt werden.

• Starke Passwortpolitik: Verwendung sicherer Passwörter und Prüfung gegen Leaks zum Beispiel über Dienste wie „Have I Been Pwned“.

Hackergruppe vom Geheimdienst gesteuert

BSI analysiert russischen Cyberangriff auf Osteuropa-Verein

(ID:50430306)