Update: 10 Millionen Dollar Belohnung Chinesische Hacker greifen kritische US-Infrastrukturen an

Ende 2024 spitzten sich die Cyberangriffe von staatlich motivierten Kriminellen aus China gegen US-Unternehmen zu. Nachdem auch das US-Finanzministerium gehackt wurde, verhängten die USA jüngst Sanktionen gegen chinesische Unternehmen sowie Einzelpersonen.

Die US-Regierung wirft der chinesischen vor, einen schon im Frühjahr 2024 groß angelegten Cyber- und Spionage­angriff verübt zu haben. Betroffen seien mindestens acht US-Telekommunikationsfirmen sowie Dutzende andere Länder. Wie Anne Neuberger, stellvertretende US-Sicherheitsberaterin, Anfang Dezember 2024 mitteilte, hätten sich Funktionäre in Peking Zugang zu privaten Textnachrichten und Telefongesprächen von US-Bürgern verschafft. Anfang Dezember 2024 wurde dann noch das US-Finanzministerium gehackt. Nun haben die USA Sanktionen gegen mehrere chinesische Unternehmen und Einzelpersonen verhangen, die an den Cyberangriffen beteiligt waren.

Schwachstellen in Beyond Trust

So wurde das US-Finanzministerium gehackt

US-Sanktionen gegen chinesische Unternehmen

Als erstes wurde Integrity Technology, ein Unternehmen aus Peking, dass sich auf Cybersicherheitsdienstleistungen spezialisiert hat, sanktioniert. Dem US-Außenministerium zufolge ist Integrity Technology ein großer chinesischer Auftragnehmer mit Verbindungen zum Ministerium für chinesische Staatssicherheit. Nach dem Cyberangriff auf das Finanzministerium der USA hat das Office of Foreign Assets Control (OFAC) Integrity Technology auf die Specially-Designated-Nationals-Liste (SDN) aufgenommen. OFAC ist eine Abteilung des Finanzministeriums, das dafür zuständig ist, wirtschaftliche und handelspolitische Sanktionen durchzusetzen. In der SDN-Liste stehen alle Unternehmen, Einzelpersonen und Organisationen, gegen die die USA Sanktionen verhängt haben.

Neben Integrity wurden folgende weitere chinesische Unternehmen sanktioniert und auf die SDN-Liste aufgenommen sowie einige Einzelpersonen, die direkt oder indirekt an den Cyberattacken in den USA beteiligt waren:

• Yin Kecheng, ein in Shanghai ansässiger Cyberakteur, der an den Kompromittierungen des Netzwerkes des US-Finanzministeriums beteiligt war

• Sichuan Juxinhe Network Technology, ein Cybersicherheitsunternehmen aus Sichuan, das direkt mit der Hackergruppe Salt Typhoon, die für die Angriffe verantwortlich gemacht wird, zusammengearbeitet hat

• Sichuan Silence Information Technology, ein Cybersicherheitsunternehmen aus Chengdu, sowie einer seiner Mitarbeiter, der dem Finanzministerium zufolge schon im April 2020 Schadsoftware auf über 80.000 Firewalls installiert habe. Die eingesetzte Malware habe Daten gestohlen und Ransomware installiert, die Netzwerke lahmgelegt habe

• Wuhan Xiaoruizhi Science and Technology, ein Unternehmen aus Wuhan, welches dem US-Finanziminsterium zufolge als Tarnfirma für das chinesische Ministerium für Staatssicherheit dient, sowie zwei seiner Mitarbeiter

Die Sanktionen der USA umfassen:

• Vermögenssperren: Sämtliche Vermögenswerte und Beteiligungen der sanktionierten Personen und Unternehmen, die sich in den USA befinden oder unter amerikanischer Kontrolle stehen, sind eingefroren.

• Geschäftsverbote: US-Personen und -Unternehmen ist es untersagt, Geschäfte mit den sanktionierten Unternehmen und Personen zu tätigen.

• Einschränkungen im Finanzsystem: Die sanktionierten Unternehmen erhalten keinen Zugang zum US-Finanzsystem mehr, was deren internationalen Geschäftsbeziehungen erheblich beeinträchtigen könnten.

10 Millionen Dollar Belohnung für Informationen

Infolge dieser staatlich unterstützten Cyberattacken, hat das US-Außenministerium im Rahmen des Programms „Rewards for Justice“ eine Belohnung von bis zu 10 Millionen Dollar ausgeschrieben. Wer Informationen liefern kann, die zur Identifizierung oder zum Auffinden von Personen führen, die auf Anweisung einer ausländischen Regierung böswillige Aktivitäten gegen kritische US-Infrastrukturen durchführen, wird entlohnt. Als böswillige Aktivität zählen solche, die gegen den Computer Fraud and Abuse Act verstoßen. Dazu gehören

• die Übermittlung von Erpressungsversuchen und Drohungen im Rahmen von Ransomware-Angriffen,

• der vorsätzliche unbefugte Zugriff auf einen Computer oder die Überschreitung des autorisierten Zugriffs und dadurch die Erlangung von Informationen von einem geschützten Computer sowie

• das vorsätzliche Verursachen der Übertragung eines Programms, einer Information, eines Codes oder Befehls und als Folge eines solchen Verhaltens die vorsätzliche unbefugte Beschädigung eines geschützten Computers.

Zu den geschützten Computern zählen nicht nur Computersysteme der US-Regierung und von Finanzinstituten, sondern auch solche, die für den zwischenstaatlichen oder internationalen Handel oder in der Kommunikation verwendet werden oder diese beeinträchtigen.

Politiker und Beamte betroffen

Erstmals öffentlich gemacht wurden die Informationen über den chinesischen Cyberangriff 2024 erst kurz nach einer gemeinsamen Stellungnahme des FBI und der Cybersecurity and Infrastructure Security Agency (CISA). Allerdings ist bereits seit dem Frühjahr 2024 bekannt, dass chinesische Akteure versuchen, sich Zugriff auf kritische US-Infrastrukturen zu verschaffen. Am 13. November 2024 haben FBI und CISA ein Statement zu chinesischen Angriffen auf die kommerzielle Telekommunikationsstruktur der USA veröffentlicht.

Darin informierten die beiden Organisationen, dass Cyberkriminelle, die in Verbindung mit der Volksrepublik China stünden, mehrere Telekommunikationsunternehmen kompromittiert hätten. Ihr Ziel sei es gewesen, Anrufprotokolle und Kommunikationsdaten zu stehlen sowie die private Kommunikation zu beeinträchtigen. Zu den betroffenen Personen hätten hauptsächlich Personen aus dem Großraum Washington DC gehört, die Regierungsaufgaben innehätten oder anderweitig politisch aktiv seien. Auch der designierte US-Präsident Donald Trump, die aktuelle US-Vizepräsidentin Kamala Harris und der designierte US-Vizepräsident JD Vance seien Ziele gewesen. Die für die Cyberkriminellen interessanten Informationen seien solche gewesen, die Gegenstand von Anfragen der US-Strafverfolgungsbehörden aufgrund von Gerichts­be­schlüs­sen waren. Zudem haben das FBI und die CISA einen Leitfaden mit Best Practices zum Schutz der IT-Infrastruktur von Unternehmen veröffentlicht, die potenzielle Opfer der chinesischen Hacker sein könnten.

Neuberger zufolge sei damals keine geheime Kommunikation abgeflossen. Allerdings seien die Angreifer in der Lage gewesen, Textnachrichten einer kleinen Anzahl gezielt ausgewählter Personen zu stehlen.

Fast 20.000 deutsche Geräte betroffen

Deutsche Geräte in Botnetz gefunden

Wie lange geht der Cyberangriff schon?

Meldungen darüber, dass chinesische Cyberakteure versuchen, Zugriff auf kritische Infrastrukturen in den USA zu erhalten, gibt es seit Frühjahr 2024. Eine erste Meldung der CISA über einen erfolgreichen Zugriff chinesischer Akteure auf kritische US-Infrastrukturen, gab es am 7. Februar 2024. Die CISA, das FBI und die National Security Agency (NSA) gehen davon aus, dass die Cyberangreifer sich für den Fall eines eskalierenden Konflikts zwischen China und den USA schon vorab in den IT-Netzwerken der USA zu positionieren. Mit diesen Maßnahmen scheinen die Akteure störende oder zerstörerische Cyberattacken vorbereiten zu wollen beziehungsweise zu planen, sie so akut schnell starten zu können. Daraufhin veröffentlichte die CISA eine Warnung an die KRITIS-Betreiber und Behörden.

Im Laufe des vergangenen Jahres beobachtete die CISA gemeinsam mit der NSA und dem FBI die Situation. Am 25. Oktober 2024 folgte eine Meldung über erfolgte unbefugte Zugriffe durch chinesische Akteure auf die Telekommunikationsinfrastruktur der USA. Einen konkreten Zeitplan, wann die US-Betreiber in der Lage sein werden, die Cyberangreifer vollständig aus ihren Netzwerken eliminieren zu können, gibt es laut CISA noch nicht.

Deutsche Firmen im Visier chinesischer Hacker

267 Milliarden Euro Schaden pro Jahr für die deutsche Wirtschaft

Was ist über die chinesischen Hacker bekannt?

Wie die amerikanische Nachrichtenseite Axios schrieb, steckt hinter den Cyberangriffen die Hackergruppe Salt Typhoon. Trend Micro hat Salt Typhoon genauer analysiert und berichtete, dass die chinesische APT-Gruppe (Advanced Persistent Threat) seit 2023 in den USA, im asiatisch-pazifischen Raum, im Nahen Osten und in Südafrika aktiv ist. Dort nehme sie vor allem kritische Sektoren und Regierungsbehörden ins Visier. Die Methoden der Cyberakteure von Salt Typhoon seien Axios zufolge weder neu noch hochentwickelt. Allerdings würden einige der Taktiken, mit denen sich die Gruppe Zugang zu den kritischen Infrastrukturen verschafft hat, mit „bestehenden Schwächen der Infrastruktur“ übereinstimmen, teilte ein hochrangiger CISA-Beamter dem Nachrichtenportal mit.

Verantwortlich für Cyberangriffe auf die USA

So arbeitet die gefährliche Hackergruppe Salt Typhoon

Die CISA selbst schrieb von einer ebenfalls chinesischen Hackergruppe namens Volt Typhoon. US-Behörden hätten die Kompromittierung der IT-Umgebungen durch Volt Typhoon bereits bestätigt. Auch diese kriminelle Gruppe ziele hauptsächlich auf kritische Infrastrukturen aus den Bereichen Kommunikation, Energie, Transport sowie Wasser- und Abwasser ab. Allerdings würden die Methoden von Volt Typhoon nicht traditionellen Operationen von Cyberspionage entsprechen. Die Akteure hinter Volt Typhoon würden sich innerhalb von IT-Netzwerken positionieren, um sich von dort seitlich hin zu OT-Ressourcen zu bewegen. Das Ziel sei es, Funktionen zu stören und den Betrieb von OT-Umgebungen einzuschränken. Behörden in Kanada und Australien würden davon ausgehen, dass auch ihre kritischen Infrastrukturen anfällig für staatlich geförderte Cyberattacken durch China sein könnten.

Im Zusammenhang mit dem Cyberangriff auf das US-Finanzministerium, wird auch von einer Hackergruppe namens Flax Typhoon gesprochen. Es ist davon auszugehen, dass alle Benennungen derselben Gruppe zuzuordnen sind.

Security-Insider Podcast – Folge 92

Unternehmen versus Chinas Great Firewall

Erstzugriff über Schwachstellen in Netzwerkgeräten

Laut CISA würden die Volt-Typhoon-Akteure für den ersten Zugriff häufig Schwachstellen in Netzwerkgeräten ausnutzen. Die Hackergruppe nutze oftmals verfügbaren Exploit-Code für bereits bekannte Sicherheitslücken, sei aber auch geübt darin, Zero-Day-Schwachstellen zu entdecken und auszunutzen. Bei einem anderen bestätigten Cyberangriff hätten sich die Akteure einen ersten Zugriff über die Schwachstelle CVE-2022-42475 verschafft. In diesem Fall nutzten sie eine nicht gepatchte FortiGate-300D-Firewall im Netzwerkperimeter aus und konnten so an Anmeldeinformationen gelangen. In den Protokollen des SSL-VPN (Secure Sockets Layer) des Opfers habe es Hinweise auf einen Pufferüberlauf gegeben. Sobald der erste Zugriff erfolgreich gewesen sei, würde Volt Typhoon dazu übergehen, sich einen dauerhaften Zugriff einzurichten. Dafür würden sie meist VPN-Sitzungen nutzen, um sich sicher mit den Umgebungen ihrer Ziele zu verbinden und anschließend unbemerkte Aktivitäten durchzuführen.

„Die mit der Volksrepublik China verbundene Cyberaktivität stellt eine ernsthafte Bedrohung für kritische Infrastrukturen, Regierungsbehörden und Unternehmen dar“, warnte Jeff Greene, stellvertretender Direktor für Cybersicherheit bei CISA. „Zusammen mit unseren US-amerikanischen und internationalen Partnern fordern wir Softwarehersteller auf, die Grundsätze von Secure by Design in ihren Entwicklungszyklus zu integrieren, um die Sicherheitslage ihrer Kunden zu stärken. Softwarehersteller sollten unsere Secure by Design-Ressourcen prüfen und ihre Grundsätze in die Praxis umsetzen.“

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

Top Malware in Deutschland

Die gefährlichsten Schadprogramme für deutsche Unternehmen 2024

(ID:50259016)