Angriff auf den nächsten Nachbarn: Russische Spione nutzen neue Technik

Jüngste Medienberichte wurde das Cybersicherheitsunternehmen Volexity zitiert, das behauptet, russische Spione hätten eine noch nie dagewesene Angriffstechnik eingesetzt. Was jetzt als "Nearest Neighbour Attack" bezeichnet wird Nearest Neighbour Angriff bezeichnet wird, nutzt nahe gelegene Wi-Fi-Netzwerke für einen verdeckten Zugriff aus. In diesem Artikel gehen wir darauf ein, wie der Bedrohungsakteur das Netzwerk ausnutzt und wie die verschiedenen Phasen des Nearest Neighbour-Angriffsund Risikominderungsprotokolle, die zur Verbesserung des Schutzes eingesetzt werden können. Fangen wir an!

Nächstgelegener Nachbar Angriff: Erste Entdeckung

Die anfängliche Entdeckung des Nearest Neighbour-Angriffs geht auf den Februar 2022 zurück, als Volexity auf eine benutzerdefinierte Erkennungssignatur von einem Kundenstandort stieß. Das Signal zeigte an, dass ein Server im Netzwerk des Kunden kompromittiert worden war. Bei der Untersuchung wurde ein geschickter und motivierter APT-Akteur (Advanced Persistent Threat) entdeckt.

Den Berichten zufolge nutzte der Bedrohungsakteur einen neuartigen Angriffsvektor, dem Volexity vor diesem Vorfall noch nicht ausgesetzt gewesen war. Nach Abschluss der Untersuchung wurde bekannt, dass es sich bei der hinter dem Angriff stehenden Entität um einen russischen Bedrohungsakteur handelt, der als GruesomeLarch bekannt ist. Der Bedrohungsakteur ist öffentlich bekannt als:  

• APT28.
• Waldschneesturm.
• Sofacy. 
• Fancy Bear.

Darüber hinaus wurde auch festgestellt, dass der Angriff des nächsten Nachbarn Bedrohungsakteur die Organisation ins Visier genommen hatte, um Daten von Personen zu sammeln, die über Fachwissen verfügten und an Projekten im Zusammenhang mit der Ukraine beteiligt waren. Der APT-Akteur drang in das Netzwerk der Zielorganisation ein, indem er sich mit dem Wi-Fi-Netzwerk des Unternehmens verband. Die Experten lieferten wertvolle Einblicke erklärt dass:

"Der Bedrohungsakteur erreichte dies, indem er mehrere Organisationen in unmittelbarer Nähe seines Ziels, Organisation A, kompromittierte. Dies geschah durch einen Bedrohungsakteur, der Tausende von Meilen und einen Ozean vom Opfer entfernt war. Volexity ist sich keiner Terminologie bewusst, die diese Art von Angriff beschreibt, und hat sie als Nearest Neighbor Attack."

GRU Wi-Fi-Verletzung Details

Trotz der offensichtlichen Entfernung war der Bedrohungsakteur in der Lage, sich beim Netzwerk des Zielunternehmens zu authentifizieren, indem er sich gültige Anmeldedaten beschaffte. Um solche Zugangsdaten zu erhalten, wurde ein öffentlicher Dienst im Netzwerk der Organisation mit Passwort-Spray-Angriffen. Es ist erwähnenswert, dass der Dienst für die Überprüfung der Anmeldedaten verwendet wurde.

Ein Schlüsselfaktor ist hier, dass der Vorfall hätte vermieden werden können, wenn die Organisation eine Multi-Faktor-Authentifizierung (MFA) verwendet hätte. Es wurden jedoch nur der gültige Domänen-Benutzername und das Kennwort eines Benutzers zur Authentifizierung benötigt. Um die geografische Entfernung zu überwinden, kompromittierte der Hacker zunächst andere Organisationen in Gebäuden in der Nähe des Ziels, daher der Name Nearest Neighbour Attack.

Experten von Volexity gaben Einblicke und erklärten, dass der Hacker eine Strategie verfolgte:  

"In eine andere Organisation einzudringen und sich dann innerhalb dieser Organisation seitlich zu bewegen, um Systeme zu finden, auf die sie zugreifen können und die mit zwei Netzwerken verbunden sind. Sobald er ein System gefunden hat, das über eine kabelgebundene Ethernet-Verbindung mit dem Netzwerk verbunden ist, greift er auf das System zu und verwendet dessen Wi-Fi-Adapter.

Nachdem er sich Zugang zu dem Zielsystem verschafft hat, wird der Angriff des nächsten Nachbarn Hacker mit der SSID des Unternehmens-Wi-Fi verbunden. Dadurch wurde nicht nur die Authentifizierung sichergestellt, sondern dem russischen Spionagehacker auch der Zugang zum Netzwerk ermöglicht.

Wenn ein Hacker eine Organisation kompromittiert und dann Credential Stuffing Angriffe durchführt, um andere Organisationen in unmittelbarer Nähe zu kompromittieren, indem er deren Wi-Fi-Netzwerke nutzt, ist eine neue Art von Angriff. Eine solche Taktik war erfolgreich, weil es keine MFA gab, d. h. gültige Anmeldeinformationen und die räumliche Nähe waren die einzigen Voraussetzungen, die der Hacker erfüllen musste, um eine Verbindung aufzubauen, die später ausgenutzt werden konnte.

Aktivitäten des Bedrohungsakteurs nach dem Einbruch 

Nach Erhalt einer Warnung über den Nearest Neighbour Angriffbegannen die Sicherheitsexperten, nach Dateien zu suchen, die aus dem Stammverzeichnis des "C:\ProgramData"-Verzeichnisses geschrieben und ausgeführt wurden. Als Ergebnis wurden unter anderem folgende Hacker-Aktivitäten entdeckt:

• Eine Datei namens "C:\ProgramData\servtask.bat" wird geschrieben und ausgeführt.
• Eine Datei mit dem Namen "servtask.bat", die das Microsoft-Befehlszeilen-Registrierungsdienstprogramm und PowerShell zum Ausführen mehrerer Befehle aufruft, darunter:
  • reg save hklm\sam C:\ProgramData\sam.save
  • reg save hklm\security C:\ProgramData\security.save
  • reg save hklm\system C:\ProgramData\system.save
  • Powershell -c "Get-ChildItem C:\ProgramData\sam.save, C:\ProgramData\security.save, C:\ProgramData\system.save ^| Compress-Archive -DestinationPath C:\ProgramData\out.zip"

Da sensible Registrierungshives exportiert und in eine ZIP-Datei komprimiert worden waren, begann das Sicherheitsteam, den EDR-Ereignisverlauf, den Systemspeicher und die wichtigsten Festplattenattribute zu untersuchen. Dabei wurde Folgendes festgestellt:  

• Eine Anmeldung von einem unprivilegierten Benutzerkonto auf dem Server war über RDP erfolgt.
• Eine Datei namens "DefragmentSrv.zip" befand sich auf dem System im Verzeichnis dieses Benutzers und wurde auch über die GUI-Version von WinRAR auf dem System entarchiviert.
• Zwei Dateien namens "DefragmentSrv.exe" und "DefragmentSrv.bat" wurden ebenfalls geschrieben und ausgeführt, was letztendlich zu der "servtask.bat" geschrieben und ausgeführt wurde.
• Eine Datei namens "wayzgoose52.dll" wurde auch in ein gefälschtes Verzeichnis geschrieben, das sich unter folgender Adresse befand “C:\ProgramData\Adobe\v3.80.15456.”

Die Experten gaben weitere Einblicke in die Aktivitäten der nächsten Nachbarn:

"Der Angreifer hatte ein Microsoft-eigenes Dienstprogramm namens Cipher.exe ausgeführt, das seine Spuren verwischte, indem es die Dateien sicher löschte. Dies ist zwar nicht das erste Mal, dass Volexity auf einen Angreifer stößt, der seine Spuren mit forensischen Methoden verwischt, aber es ist das erste Mal, dass Volexity sieht, dass dies mit dem Dienstprogramm Cipher.exe geschieht."

Schutzmaßnahme gegen russische Militärhacker

Während die Untersuchung lief, arbeitete Volexity mit dem betroffenen Unternehmen zusammen und ergriff verschiedene Initiativen zur Eindämmung und Verhinderung von Angriffen. Einige dieser Initiativen umfassen die Implementierung von Gegenmaßnahmen und die Verbesserung von Bereichen, in denen die Protokollierung und die Netzwerktransparenz zuvor nicht gegeben waren. 

Anhand dieser Protokolle konnten die Sicherheitsexperten ein tieferes Verständnis für folgende Aspekte gewinnen Nearest Neighbour Attack. Obwohl ihre Anmeldeinformationen zurückgesetzt worden waren, konnte der Nearest Neighbour Attack Hacker erneut Zugriff auf das Unternehmens-Wi-Fi erhalten.

Die während der Untersuchung eingesetzten Protokolle zur Protokollierung und Netzwerktransparenz stellten jedoch sicher, dass die Experten eine vollständige Paketaufzeichnung aller Aktivitäten im Zusammenhang mit den über Wi-Fi verbundenen Systemen starten konnten. Zum Inhalt des aufgezeichneten Pakets erklärten die Experten, dass: 

"Die Analyse dieses Paketmitschnitts ergab, dass das System des Angreifers NetBIOS Name Service (NBNS) Abfragen gesendet hatte, die seinen Computernamen und die Active-Directory-Domäne, mit der er verbunden war, enthüllten. Diese Active-Directory-Domäne verriet genau, von wo aus der Angreifer eine Verbindung herstellte, was sich als eine Organisation ("Organisation B") auf der anderen Straßenseite herausstellte.

Weitere Untersuchungen ergaben, dass ein Großteil der Daten aus dem Vorfall zurück auf das System des Angreifers kopiert worden war. In einigen Fällen konnte jedoch der Nearest Neighbour Attack Hacker die Daten in Verzeichnissen auf einem öffentlich zugänglichen Webserver abgelegt, und die Dateien wurden dann durch externe Downloads exfiltriert.

Es ist erwähnenswert, dass dies eine gängige Technik ist, die von Angreifern bei verschiedenen Arten von Sicherheitsverletzungen eingesetzt wird. Die Überwachung von Protokollen für diese Aktivitäten kann schwierig sein. Es gibt jedoch Möglichkeiten, wenn die unerwarteten Dateien auf Webservern oder große Dateiübertragungen überwacht werden können. Die Sicherstellung der ordnungsgemäßen Funktionalität von Weblogs kann ebenfalls dazu beitragen, derartige Aktivitäten zu erkennen. 

Schlussfolgerung 

Der Angriff des nächsten Nachbarn stellt eine beängstigende Entwicklung im Bereich der Cyberspionage dar, bei der nahegelegene Sicherheitslücken mit ausgeklügelten Methoden zum Diebstahl von Zugangsdaten und zur Abwehr forensischer Daten kombiniert werden. Hacker wie APT28 nutzen Schwachstellen wie das Fehlen von MFA und die Ausnutzung nahegelegener Netzwerke, um zu demonstrieren, wie fortschrittliche Bedrohungen mit Präzision auf sensible Daten abzielen können.

Organisationen müssen robuste Gegenmaßnahmeneinschließlich Multi-Faktor-Authentifizierung, verbesserter Netzwerktransparenz und gründlicher Protokollanalyse, um die Risiken zu mindern. Wachsamkeit gegenüber neuartigen Techniken wie diesen ist von entscheidender Bedeutung, da sich die Cyber-Bedrohungen ständig weiterentwickeln und die Grenzen der herkömmlichen Sicherheitsmaßnahmen immer weiter hinausschieben.

Zu den Quellen für diesen Beitrag gehören Artikel in Wired und Volexity.