Typologie der Angreifer im Internet

Philipp Schaumann - Letzte Ergänzungen Juli 2024

Targeted vs. Opportunistic Attacks

Dieser Artikel beschäftigt sich mit verschiedenen Typen von Angreifern die ihre Opfer im Internet bedrohen. Alle Angreifer fallen in eine von 2 Klassen: die eine Sorte hat es auf bestimmte Ziele (zumeist bestimmte) Firmen abgesehen bei denen es sehr viel zu holen gibt, z.B. sehr wertvolle Daten wie Forschungsunterlagen oder anderes "Intellectual Property", Sachen die es nur bei dieser Firma gibt. Solche Angriffe nennt man targeted Attacks. Dazu gehören auch einige der Angriffe aus politischen Gründen (Hacktivism, siehe weiter unten). Grund für einen solchen Angriff kann aber auch sein, weil ein Konkurrent an Vorabinformationen über ein neues Gerät oder ein neues Patent interessiert ist, oder aber weil ein Investor Unterlagen sucht, die ihm sagen, ob eine feindliche Übernahme lohnenswert sein könnte.

Viele Attack Tracker Brian Krebs hat die vielen spannenden animierten Real-time-Visualisierungsversuche für die ständigen Angriffe im Internet zusammengestellt: Who's Attacking Whom? Realtime Attack Trackers. Brian verlinkt im Artikel auf Attack-Tracker - hier die bereinigte Liste: - Arbor Networks' Digital Attack map, - Kaspersky's Cyberthreat Real-time Map. Aber natürlich sind das extrem vereinfachende Darstellungen für Marketing-Zwecke. Die wirkliche Zuordnung eines Angriffs zu einem Angreifer ist sehr schwierig, ich behandele das unter dem Stichwort Attribution. Was genau in diesen Animationen dargestellt wird, ist mir nicht klar, aber es sieht schön aus. :-)

Solche Angriffe sind sehr schwer abzuwehren und bei ausreichend Resourcen, Zeit und Aufwand kaum zu verhindern. Beispiele sind Angriffe wie wir sie speziell in 2011 gesehen haben, z.B. Stuxnet. Für solche Angriffe werden oft erhebliche Summen investiert, z.B. sog. Zero-Day Vulnerabilities eingekauft, die sehr teuer sein können oder SSL-Zertifikate gefälscht. Selbst wenn eine Organisation technisch perfekt geschützt ist, so gibt es trotzdem immer Möglichkeiten, sich über eine der Formen von Social Engineering, sei es durch gezielt Emails oder auch Telefonanrufe, einen Mitarbeiter zu suchen, der dem Angreifer die Toren öffnet (notfalls durch Erpressung).

Oft beginnen solche Angriffe mit Spearfishing, d.h. gezielten Emails an einzelne Personen, sehr oft zugeschnitten auf deren Interessen und Arbeitsgebiete, scheinbar abgesendet von jemandem aus deren Bekanntenkreis. Diese Informationen sind alle in Facebook oder LinkedIn zu finden. (Spearfishing - Speerfischen ist eine Variation von Phishing, dem Versenden von Emails mit "bösen" Links oder Inhalten an viele Personen). Hier mehr zu Angriffen auf Industrieanalagen. Auch die beginnen meist mit (Spear-)fishing.

Solche targeted Attacks fallen unter die Kategorien Industriespionage, Hacktivisten und Cyber-Sabotage. Wer davon ausgehen muss, Ziel eines solchen Angriffs zu werden, der muss sich darauf einstellen, dass er neben Techniken und Prozessen zur Verhinderung von Angriffen zusätzlich Techniken und Prozessen für die Entdeckung von gelungenen Angriffen benötigt. Dazu gehören z.B. Intrusion Detection und Intrusion Prevention Systeme (IDS, IPS) und vor allem das sog. Security Monitoring, bei dem die verschiedenen Logs die sicherheitsrelevante Informationen enthalten (wie z.B. Firewall-Logs, Proxy-Logs, Logs von misslungenen Anmeldeversuchen) zusammengeführt werden um dort ungewöhnliche Kombinationen von Akitivitäten zu entdecken.

Die meisten von uns werden eher wenig Wahrscheinlichkeit haben, mit solchen targeted Attacks in Kontakt zu kommen, denn nur wenige Ziele sind entsprechend hochkarätig. Wir alle fallen aber in die Kategorie Opportunistic Attacks. Hier sind die Angreifer letztendlich vor allem an Geld interessiert und dafür ist es gleichgültig, von wem dieses Geld (oder die Kreditkarten kommen). Diese Angreifer sind vor allem die Cyber-Kriminellen.

Cyber-Kriminelle sind bei ihren Opfern nicht wählerisch und finden diese zum Teil sogar über Suchmaschinen, wenn sie z.B. gezielt nach Websites suchen, die mit bestimmten veralteten Software-Versionen erstellt wurden und daher leicht mit den fertigen Werkzeugen der Angreifer "geknackt" werden können. Dort installieren sie dann ihre Malware, so dass Besucher dieser Website durch "drive-by" Downloads automatisch infiziert werden (speziell wenn sie nicht die letzten Patches für den Adobe PDF-Reader, Flash Player und ähnliches installiert haben). Genauso wie es den Angreifern egal war, auf was für Websites ihre Schadsoftware platzieren, so ist es ihnen auch weitgehend egal, welche Besucher dieser Websites mit ihren PCs dann Mitglieder der Botnets der Angreifer werden. Hier ein Link zu einer recht guten Übersicht von Imperva über automatisierte Angriffswerkzeuge, wie sie von vielen dieser Angreifer eingesetzt werden.

Gegen solche Angreifer kann man sich relativ leicht schützen, indem man die Grundregeln der sicheren Internet-Nutzung einhält. Die Regel Nr. 1 ist: Software aktuell halten - sowohl für den Heim-PC, wie auch die PHP-Version, das MySQL oder das Wordpress mit denen die Website betrieben wird.

Flame / sKYWIper ist ein gutes Beispiel, dass der gleiche Typus von Angriffssoftware für gezielte Angriffe oder für opportunistische Angriffe eingesetzt wird. Flame / sKYWIper wurde entwickelt für gezielte Angriffe, Trojaner wie Zeus oder SpyEye enhalten sehr ähnliche Funktionalitäten, werden aber für opportunistische Angriffe vor allem durch Cyberkriminelle eingesetzt. Beim Flame / sKYWIper geht es um die gezielte Informationssammlung mit aufwendigen Mitteln, bei Zeus oder SpyEye um Zugriff auf Bankkonten irgendwelcher Bürger.

Die Angreifer haben einen erheblichen Aufwand getrieben und es durch ein ganz neues kryptographisches Verfahren geschafft, sich ein gefälschtes Microsoft-Zertifikat zu basteln, mit dessen Hilfe sie den Windows-Update Service für die Infektionen nützen konnten. Auch dies spricht dafür dass es sich um eine staatliche Spionage-Organisation handelt.