Was ist passiert?
Die chinesische APT-Gruppe Webworm hat gezielt Behörden in der Europäischen Union angegriffen und dabei Discord sowie Microsoft Graph APIs als Kommunikationskanäle missbraucht. Die Angreifer nutzten zudem SOCKS-Proxies wie SoftEther VPN, um ihre Aktivitäten zu verschleiern und eine sichere Verbindung zwischen Opfer und Angreifer herzustellen. Diese Vorgehensweise ermöglichte es der Gruppe, lange Zeit undetektiert zu bleiben.
Hintergrund & Bedeutung
Webworm gehört zu den gefährlichsten APT-Gruppen und ist für hochsophistizierte Angriffe auf Regierungseinrichtungen bekannt. Der Missbrauch legitimer Dienste wie Discord und Microsoft Graph ist eine bewährte Technik von Advanced Persistent Threats, um Sicherheitsvorkehrungen zu umgehen. Diese Dienste genießen standardmäßig Vertrauen in Unternehmensnetzen, weshalb verdächtige Aktivitäten oft übersehen werden. Die Verwendung von SOCKS-Proxies verschleiert zudem die echte Herkunft der Angriffe und erschwert die Attribution erheblich.
Empfehlungen für IT-Teams
- Überwachen Sie Discord und Microsoft Graph: Implementieren Sie Logging und Monitoring für diese Dienste, um verdächtige API-Aufrufe zu erkennen.
- Netzwerk-Segmentierung: Beschränken Sie den Zugriff auf externe Kommunikationsdienste durch strikte Firewall-Regeln.
- Mehrfaktor-Authentifizierung: Erzwingen Sie MFA für alle Cloud-Services und Administratorkonten.
- Threat Intelligence: Integrieren Sie IOCs (Indicators of Compromise) in Ihre Sicherheitssysteme.
- Regelmäßige Audits: Führen Sie penetration Tests durch, um Schwachstellen zu identifizieren.
Fazit
Der Webworm-Angriff verdeutlicht, dass Angreifer zunehmend legitime Dienste für ihre Zwecke ausnutzen. Eine umfassende Überwachung und Segmentierung der IT-Infrastruktur ist essentiell, um solche Bedrohungen frühzeitig zu erkennen.
Quelle: Original Artikel