Hacker durchbrechen US-Bundesfirewalls

Laut einem hohen Bundesbeamten sind Hacker an den Verteidigungen vorbeigekommen, indem sie Firewall-Geräte innerhalb der US-Bundesregierung kompromittiert haben.

Am Donnerstag schickte die US Cybersecurity and Infrastructure Security Agency (CISA) eine dringende Direktive, in der sie Agenturen anwies, Cisco-Firewall-Geräte zu sichern und nach Anzeichen von Kompromittierungen zu suchen.

Chris Butera, geschäftsführender stellvertretender Exekutivassistent für die Cybersicherheitsabteilung von CISA, hat sogar andere Regierungsstellen und private Unternehmen gebeten, ähnliche Vorsichtsmaßnahmen zu treffen, und darauf hingewiesen, dass die Bedrohung weit verbreitet ist.

Laut einem US-Beamten wurden weltweit etwa 10 Organisationen kompromittiert, obwohl diese Zahl steigen könnte. Der Beamte sagte, es gäbe noch „viele Unbekannte“ bezüglich der Kampagne. Ein anderer US-Beamter nannte die Kampagne „sehr ausgefeilt“ und wies darauf hin, dass die Malware der Hacker hochkomplex sei.

„CISA ist zutiefst besorgt über diese Aktivitäten“, sagte der zweite Beamte. „Wenn sich die Agenturen nicht sofort damit befassen, könnte das schlecht für sie enden.“

Cisco bezeichnet die Methoden der Angreifer als komplex und ausgefeilt

Die Gruppe, die Cisco ArcaneDoor nennt, hat Berichten zufolge seit letztem Jahr Spionageoperationen durchgeführt. Laut CISA könnten ihre angriffe kritische Infrastruktur in den USA schädigen. Dennoch rüstet Washington sich für einen arbeitsreichen Zeitraum, während Teams daran arbeiten, die Hacker zu erkennen und verwundbare Geräte zu sichern, bevor weiterer Schaden entsteht. Agentiken müssen Updates vornehmen und Berichte bis Freitag einreichen.

Cisco teilte Reportern mit, dass sie im Mai mit mehreren Behörden zusammenarbeiteten, um die Hacks zu untersuchen, und später drei zusätzliche, von den Angreifern genutzte Sicherheitslücken aufdeckten. Das Unternehmen erklärte, die Hacker hätten diese Schwachstellen genutzt, um Malware zu installieren, Befehle auszuführen und potenziell Daten zu stehlen. Das Unternehmen hat Kunden zudem geraten, ihre Systeme unverzüglich zu patchen. Die britische Regierung hatte am Donnerstag ebenfalls eine eigene Warnung herausgegeben und die Malware der Hacker als „großen Schritt nach vorn“ im Vergleich zu ihren früheren Tools beschrieben.

Laut der Analyse von Cisco nutzten die Hacker mehrere Zero-Day-Schwachstellen und setzten auf Tarnungstaktiken wie das Deaktivieren der Protokollierung, das Übernehmen von Befehlen und das Abstürzen von Geräten, um nicht entdeckt zu werden. Das Unternehmen beschreibt die Taktiken sogar als komplex und ausgefeilt. Zu den kompromittierten Geräten gehörten bestimmte Modelle der Cisco ASA 5500-X-Serie, die als Firewalls dienen, um Unternehmensnetzwerke vor Angriffen zu schützen. 

Analysten gehen davon aus, dass eine an China angebundene Gruppe an dem Angriff beteiligt war.

Bisher haben die Behörden keine Verdächtigen für den Angriff benannt, aber Forscher glauben, dass die Hacker mit China verbunden sind und seit längerer Zeit auf Cisco-Schwachstellen abzielen. Butera behauptete, dass ihre Anweisung dabei helfen wird, das vollständige Ausmaß der Kompromittierung der Bundesnetzwerke zu kartieren.

Auch Unit 42 von Palo Alto Networks teilte CNN mit, dass sie die Kampagne als an China angebunden einstufen und bemerkten, dass bald weitere Gruppen dieselben Schwachstellen angreifen könnten, da die Sicherheitslücken und Patches nun öffentlich bekannt sind. Sam Rubin, Senior Vice President bei Unit 42, betonte: „Wie wir bereits gesehen haben, können wir erwarten, dass die Angriffe eskalieren, sobald Patches verfügbar sind, da Cyberkriminelle schnell herausfinden, wie sie diese Schwachstellen ausnutzen können.“ Palo Alto überwacht Hacker weltweit, und laut ihnen hat die Gruppe ihre Taktiken geändert und richtet sich zunehmend auf US-Entitäten. 

Diese Offenlegung erfolgt nur wenige Tage nachdem Mandiant, ein Teil von Google, meldete, dass eine separate Gruppe mutmaßlicher chinesischer Hacker in US-Softwareentwickler und Anwaltskanzleien eingedrungen war im Rahmen einer Spionagekampagne, die mit dem Handelsstreit zwischen den USA und China verbunden ist. Das Unternehmen sagte, die vollständige Behebung könnte Monate dauern.