Hacker und KI: Lehren zur Cyber-Resilienz aus dem Angriff auf ConnectWise
Was sagen die Angriffe auf die NASA und US-Behörden über die Sicherheit in Unternehmen aus? Rob Nidschelm von Getronics untersucht die Lehren, die daraus für gefährdete Systeme, die Erkennung von Bedrohungen und die Reaktion darauf gezogen werden können.
Sprechen Sie mit einem Experten
Eine Cyberkampagne, die sich gegen große US-amerikanische Institutionen richtet, verdeutlicht eine Herausforderung für jedes Unternehmen: Angreifer können sich hinter harmlos aussehendem Internetverkehr verstecken, während ungeschützte Systeme ihnen Möglichkeiten bieten, in die Systeme einzudringen.
In einem Beitrag im „Cyber Magazine“ erläutert Rob Nidschelm, Global Head of Operational Security bei Getronics, warum es sinnvoll ist, die Infrastruktur der Angreifer zu stören – und warum Unternehmen dennoch ihre eigene Anfälligkeit überprüfen müssen.
Was ist passiert?
Am 26. August 2026 gaben das US-Justizministerium und das FBI die Beschlagnahmung von Domains bekannt, die zwei Hacking-Plattformen – QScan und QTRouter – unterstützten. Die US-Behörden brachten die Plattformen mit QTFY in Verbindung, einer mit China verknüpften Gruppe, die kritische Infrastrukturen und andere sensible Netzwerke ins Visier nimmt.
In der Mitteilung des Justizministeriums werden die NASA, die Federal Reserve und mehrere US-Regierungsbehörden als Ziele genannt.
Eine Organisation ins Visier genommen zu werden, bedeutet nicht zwangsläufig, dass ein Sicherheitsverstoß stattgefunden hat. Das „Cyber Magazine“ berichtet von erfolgreichen Angriffen auf einige Institutionen, unterscheidet diese jedoch von den genannten erfolglosen Versuchen gegen die NASA und den US-Senat.
Wie die Angreifer ihre Aktivitäten verschleierten
Bei dieser Operation wurden Tools zum Aufspüren anfälliger Systeme mit einer Infrastruktur kombiniert, die darauf ausgelegt war, den Ursprung der Angriffe zu verschleiern.
Laut der von der NSA veröffentlichten gemeinsamen Sicherheitswarnung unterstützte QScan Aufklärungs- und Ausnutzungsmaßnahmen, darunter Angriffe auf anfällige Geräte des Internets der Dinge. QTRouter verband kompromittierte Geräte mit anderer Infrastruktur, um böswillige Aktivitäten im legitimen Datenverkehr zu tarnen.
Der Hinweis enthält zudem eine detaillierte Beschreibung einer von QTFY ausgenutzten Sicherheitslücke in Ivanti. Die Gruppe nutzte die Sicherheitslücke, um Zugriff auf ungeschützte Ivanti Connect Secure-Geräte zu erlangen, Web-Shells zu installieren und eine dauerhafte Präsenz aufzubauen. Dies verdeutlicht, wie ein mit dem Internet verbundenes Gerät zum Einstiegspunkt für weiterreichende Aktivitäten werden kann, insbesondere wenn Patches nicht verfügbar sind, verspätet bereitgestellt oder nicht korrekt installiert werden.
Für Sicherheitsverantwortliche ist die praktische Konsequenz klar: Ein scheinbar vertrauter Standort im Netzwerk reicht nicht aus, um festzustellen, dass eine Aktivität vertrauenswürdig ist.
Störungen bieten den Verteidigern eine Chance
Die Beschlagnahmung der Domains führte zu einer Unterbrechung der Infrastruktur, auf die die Plattformen angewiesen waren. Rob begrüßt diese Störung, warnt jedoch davor, sie als endgültiges Ende der Bedrohung zu betrachten.
„Die Beschlagnahmung der Domains stellt eine erhebliche Beeinträchtigung dar, da dadurch eine gemeinsam genutzte Infrastruktur entfernt wurde, die mehrere Betreiber unterstützen konnte.“Rob Nidschelm
Die Reaktion innerhalb einer Organisation spielt nach wie vor eine wichtige Rolle. Sicherheitsteams müssen nachvollziehen können, ob auf exponierte Systeme zugegriffen wurde, welche historischen Nachweise noch verfügbar sind und ob erfolglose Zugriffsversuche Schwachstellen offenlegen, die behoben werden müssen.
Drei Maßnahmen für Sicherheitsteams
Aktion | Was ist zu prüfen? |
|---|---|
Systeme mit hohem Risiko priorisieren | Ermitteln Sie Geräte und Dienste mit Internetanbindung, klären Sie, wem diese gehören, und überprüfen Sie deren Aktualisierungsstatus. Behandeln Sie aktiv ausgenutzte Sicherheitslücken vorrangig und befolgen Sie die Anweisungen des Herstellers, wenn der Verdacht auf eine Kompromittierung besteht. |
Verlauf der Aktivitäten anzeigen | Überprüfen Sie die verfügbaren Protokolle auf verdächtige Zugriffe, ungewöhnliche Verbindungen und Anzeichen für frühere Sicherheitsverletzungen. Nutzen Sie relevante Bedrohungsinformationen, um die Untersuchung zu lenken und Lücken in den Beweisen zu identifizieren. |
Erfolglose Versuche untersuchen | Überprüfen Sie blockierte oder fehlgeschlagene Zugriffsversuche zusammen mit bestätigten Vorfällen. Wiederholte Versuche können Aufschluss darüber geben, welche Systeme Angreifer ausloten und wo zusätzliche Untersuchungen oder Schutzmaßnahmen erforderlich sind. |
Diese Maßnahmen verbinden Informationen zu Cyberbedrohungen mit praktischen Erkennungs- und Reaktionsmaßnahmen. Diese Informationen werden umso nützlicher, je besser die Teams sie auf ihre eigenen Systeme beziehen und auf der Grundlage der gewonnenen Erkenntnisse handeln können.
Was sollten Unternehmen daraus mitnehmen?
Eine erfolgreiche Beseitigung bedeutet nicht, dass jede betroffene Umgebung sicher ist. Unternehmen müssen weiterhin Sicherheitsrisiken überprüfen, verdächtige Aktivitäten untersuchen und sicherstellen, dass Sicherheitsbefunde zu entsprechenden Maßnahmen führen.
Für Sicherheitsverantwortliche bieten drei Fragen einen nützlichen Ausgangspunkt:
- Wissen wir, welche Systeme mit Internetanbindung einen Angriffspunkt darstellen könnten?
- Können wir Aktivitäten untersuchen, die vor der letzten Warnmeldung stattgefunden haben?
- Wer trifft die Entscheidung über die Untersuchung, Eindämmung und Sanierung?
Lesen Sie den vollständigen Artikel im Cyber Magazine, um mehr über die Kampagne und Robs Sichtweise zu erfahren.
Über den Autor
Rob Nidschelm
Leiter des Bereichs Betriebssicherheit weltweit
Rob Nidschelm leitet die globalen Teams für operative Sicherheit bei Getronics, die sich mit Sicherheitsoperationen, Identitäts- und privilegiertem Zugriffsmanagement, Bedrohungsanalyse, Sicherheitstechnik und der Reaktion auf Sicherheitsvorfälle befassen. Er ist seit 2005 im Bereich Cybersicherheit tätig und unterstützt Unternehmen dabei, ihre Sicherheitsstrategie mit praktischen Kontrollmaßnahmen, klaren Verantwortlichkeiten und operativer Widerstandsfähigkeit zu verknüpfen.
www.linkedin.com/in/robnid/
