Cyberkriminelle davon abhalten, Sicherheitstools zu missbrauchen

Am 31. März 2023 hat das Bezirksgericht für den östlichen Regierungsbezirk von New York eine gerichtliche Verfügung erlassen, die es Microsoft, Fortra und Health-ISAC erlaubt, die von Kriminellen für Angriffe verwendete böswillige Infrastruktur auszuheben. Dadurch konnten wir die relevanten Internetdienstanbieter (ISPs) und Computer Emergency Readiness-Teams (CERTs) informieren, die dabei geholfen haben, die Infrastruktur offline zu schalten und so die Verbindung zwischen den kriminellen Betreibern und den infizierten Computern der Opfer effektiv zu trennen.

Die Untersuchungen von Fortra und Microsoft umfassten Erkennung, Analyse, Telemetrie sowie Reverse Engineering. Um unsere Rechtssache zu stützen, haben wir weitere Daten und Erkenntnisse aus einem globalen Netzwerk von Partnern einbezogen, darunter Health-ISAC, das Fortra Cyber Intelligence Team und das Microsoft Threat Intelligence-Team. Wir haben unsere Bemühungen nur darauf konzentriert, geknackte Legacy-Kopien von Cobalt Strike und kompromittierte Microsoft-Software zu unterbrechen.

Microsoft baut auch eine rechtliche Methode aus, mit der Schadsoftware und nationalstaatliche Kampagnen erfolgreich unterbrochen werden, die den Missbrauch von Sicherheitstools zum Ziel haben, die von einer Vielzahl von Cyberkriminellen verwendet werden. Die Unterbrechung von geknackten Legacy-Kopien von Cobalt Strike verhindert in beträchtlichem Ausmaß die Monetarisierung dieser illegalen Kopien. Ihr Einsatz in Cyberangriffen wird ausgebremst, und Kriminelle müssen ihre Taktik überdenken und ändern. Die aktuelle Aktion umfasst auch Urheberrechtsansprüche gegen die böswillige Nutzung des Softwarecodes von Microsoft und Fortra, der manipuliert und missbraucht wird, um anderen zu schaden.

Microsoft, Fortra und Health-ISAC setzen die Bemühungen für mehr Sicherheit im Ökosystem unerbittlich fort. Außerdem arbeiten wir mit der FBI Cyber Division, der National Cyber Investigative Joint Task Force (NCIJTF) und dem European Cybercrime Centre (EC3) von Europol an diesem Fall. Diese Maßnahmen haben Einfluss auf die unmittelbaren Operationen der Kriminellen. Wir sind uns jedoch bewusst, dass sie versuchen werden, ihre Anstrengungen wieder aufzunehmen. Unsere Aufgabe ist also nicht mit einem Mal erledigt. Durch fortlaufende legale und technische Maßnahmen setzen Microsoft, Fortra und Health-ISAC gemeinsam mit Partnern die Überwachung fort und werden aktiv, um weitere kriminelle Operationen wie die Verwendung geknackter Cobalt Strike-Kopien zu behindern.

Fortra widmet dem Kampf gegen die unrechtmäßige Nutzung der eigenen Software und geknackter Cobalt Strike-Kopien erhebliche Computer- und Personalressourcen und hilft Kunden dabei festzustellen, ob ihre Softwarelizenzen kompromittiert wurden. Sicherheitsfachkräfte, die Cobalt Strike-Lizenzen rechtmäßig erwerben, werden von Fortra überprüft und müssen sich an Nutzungsbeschränkungen und Exportkontrollen halten. Fortra arbeitet aktiv mit Social Media- und Dateifreigabesites zusammen, um geknackte Cobalt Strike-Kopien zu entfernen, wenn sie in deren Webressourcen auftauchen. Kriminelle haben ihre Techniken angepasst, daher hat auch Fortra die Sicherheitskontrollen in der Cobalt Strike-Software verändert, um die zum Knacken älterer Cobalt Strike-Versionen genutzten Methoden auszuschließen.

Bereits seit 2008 versucht das DCU von Microsoft die Ausbreitung von Schadsoftware zu unterbinden, indem zum Schutz von Kunden in zahlreichen Ländern weltweit, in denen entsprechende Gesetze gelten, Zivilklagen eingereicht werden – und diese Bemühungen setzen wir fort. Außerdem arbeiten wir weiterhin zusammen mit ISPs und CERTs daran, Opfer zu finden und zu unterstützen.