Bericht: Über 100 Unternehmen im Visier der Google-Hacker
Von Bernd Kling am 1. März 2010
Die Cyber-Attacke, die als „Operation Aurora“ bekannt wurde, war offenbar umfangreicher als angenommen. Sicherheitsforscher enttarnten bislang 68 Control Server, die übernommene Computer steuerten.
Das spricht für eine wesentlich höhere Zahl von Firmen, die im Visier der Angreifer standen, und unbekannt bleibt die Zahl erfolgreicher Attacken. Während bislang gut 30 angegriffene Unternehmen bekannt waren, schätzt ein heute veröffentlichter Bericht ihre Zahl auf mehr als 100. Die ursprüngliche Schätzung beruhte auf einem einzigen command and control channel. Selbst Intel war von einem Angriff betroffen und hatte ihn zunächst zu verheimlichen versucht.
Die betroffenen Unternehmen hatten nur wenig Chancen gegen diese Angriffe, lautet eine weitere Schlussfolgerung, da sie über Monate vorbereitet und individuell auf die einzelnen Ziele ausgerichtet wurden. Alex Stamos von iSec Partners:
„Die Angreifer bringen Monate auf, um Leute in diesen Unternehmen anzugreifen, und sie schreiben speziell für das einzelne Unternehmen angepasste Malware. Die Malware für jedes dieser Unternehmen wurde angepasst entsprechend den Versionen gefährdeter Software, die bei ihnen laufen sowie den Antivirus-Maßnahmen, die sie einsetzen. Das Problem ist, sich gegen Angriffe auf dieser Ebene zu verteidigen – das ist ein ganz anderes Spiel, als die meisten Unternehmen gewohnt sind.“
Die Angreifer sammelten offenbar hartnäckig Informationen über Nutzer, die sie überlisten konnten. Sie kundschafteten Social Networks aus, um die Identität von Freunden und Geschäftspartnern zu erfahren und in ihrem Namen harmlos erscheinende Links in Instant Messages und E-Mails zu senden. Präzises Wissen über Schwächen der Unternehmensnetzwerke erlaubte ihnen, durch einen übernommenen Rechner uneingeschränkten Zugang zum Netzwerk zu erhalten: „Diese Leute verstehen es wirklich, ein Notebook zu kontrollieren und es zum Zugang auf der Ebene von Domain-Administration zu nutzen. Auf so etwas sind die meisten nicht vorbereitet.“
So unterschiedlich die Opfer, Stamos sieht ein gemeinsames Muster der Angriffe. Sein Bericht PDF gibt zugleich „taktische Empfehlungen“ für IT-Abteilungen, um Angriffe in der Art der „Operation Aurora“ zu erkennen.
(bk)
Abbildung: Purpleslog / CC
