Journalisten zunehmend im Visier Cyber-Krimineller

Staatlich unterstützte Hacker-Gruppen greifen Journalisten an

[datensicherheit.de, 14.07.2022] IT-Sicherheitsexperten von Proofpoint konnten nach eigenen Angaben beobachten, wie verschiedene staatlich unterstützte Hacker-Gruppen Journalisten ins Visier nehmen, um Spionage zu betreiben, Malware zu verbreiten und Netzwerke von Medienorganisationen zu infiltrieren.

Journalisten und Medienorganisationen attraktive Ziele für Cyber-Kriminelle

Journalisten und Medienorganisationen sind demnach attraktive Ziele für Cyber-Kriminelle. Proofpoint-Forscher hätten beobachtet, „dass APT-Cyber-Kriminelle, insbesondere solche, die von einem Staat gesponsert werden oder mit einem Staat verbunden sind, sich routinemäßig als Journalisten oder Medienorganisationen ausgeben oder diese ins Visier nehmen“.

Der Mediensektor und die dort tätigen Personen könnten Türen öffnen, die anderen verschlossen bleiben. „Ein gut getimter, erfolgreicher Angriff auf das E-Mail-Konto eines Journalisten kann Einblicke in sensible, (noch) unveröffentlichte Geschichten und die Identifizierung von Quellen liefern.“

Phishing-Angriffe auf Journalisten oft für Spionagezwecke

Ein kompromittiertes Konto könne dazu verwendet werden, Desinformationen oder staatsfreundliche Propaganda zu verbreiten, Desinformationen in Kriegs- oder Pandemiezeiten zu liefern oder eine politisch aufgeladene Atmosphäre zu beeinflussen.

„Am häufigsten werden Phishing-Angriffe, die auf Journalisten abzielen, für Spionagezwecke genutzt oder um wichtige Einblicke in das Innenleben einer anderen Regierung, eines Unternehmens oder eines anderen Bereichs von staatlicher Bedeutung zu erlangen.“

Weltweite Versuche, Journalisten und Medienpersönlichkeiten anzugreifen oder auszunutzen

Die von Proofpoint seit Anfang 2021 untersuchten Daten zeigten, dass Cyber-Kriminelle weltweit versuchten, Journalisten und Medienpersönlichkeiten in einer Vielzahl von Kampagnen anzugreifen oder auszunutzen, „darunter auch solche, die auf sensible politische Ereignisse in den Vereinigten Staaten abgestimmt sind“.

Einige Kampagnen zielten auf Medien ab, um einen nachrichtendienstlichen Wettbewerbsvorteil zu erlangen, wiederum andere auf Journalisten, welche mit ihrer Berichterstattung ein Regime in ein schlechtes Licht rückten, oder verbreiteten Desinformationen. In ihrem Bericht konzentrierten sich die Proofpoint-Experten auf die Aktivitäten einer Handvoll APT-Akteure (Advanced Persistent Threats), welche nach ihrer Einschätzung mit den staatlichen Interessen Chinas, Nordkoreas, des Irans und der Türkei verbunden seien.

Einige der wesentlichen Ergebnisse der Proofpoint-Untersuchung zu Angriffen auf Journalisten und Medien:

• Medienschaffende seien ein attraktives Ziel, weil sie exklusiven Zugriff auf Informationen und Einblicke in Themen hätten, welche potenziell die Staatssicherheit beeinträchtigen könnten.
• APT-Akteure nähmen regelmäßig Journalisten und Medienorganisationen ins Visier oder gäben sich als solche aus, um ihre staatlich unterstützten Kampagnen voranzubringen.
• Die identifizierten Kampagnen setzten eine Vielzahl von Techniken ein, von der Nutzung von „Web Beacons“ bis hin zum Versand von Malware, um einen ersten Zugang zum Netzwerk der Zielperson oder -organisation zu erhalten.
• Der Fokus von APTs auf die Medien werde wahrscheinlich niemals nachlassen, weshalb es für Journalisten wichtig sei, sich selbst, ihre Quellen und die Integrität ihrer Informationen zu schützen.
• Von China, Nordkorea, dem Iran und der Türkei unterstützte APT-Gruppen hätten es auf die beruflichen E-Mails und Social-Media-Konten von Journalisten abgesehen, um an sensible Informationen zu gelangen und sich weiteren Zugang zu deren Organisationen zu verschaffen.
• Verschiedene mit dem Iran verbündete Cyber-Kriminelle wie „Charming Kitten“ (TA453) und „Tortoiseshell“ (TA456) hätten sich als Journalisten von Publikationen wie „The Guardian“, „The Sun“, „Fox News“ und „The Metro“ ausgegeben. Die Angriffe richteten sich auf Akademiker und Außenpolitikexperten weltweit, um Zugang zu sensiblen Informationen zu erhalten.
• Die mit China verbündete Gruppe „TA412“ habe ihre Aktivitäten nur wenige Tage vor dem Angriff auf das US-Kapitol am 6. Januar 2021 verstärkt. „Proofpoint-Forscher beobachteten in dieser Zeit eine Konzentration der Gruppe auf Washington D.C. und Korrespondenten des Weißen Hauses.“ Dieselbe Gruppe habe Anfang 2022 ihre Angriffe wieder aufgenommen und sich auf Reporter konzentriert, „die über das Engagement der USA und Europas im Krieg Russlands gegen die Ukraine berichten“.
• Die nordkoreanische „Lazarus“-Gruppe (TA404) habe ein auf Stellenangebote bezogenes US-Medienunternehmen mit einer Phishing-Kampagne angegriffen. „Dieser Angriff erfolgte, nachdem die Organisation einen Artikel veröffentlicht hatte, in dem der nordkoreanische Führer Kim Jong Un kritisiert wurde – ein bekanntes Motiv für Aktionen von mit Nordkorea verbündeten APT-Akteuren.“
• Mit dem türkischen Staat verbündete Cyber-Kriminelle hätten ihre Bemühungen darauf konzentriert, sich Zugang zu den Social-Media-Konten von Journalisten zu verschaffen – „wahrscheinlich mit dem Ziel, Pro-Erdogan-Propaganda zu verbreiten und weitere Kontakte zu knüpfen“.

Weitere Informationen zum Thema:

proofpoint, 14.07.2022
Above the Fold and in Your Inbox: Tracing State-Aligned Activity Targeting Journalists, Media