Die vier Phasen eines Infostealer-Angriffs.

Wie läuft ein Angriff auf ein Unternehmen mit Hilfe eines Infostealers ab? Die Untersuchung von Beispielen wie Uber und EA Games zeigt einen vierstufigen Plan, den Angreifer nutzen, um ein Unternehmen ins Visier zu nehmen.

1. Die Infektion

Der erste Schritt des Angriffs ist noch kein Teil des aktiven Angriffs. Vertreiber von Infostealer-Malware versuchen, so viele Geräte wie möglich mit der Schadsoftware zu infizieren. Diese Malware, die Zugangsdaten und Session-Cookies in großem Stil stiehlt, ist oft in illegalen Downloads oder Phishing-E-Mails versteckt. Das Ziel dieser Angreifer? Ganz einfach: so viele Geräte wie möglich zu infizieren, um davon zu profitieren. Wie das geschieht: siehe Schritt 2.

Bei der Infektion von Geräten sind beruflich genutzte Geräte naturgemäß am wertvollsten. Aber auch private Geräte können nützlich sein, insbesondere wenn darauf ohnehin geschäftliche Aktivitäten stattfinden. Wie üblich ist es schließlich, dass Menschen ihr privates Gerät nutzen, um sich in ihre geschäftlichen Systeme einzuloggen? Der Angriff auf Uber beispielsweise begann damit, dass das private Gerät eines externen Mitarbeiters mit Malware infiziert wurde.

‍

2. Der Verkauf

Vertreiber von Infostealer-Malware gehen selten selbst zum Angriff über. Ihr Geschäftsmodell besteht darin, so viele Geräte wie möglich zu infizieren und diese dann erfolgreich zu monetarisieren. Genau das ist in den Beispielen von Uber und EA Games passiert.

Diese Transaktionen finden auf geschlossenen Marktplätzen statt, zu denen nicht jeder Zugang hat. Hier wird die Kontrolle über das Gerät oder bestimmte Sitzungen zu Preisen von zehn Dollar bis zu tausend Dollar, ganz selten auch bis zu zehntausend Dollar, zum Verkauf angeboten. Im Fall von EA Games wurde beispielsweise bekannt, dass die noch aktive Sitzung des Slack-Kontos für 10 US-Dollar verkauft wurde.

Zum Ersten, zum Zweiten, verkauft! Die Kontrolle über das Konto und/oder das Gerät geht nun auf einen anderen Angreifer über. Dieser Angreifer hat, im Gegensatz zum Malware-Verteiler, das Ziel, die Daten für einen Angriff auszunutzen.

‍

3. Die Tarnung

Infostealer-Malware stattet Hacker effektiv mit einer Tarnung aus, die es ihnen ermöglicht, durch die Vordertür in Organisationen einzudringen. Dies liegt daran, dass die noch aktive Sitzung dem Angreifer erlaubt, sich in die internen Systeme des Unternehmens einzuloggen, als wäre er der Mitarbeiter.

Bei Uber war die Sitzung offenbar nicht mehr gültig oder nicht vorhanden, sodass der Angreifer sich mit nur einem Benutzernamen und Passwort begnügen musste. Der Angreifer nutzte diese Daten für einen MFA-Fatigue-Angriff und betrog das Opfer mit einer Täuschung: Das Opfer erhielt eine SMS, in der der Angreifer vorgab, von der Uber-IT zu sein: „Wir sehen viele Anmeldeversuche in unseren Systemen. Damit sie aufhören, müssen Sie kurz eine dieser Anfragen akzeptieren.“ Dies verschaffte dem Angreifer unter anderem Zugriff auf Google Workspace und Slack.

Bei EA Games gab es jedoch eine aktive Sitzung, die es dem Angreifer ermöglichte, sich direkt bei Slack einzuloggen, als wäre er der Mitarbeiter. Eine ideale Tarnung, wie sich herausstellte. In dieser Rolle kontaktierte der Hacker den IT-Support von EA: „Ich habe mein Handy gestern Abend auf einer Party verloren.“ Für das interne Netzwerk von EA wurde ein neues MFA-Token erstellt, sodass der Angreifer seinen Angriff fortsetzen konnte.

‍

4. Und weiter geht's...

Sobald sich ein Angreifer in den internen Systemen eines Unternehmens befindet, kann er fortfahren. Bei EA Games wurden rund 750 GB an Daten gestohlen, darunter der Quellcode mehrerer Spiele. Bei Uber wird der Schaden laut Staatsanwaltschaft auf mindestens 3 Millionen Dollar geschätzt. Was genau ein Angreifer bezweckt – sei es die Installation von Ransomware oder Spyware oder die Änderung von Dateien –, ist von Angreifer zu Angreifer unterschiedlich. Tatsache bleibt, dass sie in dieser Phase in den Angriff verwickelt sind und Unternehmen verwundbar machen.

Das Fazit ist klar: Infostealer stellen eine hochentwickelte Bedrohung dar. Sie haben auch in den Niederlanden bereits mehrere große Unternehmen erheblich beeinträchtigt. Möchten Sie mehr darüber erfahren, wie wir diese Angriffe frühzeitig erkennen? Hier mehr lesen