DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE 1.4 Advanced Persistent Threats Advanced Persistent Threats (APTs) unterscheiden sich von anderen Bedrohungen der IT-Sicherheit durch die Motivation und die Vorgehensweise der Angreifer. Während die meisten Schadprogramme in der Regel von finanziell motivierten Angreifern massenhaft und ungezielt verteilt werden, sind APTs oft langfristig und mit großem Aufwand geplante Angriffe auf einzeln ausgewählte, herausgehobene Ziele. APT-Angriffe dienen normalerweise nicht der kriminellen Gewinnerzielung, sondern der Beschaffung von Informationen über das Ziel und ggf. der Sabotage. Die technischen Unterschiede zwischen kriminellen Aktivitäten und gezielten Angriffen verschwimmen zunehmend. Dies zeigt sich unter anderem daran, dass auch Ransomware-Angriffen wochenlanges Ausbreiten in internen Netzwerken vorangehen kann (vgl. Kapitel Emotet: Neue Qualität fortschrittlicher Angriffe, Seite 11), was früher nur von APT-Angriffen bekannt war. Dadurch gewinnt als Unterscheidungskriterium der Umstand Bedeutung, dass gezielte Angriffe stets einen strategischen Hintergrund haben. Eine Betrachtung der Sicherheitslage im Bereich von APT-Angriffen muss daher diese Dimension berücksichtigen, wofür sich derzeit der Begriff der strategischen Threat Intelligence etabliert. Die strategische Sicht erleichtert eine Einordnung, aus welchen Gründen, beispielsweise Branche und Produkte oder geografischer Standort, die eigene Organisation ein potenzielles Ziel für APT-Angriffe sein kann. Derzeit ist eine dreistellige Zahl von APT-Gruppen weltweit aktiv. In Deutschland sind davon im Berichtszeitraum Aktivitäten von knapp über einem Dutzend beobachtet worden, wobei die Art der Aktivität von einfachen Angriffsversuchen und Phishing-E-Mails bis zu erfolgreichen Kompromittierungen reicht. Ziel der Angriffsversuche auf die Regierungsnetze in Deutschland waren vor allem Ministerien mit außenpolitischen Aufgaben. Auch Botschaften waren Ziel von APT-Gruppen, die einen Fokus auf das vertretene Land hatten. Weitere Angriffe bzw. Angriffsversuche richteten sich gegen international agierende Nicht-Regierungs-Organisationen und Unternehmen im Chemie-, Automobil- und Maschinenbausektor. Dies verdeutlicht, dass APT-Gruppen gezielt eingesetzt werden und einer strategischen Ausrichtung folgen, die oftmals mit einer Fokussierung auf bestimmte Weltregionen oder Branchen einhergeht. Besonders viel Aktivität zeigte sich im aktuellen Berichtszeitraum in Südostasien, Zentralasien und im Mittleren Osten. Ein deutlicher Anstieg der APT-Aktivität ist in diesen Regionen im Telekommunikationssektor zu beobachten. Dieser Sektor bietet den Angreifern sowohl Daten zum Ausspähen von Individuen als auch Daten zu Technologien oder Geschäftsgeheimnissen. Viele öffentliche Berichte 28 dokumentieren zudem, dass in vielen Staaten Spionageprogramme genutzt werden, um Kritiker in der eigenen Bevölkerung auszuspähen. Der überwiegende Teil von APT-Aktivitäten dient nach wie vor der Informationsbeschaffung in Regierungsbehörden, Militärorganisationen, Wirtschaftsunternehmen oder bei Regimekritikern. Sabotageangriffe sind deutlich seltener und auf einzelne Sektoren und Regionen beschränkt. Allerdings sind Fälle bekannt, in denen Informationen gesammelt wurden, die bei Bedarf Sabotageangriffe unterstützen könnten. Auf der technischen Seite findet eine Diversifizierung von Angriffsmethoden statt. Während APT-Angriffe früher vor allem über E-Mail-Anhänge oder Links auf Schadcode-Webseiten erfolgten, variieren die Angreifer die Angriffsvektoren mittlerweile. Dazu gehören die Kompromittierung von legitimen Software-Produkten, das Ausnutzen von Schwachstellen in Fernwartungsdiensten und das Wiederverwenden ausgespähter Zugangsdaten. Zudem nutzt eine zunehmende Zahl an APT-Gruppen die Infrastrukturen und Zugangsdaten von Zulieferern, um ihre eigentlichen Ziele zu kompromittieren. In einem ersten Schritt werden dabei schlechter geschützte Netzwerke von Zulieferern angegriffen. Im zweiten Schritt werden die dort erlangten Informationen und Zugänge verwendet, um in das Netzwerk des tatsächlichen Angriffsziels einzudringen. Dadurch können auch solche Unternehmen, die eigentlich ein hohes IT-Sicherheitsniveau und professionelle Sicherheitsteams besitzen, kompromittiert werden, wenn sie einem schlecht gesicherten Zulieferer vertrauen und diesen an das eigene Netzwerk anschließen. Zudem entwickeln und testen mehrere APT-Gruppen aktuell Methoden, um Unternehmensrouter zu kompromittieren. Dies ist bedenklich, da für diese Router bisher nur wenige Sicherheitsprodukte existieren, die ein Monitoring ermöglichen oder gar Angriffe detektieren könnten. Obwohl die meisten APT-Gruppen frei verfügbare Werkzeuge wie Cobalt Strike oder Empire verwenden, deren Aufbau und Spezifikationen bekannt sind, entwickeln viele Gruppen dennoch zusätzlich eigene Tools weiter. Insbesondere wird viel Aufwand investiert, um zusätzliche Teilschritte in der initialen Phase von Angriffen vorzunehmen. Schadprogramme werden nicht direkt auf das Zielsystem übertragen, sondern erst nach und nach über mehrere Stufen nachgeladen – teilweise erst nach einer Prüfung durch die Angreifer, ob das kompromittierte System als interessantes Ziel erachtet wird. Dieser Aufwand verdeutlicht, dass die Angreifer die Detektionsmethoden und Analyseprozesse von Sicherheitsteams verstanden haben und versuchen, die eigenen Schadprogramme der Analyse zu entziehen.