An vorderster Front: Die Entschlüsselung der Taktiken und Techniken chinesischer Bedrohungsakteure

Mit COVID ist es zu vielen Veränderungen gekommen. Für Kunden hat sich die Welt verändert. Von einem Tag auf den anderen mussten alle zu Hause bleiben und versuchen, von dort aus ihre Arbeit fortzusetzen. Viele Unternehmen mussten ihre Netzwerke komplett neu konfigurieren, die Mitarbeitenden haben ihre Arbeitsweisen geändert, und natürlich haben Bedrohungsakteure auf all das reagiert.

Als zum Beispiel Richtlinien für das Arbeiten von zu Hause aus eingeführt wurden, mussten viele Unternehmen den Zugriff auf einige sehr sensible Systeme und Ressourcen, die normalerweise außerhalb der Firmenbüros nicht verfügbar waren, von vielen verschiedenen Standorten aus ermöglichen. Wir haben erlebt, wie Bedrohungsakteure versucht haben, sich unter die Belegschaft zu mischen, indem sie sich als Remotearbeitskräfte ausgaben, und sich Zugang zu diesen Ressourcen zu verschafften.

Zu Beginn von COVID mussten schnell Zugriffsrichtlinien für Unternehmensumgebungen festgelegt werden, und manchmal blieb keine Zeit, um nach bewährten Verfahren zu suchen und diese zu prüfen. Da viele Unternehmen diese Richtlinien seit ihrer Einführung nicht überarbeitet haben, versuchen Angreifer heute, Fehlkonfigurationen und Schwachstellen zu finden und auszunutzen.

Das Einschleusen von Malware auf Desktops hat an Attraktivität verloren. Jetzt geht es darum, an Passwörter und Token zu gelangen, die den Zugang zu sensiblen Systemen ermöglichen, und zwar auf die gleiche Weise, wie es Remotearbeitskräfte tun.

Ich weiß nicht, ob die Bedrohungsakteure von zu Hause aus operierten, aber wir verfügen über Daten, die Aufschluss darüber geben, wie sich die Abschaltungen während COVID auf ihre Aktivitäten in den Städten auswirkten, in denen sie lebten. Unabhängig davon, wo sie ihrer Tätigkeit nachgingen, war ihr Leben wie das aller anderen eingeschränkt.

Manchmal konnten wir die Auswirkungen der stadtweiten Ausfälle an der geringeren Aktivität ihrer Computer ablesen. Es war sehr interessant, die Auswirkungen all dieser bezirksweiten Ausfälle in unseren Daten zu sehen.

Dazu habe ich ein sehr gutes Beispiel: einen der Bedrohungsakteure, die wir beobachten, Nylon Typhoon. Microsoft ging im Dezember 2021 gegen diese Gruppe vor und setzte die Infrastruktur außer Betrieb, die für Angriffe in Europa, Lateinamerika und Zentralamerika genutzt wurde.

Wir gehen davon aus, dass es sich bei einigen Aktionen der Täter wahrscheinlich um nachrichtendienstliche Aktivitäten handelte, die darauf abzielten, Informationen über Partner zu sammeln, die an Chinas "Belt and Road Initiative" ("Neue Seidenstraße") für Infrastrukturprojekte der chinesischen Regierung auf der ganzen Welt beteiligt sind. Wir wissen, dass chinesische staatlich unterstützte Bedrohungsakteure sowohl traditionelle Spionage als auch Wirtschaftsspionage betreiben, und wir gehen davon aus, dass sich besagte Aktivitäten wahrscheinlich auf beide Bereiche erstreckten.

Wir sind uns dessen nicht hundertprozentig sicher, weil es keine eindeutigen Beweise gibt. Nach 15 Jahren kann ich aus Erfahrung sagen, dass es wirklich schwierig ist, den entscheidenden Beweis zu finden. Aber wir können Informationen analysieren, den Kontext berücksichtigen und sagen: "Wir halten es mit diesem und jenen Konfidenzniveau für wahrscheinlich, dass es aus diesem und jenem Grund passiert ist."

Einer der größten Trends ist die Verlagerung des Schwerpunkts von den Endpunkten der Benutzer und maßgeschneiderter Malware hin zu Akteuren, die wirklich am Edge agieren und ihre Ressourcen auf die Ausnutzung von Edgegeräten und die Aufrechterhaltung der Persistenz konzentrieren. Diese Geräte sind attraktiv, weil ein Angreifer, der einmal Zugang zu ihnen hat, diesen sehr lange behalten kann.

Einige Gruppen haben sich mit diesen Geräten beeindruckend intensiv befasst. Sie wissen, wie ihre Firmware funktioniert. Sie kennen die Schwachstellen jedes Geräts und wissen, dass viele Geräte keinen Virenschutz oder keine detaillierte Protokollierung unterstützen.

Natürlich wissen Bedrohungsakteure auch, dass Instrumente wie VPNs mittlerweile Schlüssel zum Königreich sind. Da Unternehmen immer mehr Sicherheitsebenen wie Token, Multi-Faktor-Authentifizierung (MFA) und Zugriffsrichtlinien einführen, werden die Angreifer immer raffinierter darin, Schutzmaßnahmen zu umgehen und zu überwinden.

Ich denke, dass viele Akteure erkannt haben, dass sie, wenn sie in der Lage sind, eine langfristige Persistenz über ein Instrument wie ein VPN aufrechtzuerhalten, nicht wirklich irgendwo Malware installieren müssen. Sie können sich einfach selbst Zugriffsrechte gewähren, die es ihnen ermöglichen, sich als beliebiger Benutzer anzumelden.

Durch die Kompromittierung dieser Edgegeräte verschaffen sie sich im Wesentlichen einen "Gottesstatus" im Netzwerk.

Wir beobachten auch einen Trend, bei dem Akteure Shodan, Fofa oder andere Datenbanken nutzen, die das Internet scannen, Geräte katalogisieren und verschiedene Patch-Level identifizieren.

Wir beobachten außerdem, dass Akteure selbst große Teile des Internets scannen – manchmal auf der Grundlage bereits existierender Ziellisten – und nach ausnutzbaren Objekten suchen. Wenn sie etwas finden, führen sie einen weiteren Scan durch, um das Gerät konkret auszunutzen, und kehren später zurück, um sich Zugang zum Netzwerk zu verschaffen.

Beides trifft zu. Es hängt vom Akteur ab. Manche Akteure sind für ein bestimmtes Land zuständig. Das ist ihr Ziel, also interessieren sie sich nur für die Geräte in diesem Land. Andere Akteure haben funktionale Zielbereiche, d. h. sie konzentrieren sich auf bestimmte Branchen wie Finanzen, Energie oder Fertigung. Sie haben über mehrere Jahre hinweg eine Zielliste von Unternehmen erstellt, die für sie von Interesse sind, und diese Akteure wissen genau, welche Geräte und Software ihre Zielgruppen verwenden. So beobachten wir etwa, dass einige Akteure Zielunternehmen auf einer vordefinierten Zielliste scannen, um herauszufinden, ob sie Patches für eine bestimmte Sicherheitslücke installiert haben.

Bedrohungsakteure können sehr zielgerichtet, methodisch und präzise vorgehen, manchmal haben sie aber auch einfach nur Glück. Wir dürfen nicht vergessen, dass es sich um Menschen handelt. Wenn sie ihre Scans durchführen oder Daten mit einem kommerziellen Produkt abgreifen, haben sie manchmal einfach Glück und erhalten auf Anhieb die richtigen Informationen, um ihre Operation zu starten.

Das ist sicherlich der Fall. Aber eine gute Verteidigung braucht mehr als Patches. Die effektivste Lösung klingt einfach, ist aber in der Praxis sehr schwierig. Organisationen müssen ihre Geräte, die Zugang zum Internet haben, kennen und inventarisieren. Sie müssen wissen, wie ihre Netzwerkperimeter aussehen, und wir wissen, dass dies in hybriden Umgebungen mit Geräten in der Cloud und vor Ort besonders schwierig ist.

Die Geräteverwaltung ist keine leichte Aufgabe, und ich möchte auch nicht so tun, als ob sie das wäre, aber die Geräte im eigenen Netzwerk zu kennen – und die Patch-Level für jedes einzelne – ist der erste Schritt, den man machen kann.

Sobald man weiß, was man hat, kann man die Protokollierungs- und Telemetriefunktionen für diese Geräte erweitern. Achten Sie auf die Granularität der Protokolle. Diese Geräte sind schwierig zu schützen. Der beste Weg, ein Netzwerk zu schützen, besteht darin, diese Geräte zu protokollieren und nach Anomalien zu suchen.

Ich wünschte, ich hätte eine Kristallkugel, um zu wissen, was die chinesische Regierung vorhat. Leider habe ich keine. Aber was wir sehen können, ist wahrscheinlich ein Appetit auf Zugang zu Informationen.

Diesen Appetit haben alle Länder.

Auch wir schätzen unsere Informationen. Wir schätzen unsere Daten.

Judy ist unsere Expertin für die "Belt and Road Initiative" ("Neue Seidenstraße") und geopolitische Fragen. Wir verlassen uns auf ihr Wissen, wenn wir uns mit Trends beschäftigen, vor allem was Ziele angeht. Manchmal taucht ein neues Ziel auf, das irgendwie nicht ins Bild passt. Es passt nicht zu dem, was die Akteure vorher gemacht haben, und dann gehen wir damit zu Judy, die uns sagt: "Oh, in diesem Land findet ein wichtiges Geschäftstreffen statt" oder "Es finden gerade Verhandlungen über den Bau einer neuen Fabrik an diesem Ort statt."

Durch Judy erhalten wir wertvolle – wesentliche – Informationen darüber, warum Bedrohungsakteure tun, was sie tun. Wir alle wissen, wie man Bing Translate benutzt, und wir alle wissen, wie man nach Nachrichtenmeldungen sucht, aber wenn etwas keinen Sinn ergibt, kann Judy uns sagen: "Nun, diese Übersetzung bedeutet eigentlich dies", und das kann einen entscheidenden Unterschied machen.

Um chinesischen Bedrohungsakteuren auf die Spur zu kommen, braucht man kulturelles Wissen darüber, wie die chinesische Regierung strukturiert ist und wie ihre Unternehmen und Institutionen funktionieren. Judys Arbeit ermöglicht es uns, die Strukturen dieser Organisationen zu entwirren und zu verstehen, wie sie funktionieren, wie sie Geld verdienen und wie sie mit der chinesischen Regierung interagieren.

Wie Sarah schon sagte, spielt Kommunikation eine große Rolle. Wir sind ständig im Teams-Chat. Wir tauschen immer die Erkenntnisse aus, die wir aus Telemetriedaten gewonnen haben und die uns geholfen haben, eine mögliche Schlussfolgerung zu ziehen.

Was mein Trick ist? Ich bin viel im Internet und lese viel. Aber im Ernst: Ich glaube, eines der nützlichsten Dinge ist einfach zu wissen, wie man verschiedene Suchmaschinen benutzt.

Ich arbeite gut mit Bing, aber auch mit Baidu und Yandex.

Das liegt daran, dass verschiedene Suchmaschinen unterschiedliche Ergebnisse liefern. Ich mache nichts Besonderes, aber ich weiß, dass ich verschiedene Ergebnisse aus verschiedenen Quellen suchen muss, um die Daten auf dieser Grundlage analysieren zu können.

Jeder im Team ist sehr kompetent. Jeder hat Superkräfte – man muss nur wissen, wen man fragen muss. Und es ist wunderbar, dass wir in einem Team arbeiten, in dem es jedem leicht fällt, dem anderen Fragen zu stellen, oder? Wir sagen immer, dass es keine dummen Fragen gibt.

Dieser Ort lebt von dummen Fragen.

Jetzt ist der ideale Zeitpunkt, um in die IT-Sicherheit einzusteigen. Als ich anfing, gab es nicht viele Ausbildungsmöglichkeiten, Ressourcen oder Möglichkeiten, das Thema zu vertiefen. Jetzt gibt es Bachelor- und Masterstudiengänge! Jetzt gibt es viele Möglichkeiten, in den Beruf einzusteigen. Ja, einige Wege können viel Geld kosten, aber es gibt auch kostengünstigere und kostenlose Möglichkeiten.

Eine kostenlose Ressource für Sicherheitsschulungen wurde von Simeon Kakpovi und Greg Schloemer, unseren Kollegen bei Microsoft Threat Intelligence, entwickelt. Dieses Programm namens KC7macht den Einstieg in die IT-Sicherheit, das Verständnis von Netzwerk- und Host-Ereignissen und das Aufspüren von Angreifern für alle zugänglich.

Jetzt ist es auch möglich, sich in alle möglichen anderen Themen einzuarbeiten. Als ich anfing, musste man in einem Unternehmen mit einem Millionenbudget arbeiten, um sich diese Instrumente leisten zu können. Das war für viele eine Einstiegshürde. Aber heute kann jeder Malware-Samples analysieren. Früher war es schwierig, Malware-Samples und Paketerfassungen zu finden. Aber diese Hürden werden immer kleiner. Heute gibt es unzählige kostenlose Onlinetools und -ressourcen, mit denen man sich in seinem eigenen Tempo selbst weiterbilden kann.

Mein Rat ist, sich eine Nische zu suchen, die einen sehr interessiert. Möchten Sie Malware-Forschung betreiben? Digitale Forensik? Bedrohungsanalyse? Konzentrieren Sie sich auf Ihre bevorzugten Themen und nutzen Sie die öffentlich zugänglichen Ressourcen, um so viel wie möglich zu lernen.

Das Wichtigste ist, neugierig zu sein, nicht wahr? Neben der Neugier muss man gut mit anderen zusammenarbeiten können. Man darf nie vergessen, dass es sich um einen Mannschaftssport handelt – niemand kann Cybersicherheit alleine bewältigen.

Teamfähigkeit ist wichtig. Es ist wichtig, neugierig und lernbereit zu sein. Man muss gerne Fragen stellen und nach Wegen suchen, um mit seinen Teamkollegen zusammenzuarbeiten.

Das ist definitiv so. Ich möchte betonen, dass Microsoft Threat Intelligence mit vielen Partner-Teams bei Microsoft zusammenarbeitet. Um zu verstehen, was Bedrohungsakteure tun und warum sie es tun, sind wir in hohem Maße auf die Expertise unserer Kolleginnen und Kollegen angewiesen. Ohne sie wäre unsere Arbeit nicht möglich.