Beobachtungen
Der Sicherheitsdienstleister Unit 42 identifiziert eine großangelegte Cyber-Spionageoperation, die sich gegen Regierungseinrichtungen und Kritische Infrastrukturen in weltweit 37 Staaten, darunter auch Deutschland, richtet. Die bis Januar 2024 zurückverfolgbaren und Ende 2025 signifikant intensivierten Aktivitäten zielen explizit auch auf europäische Regierungsstellen ab. Die Operation zeichnet sich durch eine hohe Ressourcenausstattung aus.
Methoden
Der initiale Zugriff erfolgt hauptsächlich durch personalisierte Spear-Phishing-Angriffe gegen ausgewählte Funktionsträger in sensiblen Positionen. Zur technischen Verschleierung der Command-and-Control-Kommunikation implementiert der Akteur beispielsweise DNS-Tunneling sowie Domain-Generation-Algorithms (DGA). Der Akteur zielt auf eine langfristige Persistenz (Long-Term Persistence) in den kompromittierten Netzwerken ab, um so ggf. über Jahre hinweg unbemerkt Informationen abschöpfen zu können.
Attribution
Öffentlichen Informationen nach können die Aktivitäten dem Akteur TGR-STA-1030 (auch bekannt unter der Bezeichnung UNC6619) zugerechnet werden. Sicherheitsdienstleister gehen Aufgrund der Zielauswahl im Regierungssektor sowie der Komplexität der eingesetzten Infrastruktur von einer staatlich Steuerung oder Unterstützung des Akteur aus.
Empfehlungen
Um Tunneling-Versuche zu erkennen ist eine generelle Härtung der DNS-Infrastruktur erforderlich. Web-Gateways sollten hinsichtlich der Kommunikation mit neu registrierten Domains restriktiv konfigurieret werden und Logdaten einem retrospektiven Monitoring unterzogen werden. Flankierend sind gezielte Sensibilisierungsmaßnahmen für exponierte Mitarbeitergruppen durchzuführen, um die Erfolgsquote von Spear-Phishing-Versuche zu minimieren. Unit42 stellt einen ausführlichen Bericht sowie Indicators of Compromise (IOCs) zur Verfügung. Wir raten daher allen Stellen, die ins Visier der Angreifer geraten sein könnten, zur Prüfung der eigenen Systeme auf Betroffenheit anhand der IOCs.