Cyber-Kriminalität So vertuschen Hacker ihre Aktivitäten

In der IT-Security tobt ein ständiger Kampf zwischen Angriff und Verteidigung. Angreifer stellen uns immer wieder vor neue Gefahren und Herausforderungen. Unter anderem nutzen Hacker gerne vertrauenswürdige Plattformen und Protokolle, Pentesting-Tools als auch LOLBINs, um Sicherheitskontrollen raffiniert zu umgehen.

Mittlerweile als „überholt“ geltende Techniken wie beispielsweise die Steganografie werden von Hackern weiterentwickelt und eröffnen neue Möglichkeiten. Damit sind verschlüsselte Nachrichten gemeint, deren Existenz kaum vermutet werden kann. Das heißt, Informationen einschließlich bösartiger Nutzdaten sind in ansonsten harmlosen Dateien wie beispielsweise Bildern verborgen. Nicht mal Plattformen wie Twitter sind gegen Steganografie immun. Es heißt, dass auf der Plattform Bilder missbraucht werden können, um ZIP-Archive mit einer Größe von bis zu 3 MB darin zu verpacken.

Hacker setzen heute allerdings nicht nur Verschleierungs-, Steganografie- und Malware-Packing-Techniken ein, sondern häufig auch legitime Dienste, Plattformen, Protokolle und Tools für ihre Aktivitäten. Auf diese Weise können sie sich in den Datenverkehr oder in Prozesse einfügen, die für Analysten und Maschinen gleichermaßen unbedenklich aussehen. In der Folge werden Strategien skizziert, mit denen Hacker versuchen, ihre Spuren zu verwischen.

Seriöse Plattformen korrumpieren

Hacker nehmen ein breites Spektrum an vertrauenswürdigen Plattformen wie beispielsweise Penetrationstestdienste und -tools als auch etablierte Open-Source-Code-Ökosysteme bis hin zu Bild- und Textseiten ins Visier.

In der Regel wird beispielsweise Ngrok nur von ethischen Hackern genutzt, die im Rahmen von Bug-Bounty-Übungen oder Pen-Tests Daten sammeln oder Mock-Tunnel für eingehende Verbindungen einrichten wollen. Jedoch wurde Ngrok auch von Cyber-Kriminellen missbraucht, um direkt Botnet-Malware zu installieren oder einen legitimen Kommunikationsdienst mit einem bösartigen Server zu verknüpfen.

Ein solches Beispiel veranschaulicht, warum es für Hacker sehr interessant sein kann, legitime Plattformen anzugreifen, die von vielen Firewalls und Sicherheitsüberwachungs-Tools nicht blockiert werden. Daher brauchen Unternehmen Transparenz auf Abruf. Das heißt, Daten müssen sich von jeder Edge-Umgebung bis hin zu mehreren Clouds auf sichere Weise verarbeiten und analysieren lassen.

Angreifer profitieren von populären Marken

Bei Aktivitäten wie beispielsweise Typosquatting, Brandjacking oder Upstream-Angriffen nutzen Hacker das Vertrauen innerhalb bekannter Partner-Ökosysteme oder den Ruf einer Marke bzw. Softwarekomponenten aus. Hacker versuchen auf diese Weise, bösartigen Code in eine vertrauenswürdige Codebasis einer Marke einzubringen, der dann an das eigentliche Ziel (Partner oder Nutzer einer Marke) weitergegeben wird.

Jedes System, das für alle offen ist, öffnet sich letztlich auch für Angreifer. Daher adressieren viele Hacker Lieferketten bzw. Open-Source-Ökosysteme, von denen einige über eine laxe Validierung verfügen, getreu dem Prinzip - „offen für alle“.

Der Schutz vor Hacker-Attacken auf Lieferketten erfordert Maßnahmen in verschiedenen Richtungen: Einerseits sollten Software-Anbieter ihre Investitionen in die Sicherheit ihrer Entwicklungs-Builds erhöhen. Andererseits können KI- und ML-basierte DevOps-Lösungen, die in der Lage sind, verdächtige Softwarekomponenten automatisch zu erkennen und zu blockieren, dabei helfen, Angriffe zu verhindern.

Auf Grund des vermehrten Einsatzes von Kubernetes- oder Docker-Container für die Bereitstellung von Anwendungen, können Container-Sicherheitslösungen mit integrierter Web-Application-Firewall einfache Fehlkonfigurationen frühzeitig erkennen, und so dazu beitragen, größere Schäden zu vermeiden.

Verwendung gemeinsamer Kanäle und Protokolle

Eine weitere Möglichkeit für Hacker, ihre Aktivitäten zu verbergen, bieten verschlüsselte Kanäle, Ports und Protokolle, die von legitimen Anwendungen verwendet werden. Da beispielsweise HTTPS ein unverzichtbares Protokoll für das Web darstellt, kann Port 443 (der von HTTPS/SSL verwendet wird) in Unternehmen nur sehr schwer blockiert werden. So finden dort oft Angriffe statt, weil DNS over HTTPS (DoH) ebenfalls Port 443 verwendet und Hacker auf diese Weise ihre Command-and-Control-Befehle an infizierte Systeme übertragen.

Das heißt, Cyber-Kriminelle profitieren durch den Missbrauch eines weit verbreiteten Protokolls wie HTTPS bzw. DoH von den gleichen Datenschutzvorteilen End-to-End-verschlüsselter Kanäle wie alle anderen User. Dies stellt insbesondere Admins vor die Aufgabe, den verdächtigen Datenverkehr unter einer Vielzahl von HTTPS-Anfragen abzufangen, herauszufiltern und zu analysieren.

Signierte Binärdateien für getarnte Malware

LOLBINs (living-off-the-land binaries) beziehen sich als dateilose Malware auf legitime, ausführbare Dateien wie beispielsweise von Microsoft signierte Windows-Programme, um bösartigen Code mit erweiterten Rechten zu starten oder Endpunkt-Sicherheitsprodukte wie Virenschutz zu umgehen. Microsoft gibt beispielsweise einige Hinweise im Hinblick auf Abwehrtechniken, die Unternehmen anwenden können, um Hacker daran zu hindern, die Azure-LOLBINs von Microsoft zu korrumpieren.

Malware in nicht gängigen Programmiersprachen

Damit Hacker nicht so schnell entdeckt werden, verwenden sie zusehends ungewöhnliche Programmiersprachen zum Beispiel wie Go, D, Nim oder Rust. Solche Sprachen tragen auf verschiedenste Art und Weise zur Vertuschung von Aktivitäten bei. Erstens bedeutet das Umschreiben von Malware in eine andere Sprache, dass signaturbasierte Erkennungstools sie ersteinmal nicht mehr erkennen. Zweitens fungieren solche Sprachen selbst als Verschleierungsschicht.

(ID:48482584)