IT Security September/Oktober 2023

IT-SA SPEZIAL | 49
Directory-Konto verknüpft ist, wodurch
sie in der Regel über höhere Privilegien
verfügen und der Angreifer dadurch seine
Reichweite vergrößern kann und Zugriff
auf sensible Dateien oder Systeme
bekommt. Darüber hinaus sind diese
Angriffe schwer zu erkennen, da Kerberos-Aktivitäten
in der alltäglichen Telemetrie
so häufig vorkommen, dass die
Angreifer in der Masse untertauchen
können. Obwohl diese Technik gut dokumentiert
ist, stellt sie eine erhebliche
Bedrohung für Unternehmen dar.
Technologie- & Finanzsektor
traurige Spitzenreiter
Insgesamt ist die Zahl der interaktiven
Angriffsversuche um 40 Prozent im Vergleich
zum Vorjahr gestiegen, wobei
der Technologiesektor im sechsten Jahr
in Folge der am häufigsten angegriffene
Sektor war, gefolgt vom Finanzsektor,
dem Einzelhandel und dem Gesundheitswesen
sowie der Telekommunikationsbranche.
Besonders stark angegriffen
wurde im Vergleich zum letzten Jahr
der Finanzsektor. Hier beobachtete
CrowdStrike einen 80-prozentigen Anstieg
des Volumens an interaktiven Angriffsversuchen.
Das ist der größte Zuwachs
an gezielten Angriffsaktivitäten,
den CrowdStrike bisher in der Finanzdienstleistungsbranche
beobachtet hat.
Die aggressivsten staatsnahen Angreifer,
die es auf den Finanzsektor abgesehen
haben, sind Nordkorea-nahe Angreifergruppen.
Sie sind weiterhin an
zahlreichen finanziell motivierten Operationen
beteiligt, die in erster Linie auf
Finanz- und Fintech-Unternehmen abzielen.
Auch wenn sich einige Angreifer
auf den Diebstahl von Kryptowährungen
oder NFTs (Non-Fungible Tokens)
konzentrieren, bleiben opportunistische
„Big Game Hunting“-Ransomware- und
Datendiebstahl-Kampagnen die primäre
eCrime-Bedrohung für Finanzinstitutionen.
Aufgrund der Notwendigkeit für
die Opferorganisation, die Systembetriebszeit
aufrechtzuerhalten, und des
sensiblen Charakters des Sektors kommen
eCrime-Bedrohungsakteure wahrscheinlich
zu dem Schluss, dass Finanzinstitute
bereit und in der Lage sind, Lösegeldforderungen
zu zahlen.
Trend: Ausnutzung von RMM-Tools
Ein weiterer Trend in diesem Jahr war
der Missbrauch bewährter Methoden,
um auf die Umgebungen der Opfer zuzugreifen
und in diesen zu navigieren.
Zu diesen Methoden gehört beispielsweise
die Ausnutzung von Schwachstellen
und der Einsatz von Remote Monitoring
and Management (RMM)-Tools.
Die Zahl der Angreifer, die legitime
RMM-Tools ausnutzen, ist im Vergleich
zum Vorjahr um 312 Prozent gestiegen:
Ein weiterer Beleg für die Berichte der
CISA ist die Tatsache, dass Angreifer zunehmend
legitime und bekannte Remote-IT-Management-Anwendungen
nutzen,
um nicht entdeckt zu werden. So
können sie auf sensible Daten zugreifen,
Ransomware einsetzen oder weitere gezielte
Folgetaktiken installieren.
Die Leistung des menschlichen
Einfallsreichtums
Angreifer wollen ständig ihre Reichweite
vergrößern, ihre Vorgehensweise optimieren
und ihre Wirkung verstärken,
trotz der Hindernisse, die ihnen durch
Sicherheitslösungen in den Weg gelegt
werden. In dem Maße, in dem sich die
Technologien und Sicherheitsprodukte,
auf die sich Unternehmen verlassen,
weiterentwickeln, verändern sich auch
die Werkzeuge und Methoden der Angreifer
– und zwar in einem alarmierenden
Tempo. Dies ist die Nische, die von
der menschlichen Bedrohungsjagd in
der Sicherheitsbranche ausgefüllt wird.
Die Threat Hunter verfolgen die sich
weiterentwickelnden Bedrohungen mit
der gleichen Hartnäckigkeit, Kreativität
und technischen Kompetenz, die sie
auch bei den Angreifern sehen. Es ist
die Nutzung des menschlichen Einfallsreichtums,
die es den Gegnern wirklich
unmöglich macht, sich zu verstecken.
Zeki Turedi
identitätsbedrohungen sind zum
mainstream geworden
der interaktiven
Angriffe nutzten
kompromittierte
Identitäten
-iger
Anstieg von Kerberoasting-
Angriffen, eine immer
häufiger auftretende identitätsbasierte
Angriffstechnik
www.it-daily.net | September/Oktober 2023