Nationalstaatliche Akteure und Hacker-Gruppen Cybercrime im Auftrag der Regierung

Anbieter zum Thema

Onapsis GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die Beteiligung von Staaten und Regierungen an Cyberspionage und Hacker-Angriffen ist spätestens seit dem Ukraine-Krieg im Bewusstsein der Öffentlichkeit angekommen. Die Angriffe richten sich auf verfeindete Regierungen, Behörden und kritische Infrastrukturen – aber auch auf privatwirtschaftliche Unternehmen und Organisationen.

Im Januar 2023 legt die pro-russische Hackerbande Killnet den Online-Auftritt der Bundes­regierung und die Internetseiten mehrerer deutscher Flughäfen lahm. Im Sommer 2023 verschaffen sich Hacker aus China Zugang zu den Outlook-Konten von rund 25 Organisationen, darunter Regierungseinrichtungen in Westeuropa und den USA. Molerat, eine pro-palästinensische Cyberspionageorganisation, setzt Phishing-Taktiken gegen israelische Beamte im Nahen Osten ein.

Phishing-Angriff auf deutsche Politiker

Mitgliederdaten nach Cyberangriff auf CDU wieder zugänglich

Nationalstaatliche Akteure und Gruppen sorgen mit ihren raffinierten Taktiken immer wieder für Schlagzeilen. Sie setzen ihre Technologien und Fähigkeiten ein, um beispielsweise Hackerangriffe, Sabotage, den Diebstahl von geistigem Eigentum oder das Streuen von Desinformationen zu ermöglichen. Sie sammeln dabei riesige Mengen an Informationen und nutzen künstliche Intelligenz, um Opfer mit KI-Manipulation, Deepfakes und anderen betrügerischen Taktiken hinters Licht zu führen.

Auch kleinere Akteure sind gefährlich

Nationalstaatliche Bedrohungsakteure können Teil eines offiziellen Staatsapparates sein, Mitglieder einer mit einer Regierung verbündeten oder von ihr beauftragten Cybercrime-Organisation oder auch „Freiberufler“, die gezielt für eine bestimmte Operation angeheuert werden. Cyberkriminelle, die über ein besonders hohes Maß an Fachwissen und umfangreiche Ressourcen verfügen, werden Advanced Persistent Threat (APT) genannt, was man mit „fortgeschrittene, andauernde Bedrohung“ übersetzen kann. Molerat gehört beispielsweise zusammen mit Frankenstein zu dem APT TA402.

China, Russland, Iran und Nordkorea gelten als die „Big Four“ der staatlich organisierten Cyberkriminalität. Das Beispiel von Molerat zeigt jedoch, dass auch kleinere Gruppen hochentwickelte Tools und Taktiken im Einsatz haben. Angesichts der Verschärfung der Bedrohungslage sollten CISOs auf einen mehrschichtigen Ansatz für die Cybersicherheit setzen und die Fähigkeiten von Mensch und Technologie kombinieren, um sich wirksam gegen die sich immer weiterentwickelnden Bedrohungen zu verteidigen.

Allianz Risk Barometer 2024

Cyber-Attacken sind 2024 weltweites Top-Risiko

Indicators of Compromise aktualisieren

Die Bedrohungslandschaft ist nicht statisch. Hackergruppen suchen sich in der angespannten geopolitischen Lage ständig neue Ziele und entwickeln ausgefeilte Angriffsmethoden. So hat beispielsweise die Hackergruppe Molerat, die bereits seit über einem Jahrzehnt operiert, ihr Vorgehen immer wieder geändert. Die Täter haben z. B. Links zu Cloud-Diensten wie Google Drive und Dropbox in ihre Phishing-Mails integriert. Auf diesen Diensten haben sie wiederum Malware Payloads für Command-and-Control-Funktionen und Datenexfiltrationen von Zielen im gesamten Nahen Osten gehostet.

Threat Intelligence, also das Wissen über die Bedrohungen, denen Unternehmen und Organisationen ausgesetzt sind, ist entscheidend für die Cybersicherheit. Um sich jedoch effektiv gegen diese hochprofessionellen Bedrohungen zu schützen, müssen Threat-Intelligence-Systeme kontinuierlich mit aktuellen Indicators of Compromise (IOCs) auf dem neuesten Stand gehalten werden.

Beispiel E-Mails: Bei der Erwägung von IOCs für E-Mails ist es wichtig, dass Faktoren wie die Registrierung und Lebensdauer der Domain, Domain Name System (DNS)-Server für die Domain und Datensätze wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance) berücksichtigt werden.

Beim Machine Learning kommen sogenannte Classifier zum Einsatz, um Daten automatisch in verschiedene Klassen zu einzuordnen und mit entsprechenden Labels zu versehen, zum Beispiel „Spam“ oder „kein Spam“, „potenziell maliziöser Dropbox-Link, der überprüft werden sollte“ oder „kein Dropbox-Link“. Es ist wichtig, dass die ML Classifier kontinuierlich mit frisch gelabelten Daten trainiert werden, um sicherzustellen, dass sie sich an die sich weiterentwickelnden E-Mail-Bedrohungen anpassen.

Außerdem muss sichergestellt sein, dass die richtigen ML-Modelle verwendet und neue Modelle für neue Bedrohungen erstellt werden. Mithilfe dieses proaktiven Ansatzes können die sich ständig ändernden E-Mail-basierten Risiken frühzeitig erkannt und mit entsprechenden Gegenmaßnahmen gekontert werden. Statische Abwehrmaßnahmen sind dagegen angesichts der dynamischen Bedrohungslandschaft nicht zeitgemäß.

Hackergruppe APT28 übernimmt Router für Spionage

Sicherheitsbehörden schalten russisches Spionagenetz aus

Vorsicht bei der E-Mail-Kommunikation

Mithilfe von Threat Intelligence können Angriffe raffinierter Bedrohungsakteure technisch pariert werden. Mindestens genauso wichtig ist jedoch der Faktor Mensch. Mitarbeitende müssen umfassend geschult werden: Sie dürfen z. B. keine Anhänge öffnen oder auf Links klicken. Auch bei Kontakten in Adressbüchern ist Vorsicht geboten, da kompromittierte Konten unbeabsichtigt schädliche Inhalte verbreiten können. Leider wird die Erkennung maliziöser Inhalte durch KI zunehmend erschwert. Die Nachrichten und Texte werden immer überzeugender, imitieren Schreibstile und knüpfen an den persönlichen Interessen ihrer Opfer an. Das erschwert es selbst aufmerksamen Empfängern, zwischen einem Betrugsversuch und einer vertrauenswürdigen Nachricht eines Kollegen zu unterscheiden.

Dennoch gilt: Beim Umgang mit E-Mails sollte Wachsamkeit und nicht Paranoia das Leitprinzip sein. Aufmerksamkeit und die Überprüfung des Inhalts und vor allem des Kontexts digitaler Interaktionen –ist es wahrscheinlich, dass eine Kollegin mich zu Thema X anschreibt? Sollte ich mich z. B. telefonisch noch einmal absichern? – sind der Schlüssel zur Abwehr potenzieller Bedrohungen. Zudem sollte das Sicherheitsbewusstsein über die reine E-Mail hinausgehen und alle Formen der digitalen Kommunikation umfassen.

Angriffe durch Einsatz von KI gesehen

ChatGPT-Macher sperren regierungsnahe Hacker aus

Die Rolle von künstlicher Intelligenz in der Cybersicherheit

Kriminelle Gruppen, die es aktiv auf eine Organisation oder Einzelpersonen abgesehen haben, investieren Zeit in die Untersuchung ihrer Ziele, Überwachung ihrer Kontakte und Sammlung von Daten, die sie dann in ihre eigenen KI-Systeme einspeisen. Weil die Angreiferseite KI nutzt, muss die Verteidigerseite es auch tun: Unternehmen und Organisationen sollten in robuste KI-gesteuerte Cybersicherheitslösungen investieren, die Angriffe erkennen und abwehren können, um ihre Netzwerke und geschäftskritischen Systeme, wie beispielsweise ihre ERP-Systeme, aktiv zu schützen. Ein Beispiel in diesem Zusammenhang wäre KI-gestützte Anomaliebewertung, um verdächtiges Verhalten frühzeitig zu erkennen und darauf zu reagieren. Außerdem müssen Organisationen sicherstellen können, dass verfügbare Patches kontinuierlich und automatisiert eingespielt werden, um die Angriffsfläche so klein wie möglich zu halten.

Um den hochkriminellen und durch Unterstützung von Regierungen ressourcentechnisch sehr gut aufgestellten Hackergruppen die Stirn bieten zu können, muss die Cybersicherheit genauso agil sein, wie die sich ständig weiterentwickelnden Bedrohungen, die sie bekämpfen soll. Es ist unabdingbar, auf dem Laufenden zu bleiben, Threat-Detection-Systeme jederzeit auf dem neuesten Stand zu halten und Machine-Learning-Modell richtig zu trainieren. Neben den technologischen Mitteln ist auch ein kultureller Wandel erforderlich – ein Sicherheitsbewusstsein, das über den Posteingang hinausgeht und sich auf alle digitalen Interaktionen erstreckt. Wachsamkeit, kombiniert mit einem dynamischen, mehrstufigen Sicherheitsansatz wird stärker als je zuvor das Herzstück erfolgreicher Sicherheitsstrategien zur Abwehr vor KI-gestützten Bedrohungen werden. Der Einsatz fortschrittlicher KI-gestützter Sicherheitslösungen wird zukünftig nicht mehr nur „nice to have“ sein, sondern ein „Must-Have“ im ständigen Kampf um den Schutz sensibler Informationen und digitaler Ressourcen.

Über den Autor: Paul Laudanski ist Director Security Research bei Onapsis und Leiter der Onapsis Research Labs.

(ID:49998204)