Mobile-Menu

Mithilfe von Infostealern MFA-Fail ermöglicht riesigen Daten­diebstahl bei 50 Unternehmen

Von Melanie Staudacher 3 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH

Ein einzelner Cyberakteur griff 50 große Unternehmen auf der ganzen Welt an. Insgesamt konnte er rund 3,78 TB an Daten stehlen. Die Opfer haben eins gemeinsam: Sie hatten keine Multifaktor-Authentifizierung.

Ein iranischer Cyberangreifer konnte über einen unbestimmten Zeitraum hinweg in 50 Unternehmen einbrechen, da diese keine Mulifaktor-Authentifizierung hatten. (Bild: oz - stock.adobe.com)
Ein iranischer Cyberangreifer konnte über einen unbestimmten Zeitraum hinweg in 50 Unternehmen einbrechen, da diese keine Mulifaktor-Authentifizierung hatten.
(Bild: oz - stock.adobe.com)

Ein Cyberkrimineller, der unter den Namen „Zestix“ und „Sentap“ agiert, hat erfolgreich über 50 große Unternehmen weltweit angegriffen. Dafür musste er allerdings keine Sicherheitslücken ausnutzen oder Sicherheitsmechanismen umgehen. Er musste sich lediglich bei den Cloud-Diensten seiner Opfer einloggen. Die gültigen Zugangsdaten dafür erhielt er aus Infostealer-Infektionen, die self-hosting Filesharing-Dienste, darunter Sharefile, Nextcloud und Owncloud, betrafen.

Wer sind die Opfer von Zestix?

Aufgedeckt hat die Angriffswelle das Threat-Intelligence-Team von Hudson Rock. Dessen Analyse nach hat Zestix folgende Unternehmen mithilfe der von den Infostealer gestohlenen Zugangsdaten angegriffen:

Unternehmen (Land) Datenvolumen Gestohlene Daten
Pickett & Associates (USA) 139,1 GB Kritische Versorgungspläne
Maida Health (Brasilien) 2,3 TB Gesundheitsdaten der Militärpolizei
Intecro Robotics (Türkei) 11,5 GB Verteidigungs- und Roboterdaten
Iberia Airlines (Spanien) 77 GB Flugzeughandbücher & Wartungspläne
K3G Solutions (Brasilien) 192 GB ISP-Netzwerktopologie
CRRC MA (Vereinigte Staaten) Kompletter Server Massenverkehrsschemas & Sicherheitsdaten
Burris Macomber (USA) 18,3 GB Mercedes-Benz Rechtsstreit & Kundendaten
ThermoEx (Thailand) 170 GB Entwürfe für industrielle Wärmetauscher
CiberC (Kolumbien) 103 GB Regierungskontrakt-Daten
GreenBills (USA) 39,5 GB Patienteninformationen
Total ETO (USA) 28,95 GB ERP-Quellcode & Kundendaten
Hydratec (USA) 81 GB CAD-Software für den Brandschutz
Degewo AG (Deutschland) 5,5 GB Architekturpläne für Wohnbau in Berlin
Voltras (Indonesien) Internes Archiv Finanzdaten & Rechnungen von Fluggesellschaften
IFLUSAC (Peru) 22 GB Ingenieurpläne & Gehaltsabrechnung
Aion Law Partners (Kanada) 38 GB rechtliche/finanzielle/immigrationsdokumente
NMCV Business (USA) 47 GB Medizinische Aufzeichnungen & Patienteninformationen
PT Pasifik Satelit (PSN) (Indonesien) 92 GB Satelliten-/Luftfahrt-Daten
VYTL-SFT (Verahealth) (USA) 3,65 GB Klinische Notizen & Patienten-SSNs

Wie gelangte Zestix an die Zugangsdaten?

Recherchen von Darksignal erläutern, dass hinter Zestix ein einzelner iranischer Be­droh­ungsakteur steckt. Er sei seit mindestens 2021 aktiv und nutze meist ungeschützte Infra­struk­turen von Drittanbietern aus, um seine Opfer anzugreifen. Zestix weise außerdem Verbin­dun­gen zur Hackergruppe „Funksec“ auf und agiere als Initial Access Broker. Im aktuellen Fall hat der Akteur Hudson Rock zufolge die Daten, mit denen er in die Unternehmen eingebrochen ist, nicht weiterverkauft, sondern selbst genutzt.

Owncloud, einer der Cloud-Anbieter, der Opfer der Infstealer-Infektion wurde, hat Anfang Januar in einem Statement die Erkenntnisse von Hudson Rock bestätigt. Owncloud zufolge wurde seine Plattform weder gehackt noch kompromittiert. Stattdessen erfolgte der un­be­rechtigte Zugriff über eine andere Angriffskette: Der Akteur erlangte mithilfe von Infostealer-Malware wie „RedLine“, „Lumma“ oder „Vidar“, Zugangsdaten. Diese Malware war auf Geräten der Owncloud-Mitarbeiter installiert. Damit konnte der Akteur die Zugangsdaten dieser Mit­ar­beitenden abgreifen, um sich später selbst in Owncloud-Konten einzuloggen. Dies gelang ihm, da bei den Mitarbeiterkonten die Multifaktor-Authentifizierung (MFA) nicht aktiviert war. Aus diesem Grund empfiehlt der Hersteller seinen Kunden dringend, die MFA zu aktivieren, um sich vor Angriffen zu schützen. Zudem sollten Administratoren alle Passwörter für alle Nutzer zu­rück­setzen und sichere, eindeutige Anmeldeinformationen fordern und alle aktiven Sitzung deaktivieren, um die MFA zu erzwingen.

Sowohl für die Filesharing-Anbieter als auch für die betroffenen Unternehmen kann dieser Vorfall massive finanzielle Schäden und Reputationsverluste nach sich ziehen. Die fehlende Sicherheitsstufe durch die MFA hat es dem Angreifer erheblich erleichtert, die Unternehmen anzugreifen. Es ist daher essenziell, dass Unternehmen nicht nur eine formelle Sicher­heits­str­ategie entwickeln, sondern auch eine Kultur der Cybersicherheit etablieren. Dies bedeutet, dass Sicherheitsmaßnahmen wie die Verwendung sicherer Passwörter, die konsequente Imple­men­tierung von MFA und eine allgemeine Wachsamkeit zur Selbstverständlichkeit werden müssen.

(ID:50670988)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte