Hacker durchbrechen US-Bundesfirewalls

Laut einem hochrangigen Bundesbeamten ist es Hackern gelungen, die Abwehrmechanismen zu überwinden, indem sie Firewall-Geräte innerhalb der Bundesregierung kompromittiert haben.

Am Donnerstag verschickte die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) eine dringende Anweisung, in der sie die Behörden aufforderte, Cisco-Firewall-Geräte zu sichern und nach Anzeichen einer Kompromittierung Ausschau zu halten.

Chris Butera, amtierender stellvertretender Leiter der Cybersicherheitsabteilung der CISA, hat sogar andere Regierungsbehörden und private Unternehmen aufgefordert, ähnliche Vorsichtsmaßnahmen zu ergreifen, und darauf hingewiesen, dass die Bedrohung weit verbreitet ist.

Laut einem US-Beamten wurden weltweit etwa zehn Organisationen gehackt, wobei diese Zahl noch steigen könnte. Der Beamte erklärte, es gäbe noch viele offene Fragen zu der Kampagne. Ein anderer US-Beamter bezeichnete die Kampagne als „sehr raffiniert“ und hob die hohe Komplexität der Hacker-Schadsoftware hervor.

„CISA ist über diese Aktivitäten zutiefst besorgt“, sagte der zweite Beamte. „Wenn die Behörden nicht sofort handeln, könnte das für sie negative Folgen haben.“

Cisco bezeichnet die Methoden der Angreifer als komplex und ausgefeilt

Die Gruppe, die Cisco ArcaneDoor nennt, führt Berichten zufolge seit letztem Jahr Spionageoperationen durch. Laut CISA könnten ihre Angriffe kritische Infrastrukturen in den USA gefährden. Washington bereitet sich daher auf arbeitsintensive Tage vor, da Teams daran arbeiten, die Hacker aufzuspüren und anfällige Geräte zu sichern, bevor weiterer Schaden entsteht. Behörden müssen ihre Berichte bis Freitag aktualisieren und einreichen.

Cisco teilte Reportern mit, dass man im Mai mit mehreren Behörden zusammengearbeitet habe, um die Hackerangriffe zu untersuchen, und später drei weitere Sicherheitslücken entdeckt habe, die von den Angreifern ausgenutzt wurden. Laut Cisco nutzten die Hacker diese Schwachstellen, um Schadsoftware zu installieren, Befehle auszuführen und möglicherweise Daten zu stehlen. Das Unternehmen riet seinen Kunden dringend, ihre Systeme umgehend zu aktualisieren. Auch die britische Regierung hatte am Donnerstag eine Warnung herausgegeben und die Schadsoftware der Hacker als einen „deutlichen Fortschritt“ gegenüber ihren früheren Werkzeugen bezeichnet.

Laut Ciscos Analyse nutzten die Hacker mehrere Zero-Day-Schwachstellen aus und setzten Tarnungstaktiken wie das Deaktivieren der Protokollierung, das Abfangen von Befehlen und das Herbeiführen von Geräteabstürzen ein, um nicht entdeckt zu werden. Das Unternehmen beschreibt die Taktiken sogar als komplex und ausgefeilt. Zu den kompromittierten Geräten gehörten bestimmte Modelle der Cisco ASA 5500-X-Serie, die als Firewalls zum Schutz von Unternehmensnetzwerken vor Angriffen dienen. 

Analysten gehen davon aus, dass eine mit China verbundene Gruppe an dem Angriff beteiligt war

Bislang haben die Behörden noch keine Verdächtigen für den Angriff benannt, doch Forscher gehen davon aus, dass die Hacker Verbindungen nach China haben und Cisco-Sicherheitslücken bereits seit Längerem ausnutzen. Butera erklärte, ihre Anweisung werde dazu beitragen, das gesamte Ausmaß der Kompromittierung der Bundesnetzwerke zu ermitteln.

Die Unit 42 von Palo Alto Networks teilte CNN mit, dass sie die Kampagne für chinesisch motiviert hält und dass weitere Gruppen die gleichen Schwachstellen ausnutzen könnten, da die Sicherheitslücken und deren Behebung nun öffentlich bekannt sind. Sam Rubin, Senior Vicedent bei Unit 42, bekräftigte: „Wie wir bereits beobachtet haben, ist mit einer Zunahme der Angriffe zu rechnen, sobald Patches verfügbar sind, da Cyberkriminelle schnell herausfinden, wie sie diese Schwachstellen ausnutzen können.“ Palo Alto beobachtet Hacker weltweit, und ihren Angaben zufolge hat die Gruppe ihre Taktik geändert und konzentriert sich nun verstärkt auf US-amerikanische Organisationen. 

Diese Enthüllung erfolgt nur wenige Tage, nachdem Mandiant, ein Tochterunternehmen von Google, mitgeteilt hatte, dass eine andere Gruppe mutmaßlicher chinesischer Hacker im Rahmen einer Spionagekampagne im Zusammenhang mit dem US-chinesischen Handelsstreit US-amerikanische Softwareentwickler und Anwaltskanzleien infiltriert habe. Das Unternehmen erklärte, die vollständige Behebung des Schadens könne Monate dauern.