Cyberangriffe unter falscher Flagge täuschen Sicherheitsteams und Opfer

Kaspersky überprüft Indikatoren für die Zuschreibung von Cyberangriffen zu bestimmten Akteuren

[datensicherheit.de, 06.10.2016] Zielgerichtete Cyberangriffe werden teils unter falscher Flagge durchgeführt. Dabei kommen zunehmend diverse Täuschungstechniken wie gefälschte Zeitstempel, Sprachketten oder Malware zum Einsatz, mit denen die Zuschreibung einer Cyberattacke erschwert wird. Operationen können so unter dem Deckmantel nicht existierender Akteure durchgeführt werden. Diese Erkenntnisse gehen aus einer aktuellen Analyse von Kaspersky Lab [1] hervor.

Wachsende Komplexität und Unsicherheit bei der Zuordnung von Cyberbedrohungen

Wer tatsächlich hinter einer Cyberattacke steckt, ist eine Frage, die beantwortet werden will; auch wenn es schwer bis unmöglich ist, exakt zu bestimmen, wer die Täter sind. Um die wachsende Komplexität und die Unsicherheiten bei der Zuordnung heutiger Cyberbedrohungen zu demonstrieren, haben Experten von Kaspersky Lab untersucht, wie fortschrittliche Bedrohungsakteure Operationen unter falscher Flagge durchführen, um Opfer und Sicherheitsexperten zu täuschen.

„Die Zuordnung zielgerichteter Angriffe ist kompliziert, unzuverlässig und subjektiv. Bedrohungsakteure versuchen zunehmend, gängige Indikatoren zu manipulieren, um Spuren zu verwischen“, erklärt Brian Bartholomew, Sicherheitsforscher bei Kaspersky Lab. „Wir glauben daher, dass eine genaue Zuordnung oftmals nahezu unmöglich ist.“

Indikator Zeitstempel

Malware-Dateien enthalten Zeitstempel, die einen Hinweis auf das Erstellungsdatum liefern. Werden genug verwandte Malware-Samples gesammelt, können Rückschlüsse auf die Arbeitszeiten der Entwickler gezogen werden und damit auf die Zeitzone, in der sie arbeiten. Laut des Kaspersky Labs sind Zeitstempel allerdings sehr einfach zu fälschen, beispielsweise um eine falsche Spur zu legen.

Indikator Sprache

Malware-Dateien enthalten oft Zeichenketten und Debug-Pfade. Die dort verwendete Sprache beziehungsweise das Niveau der Sprache könnten Hinweise auf den Autor des Codes geben. Auch enthalten Debug-Pfade teils Nutzer- sowie interne Projekt- und Kampagnennamen. Bei Phishing-Dokumenten können zudem Metadaten entnommen werden, die Statusinformationen über den Computer des Autors enthalten.

Allerdings können Angreifer diese Hinweise leicht manipulieren und für Verwirrung sorgen. Ein Beispiel: die Malware des Bedrohungsakteurs ,Cloud Atlas‘ [2] enthielt falsche Sprachhinweise, arabische Zeichen bei der BlackBerry-Version, Hindi-Zeichen in der Android-Version sowie die Wörter ,JohnClerk‘ im Projektpfad der iOS-Version. Dennoch hatten viele eine Gruppe mit osteuropäischen Verbindungen im Verdacht. Der Bedrohungsakteur ,Wild Neutron‘ [3] nutzte sowohl rumänische als auch russische Sprachketten, um für Verwirrung zu sorgen.

Indikator Infrastruktur

Eine Command-and-Control-Server (C&C)-Infrastruktur kann teuer und schwer zu unterhalten sein. Die Folge: auch finanziell gut ausgestattete Akteure greifen gerne auf bestehende C&C-Systeme oder Phishing-Infrastrukturen zurück. Backend-Verbindungen können ebenfalls einen flüchtigen Blick auf die Angreifer geben, wenn diese bei den durchgeführten Operationen nicht adäquat anonymisiert werden. Allerdings können auch so falsche Fährten gelegt werden, geschehen bei ,Cloud Atlas‘ [2], wo zur Täuschung südkoreanische IP-Adressen verwendet wurden.

Indikator verwendete Tools

Angreifer setzen auf öffentliche, aber auch auf selbst entwickelte Tools wie Backdoors oder Exploits, die sie wie ihre Augäpfel hüten, Forschern jedoch Hinweise auf deren Ursprung geben könnten. Das machte sich der Bedrohungsakteur ,Turla‘ [4] zu Nutze, indem die im Opfersystem eingeschleuste Malware ein seltenes Exemplar einer chinesischen Malware installierte, die mit einem in Peking lokalisierten System kommunizierte. Während das Vorfalluntersuchungsteam der falschen Fährte nachging, deinstallierte sich die eigentliche Malware im Hintergrund und verwischte alle Spuren auf den Opfersystemen.

Indikator Opfer

Die von den Angreifern attackierten Zielobjekte werden für Interpretationen und Analysen verwendet. Die Liste der Opfer im Fall ,Wild Neutron‘ [3] war jedoch so heterogen, dass sie bei möglichen Zuordnungsversuchen nur für Verwirrung sorgte.

Darüber hinaus nutzen manche Bedrohungsakteure das öffentliche Verlangen nach einer Verbindung von Angreifern und ihren Opfer aus, indem sie unter dem Deckmantel einer – oft nicht existenten – Hacktivisten-Gruppierung operieren. So versuchte sich die ,Lazarus‘-Gruppe [5], als die Hacktivisten-Gruppe ,Guardians of Peace‘ zu tarnen, als sie im Jahr 2014 Sony Pictures Entertainment attackierte. Bei dem unter dem Namen ,Sofacy‘ bekannten Bedrohungsakteur wird von vielen eine ähnliche Taktik vermutet, weil er sich als unterschiedliche Hacktivisten-Gruppen in Szene setzte.

Auch gab es Fälle, bei denen Angreifer versuchten, einen anderen Bedrohungsakteur mit einer Attacke in Verbindung zu bringen. Dies geschah beim bisher nicht zugeordneten Akteur ,TigerMilk‘ [6], der seine verwendeten Backdoors mit demselben gestohlenen Zertifikat signierte, das auch bei Stuxnet verwendet wurde.

Weitere Informationen zum Thema:

SECURELIST.COM
Report „Wave your false flags!“

[1] https://securelist.com/analysis/publications/76273/wave-your-false-flags/

[2] https://de.securelist.com/blog/analysen/58714/cloud-atlas-apt-roter-oktober-ist-wieder-im-spiel/

[3] https://de.securelist.com/blog/analysen/68609/wild-neutron-wirtschaftsspionage-bedrohung-kehrt-mit-neuen-tricks-zurck/

[4] https://de.securelist.com/analysis/veroffentlichungen/59356/die-epic-turla-operation-aufklrung-einiger-mysterien-rund-um-snakeuroburos/

[5] https://securelist.com/blog/incidents/73914/operation-blockbuster-revealed/

[6] Ein Bericht über TigerMilk steht Kunden der APT Threat Intelligence Services von Kaspersky Lab zur Verfügung.