Definition: Initial Access Broker | IAB Was macht ein Initial Access Broker?

Anbieter zum Thema

Fsas Technologies GmbH

Initial Access Broker sind Cyberkriminelle, die darauf spezialisiert sind, unbefugt Zugriff auf IT-Systeme oder Netzwerke zu erlangen. Ist es ihnen gelungen, sich Zugang zu verschaffen, verkaufen sie die Zugangs­mög­lich­kei­ten an andere Cyberkriminelle weiter. Diese verwenden sie dann für ihre Cyberangriffe wie Datenerpressung oder andere kriminelle Aktivitäten.

Initial Access Broker, abgekürzt IAB, werden auch als Türöffner der Cyberkriminalität bezeichnet. Es handelt sich um Cyberkriminelle, die sich darauf spezialisiert haben, sich unbefugt Zugang zu IT-Systemen oder Netzwerken zu verschaffen. Allerdings verwenden sie die kompromittierten Zugänge nicht selbst für weitere Angriffe, sondern agieren als Zulieferer. Sie verkaufen sie auf illegalen Marktplätzen, zum Beispiel im Darknet, an andere Cyberkriminelle weiter. Diesen dienen sie dann als Einstiegspunkt für Cyberangriffe wie Ransomware-Angriffe, Datendiebstahl oder Systemmanipulationen und andere kriminelle Machenschaften.

Die Arbeitsteilung zwischen Zugangsbeschaffung und der Ausnutzung der kompromittierten Zugänge für Cyberangriffe hat sich im modernen Cyberkriminalitätsumfeld etabliert. Die Einbeziehung von Initial Access Broker für Cyberangriffe nimmt stark zu. Den Angreifern bietet sich durch diese Arbeitsteilung der Vorteil, dass sie sich stärker auf die eigentliche Durchführung ihres Angriffs auf die gewählte Zielperson oder das gewählte Zielunternehmen konzentrieren können. Die für den Angriff benötigten Zugangsdaten kaufen sie sich von den hoch spezialisierten Initial Access Brokern ein. Sie nutzen die Zugangsbeschaffung quasi als eine Form von Cybercrime-as-a-Service. Im Darknet und auf einschlägigen Plattformen existiert ein großer Markt für kompromittierte Zugangsdaten. Je nach Größe, Bekanntheit, Attraktivität oder Kritikalität des Zielsystems oder des Zielunternehmens werden Preise von wenigen hundert bis mehreren tausend Dollar für einen illegalen Zugang gezahlt. Teilweise wird von den Initial Access Brokern auch eine Beteiligung an den weiteren Gewinnen der kriminellen Aktivitäten der Angreifer gefordert. Typische Kunden von Initial Access Brokern sind Ransomware-Gruppen, Spionageakteure oder andere kriminelle Kollektive.

Künstliche Intelligenz als Waffe

Rekordanstieg bei automatisierten Cyberangriffen

Die Rolle der Initial Access Broker im Gesamtsystem der Cyberkriminalität

Initial Access Broker erfüllen für das Gesamtsystem der Cyberkriminalität eine zunehmend wichtigere Rolle. Die Arbeitsteilung zwischen der Zugangsbeschaffung und der Durchführung des eigentlichen Angriffs hat zu einer Zunahme von Cyberangriffen und deutlich raffinierteren Angriffsmethoden geführt. Sowohl die Initial Access Broker als auch die Cyberkriminellen, die die eigentlichen Angriffe ausführen, können sich durch die Arbeitsteilung stärker auf ihre eigenen Kernkompetenzen und Aktivitäten wie System- und Netzwerkeinbruch, Malware-Entwicklung, Datenexfiltration oder Erpressung konzentrieren. Der Erwerb von bereits kompromittierten Zugängen umgeht die ressourcen- und zeitaufwendigen Prozesse des "Einhackens" in die IT-Systeme oder Netzwerke der Zielpersonen oder Zielunternehmen.

Das führt für das Gesamtsystem der Cyberkriminalität zu einer deutlich steigenden Effizienz, Geschwindigkeit und Professionalität. Gleichzeitig verringert die Zulieferung von kompromittierten Zugangsdaten die Einstiegshürden für Cyberkriminelle. Lohnende Cyberangriffe lassen sich schnell und einfach durch den Erwerb von kompromittierten Zugangsdaten und die Verfügbarkeit von ausgearbeiteten Schadkampagnen zum Beispiel in Form von Ransomware-as-a-Service durchführen, ohne dass dafür tiefes Know-how für die Entwicklung eigener Kampagnen notwendig ist. Selbst hochkomplexe Angriffe werden relativ einfach realisierbar. Sowohl Initial Access Broker als auch Anbieter von Ransomware-as-a-Service agieren als Dienstleister für die Cyberkriminellen.

Steigende Preise für kompromittierte Zugänge machen das Geschäft für die Initial Access Broker zunehmend attraktiver. Gleichzeitig sind die für die kompromittierten Zugänge gezahlten Preise für Cyberangreifer wie Ransomware-Gruppen im Vergleich zu den durch ihre kriminellen Machenschaften erzielbaren Gewinnen eher gering.

Cyberattacken auf die Industrie

Fertigungsindustrie im Visier: Cyberangriffe nehmen drastisch zu

Die Arbeitsweise der Initial Access Broker

Um sich unbefugt Zugang zu IT-Systemen oder Netzwerken zu verschaffen, wenden Initial Access Broker verschiedene Taktiken, Methoden und Verfahren an. Dazu zählen zum Beispiel:

• Ausnutzung von Schwachstellen in Software oder in nicht gepatchten Systemen

• Einsatz von Phishing-Kampagnen und Social Engineering

• Einsatz von Malware wie Infostealer, Fernzugriffs-Trojaner oder Keylogger

• Brute-Force-Angriffe zur Ermittlung schwacher Credentials

• automatisierte Credential-Stuffing-Angriffe mit bereits geleakten Credentials

Beliebte Angriffsziele der Initial Access Broker zur Erlangung von Erstzugriffen sind zum Beispiel VPN-Gateways, Webanwendungen oder Webserver und Remote-Zugänge per RDP.

Konnte ein unbefugter Erstzugriff erfolgreich hergestellt werden, dokumentieren die Initial Access Broker diesen und sichern ihn ab, indem sie mithilfe von Backdoors, neu erstellten Administratorkonten oder Command-and-Control-Servern dauerhafte Zugangsmöglichkeiten und persistente Einstiegspunkte zum kompromittierten System oder Netzwerk schaffen. Ziel ist es, den Zugang für den Angegriffenen unbemerkt möglichst langfristig nutzbar zu machen. Parallel zur Absicherung der Zugangsmöglichkeiten erfolgen die Bewertung, Kategorisierung und Aufbereitung des Zugangs für den Verkauf. Es werden zum Beispiel die Art und Wichtigkeit des Zugangs, die weiteren Sicherheitskontrollen, die lateralen Bewegungsmöglichkeiten oder die potenzielle Datenreichweite bestimmt. Sind diese Maßnahmen abgeschlossen, wird ein für den Verkauf optimiertes Paket geschnürt, der Preis festgelegt und der Zugang auf spezialisierten Marktplätzen, im Darknet oder über verschlüsselte Messaging-Dienste angeboten. Teilweise bieten die Initial Access Broker beim Kauf der kompromittierten Zugänge sogar Support oder Garantien.

Die Gefahren durch Initial Access Broker

Initial Access Broker tragen zur weiteren Professionalisierung des Cybercrime-as-a-Service-Modells bei. Die Spezialisierung der Zugangsbeschaffung bringt zahlreiche Gefahren mit sich. Auch weniger versierte Angreifer werden in die Lage versetzt, hochkomplexe, fortgeschrittene Angriffe durchzuführen. Entwicklungszeiten für neue Angriffskampagnen verkürzen sich und Angriffe werden beschleunigt. Grundsätzlich steigen die Effizienz, die Geschwindigkeit und die Professionalität der Angriffe.

Da die Initial Access Broker üblicherweise keine destruktiven Aktivitäten durchführen, ist ihr Handeln oft nur schwer zu erkennen. Die von ihnen ermittelten oder zusätzlich geschaffenen persistenten Zugangsmöglichkeiten bleiben häufig über lange Zeit unerkannt. Angreifer können sich nach dem Kauf eines Zugangs im Hintergrund gezielt auf das Eindringen und Kompromittieren der Systeme oder Daten vorbereiten. Die Angriffe werden oft erst bemerkt, wenn der Käufer aktiv seine kriminellen Aktivitäten startet. Dem Opfer bleibt dann kaum noch Zeit, darauf zu reagieren.

Mögliche Abwehrmaßnahmen gegen Initial Access Broker

Initial Access Broker sind zwar hoch spezialisiert, nutzen aber im Grunde die klassischen Taktiken, Verfahren und Methoden, um unerlaubten Zugang zu Systemen oder Netzwerken zu erlangen. Daher schützen auch die üblichen Maßnahmen gegen unbefugten Zugang wie die konsequente Verwendung der Multi-Faktor-Authentifizierung (MFA), das zeitnahe Schließen von Schwachstellen durch die Installation von verfügbaren Updates und Patches, das Deaktivieren exponierter Zugangsmöglichkeiten, strenge Passwortvorgaben, die Umsetzung von Zero-Trust-Ansätzen, Netzwerksegmentierung, die Implementierung von Intrusion-Detection- und Intrusion-Prevention-Systemen (IDS und IPS), regelmäßige Sicherheitsaudits und Penetrationstests, die Verwendung aktueller Anti-Malware-Lösungen und die Sensibilisierung und Schulung von Mitarbeitern. Zudem können Honeypots eingesetzt werden, um Angreifer vom eigentlichen Ziel abzulenken und Eindringversuche durch Initial Access Broker möglichst früh zu erkennen.

Darüber hinaus sind Überwachungsmaßnahmen notwendig, um zu verhindern, dass erfolgreiche Zugangsversuche oder das Einrichten von persistenten Zugangsmöglichkeiten durch Initial Access Broker über längere Zeit unbemerkt bleiben. Denn solange der Zugang noch nicht an Cyberkriminelle weiterverkauft worden ist, wurden in der Regel auch noch keine destruktiven Aktivitäten gestartet und der eigentliche Cyberangriff hat noch nicht begonnen. Gelingt es, unbefugten Zugang durch Initial Access Broker frühzeitig zu erkennen, bleibt unter Umständen noch Zeit, dem Initial Access Broker die Zugangsmöglichkeiten wieder zu entziehen und von den nachfolgenden Aktivitäten der Cyberkriminellen verschont zu bleiben. Maßnahmen für eine solche Früherkennung sind die kontinuierliche Überwachung des Netzwerks und des Datenverkehrs auf ungewöhnliche Netzwerkaktivitäten, die Überwachung auf ungewöhnliche Logins, die Prüfung auf neu angelegte Accounts mit administrativen Rechten, regelmäßige Log-Analysen zur Erkennung von Anomalien und kontinuierliches Darknet-Monitoring zur frühzeitigen Erkennung geleakter und zum Kauf angebotener Zugangsdaten.

(ID:50539604)