Was ist passiert?
Die chinesische APT-Gruppe Webworm hat bei gezielten Angriffen auf Behörden in EU-Ländern Discord und Microsoft Graph APIs als Kommunikationskanal missbraucht. Die Angreifer nutzten zudem SOCKS-Proxies wie SoftEther VPN, um ihre Aktivitäten zu verschleiern und eine Verbindung zwischen Opfer und Angreifer herzustellen. Diese Hybrid-Strategie ermöglichte es der Gruppe, längerfristig in kritischen Systemen präsent zu bleiben.
Hintergrund & Bedeutung
Webworm zählt zu den gefährlichsten Advanced Persistent Threat (APT)-Gruppen und konzentriert sich auf Behörden und Infrastruktur-Einrichtungen. Der Missbrauch legitimer Cloud-Services wie Discord und Microsoft Graph ist besonders tückisch, da diese Services in Firewalls oft nicht blockiert werden und normalen Datenverkehr ähneln. SOCKS-Proxies wie SoftEther VPN ermöglichen es Angreifern, ihre echte IP-Adresse zu verbergen und mehrere Netzwerk-Ebenen zu durchdringen. Diese Techniken erschweren Incident Response und Threat Hunting erheblich.
Empfehlungen für IT-Teams
Sofortmassnahmen: Überwachen Sie Discord- und Microsoft-Graph-Traffic auf verdächtige Muster. Implementieren Sie Zero-Trust-Architektur und Multi-Faktor-Authentifizierung. Blockieren Sie bekannte VPN-Services wie SoftEther auf Netzwerk-Ebene, sofern nicht geschäftskritisch notwendig.
Langfristige Strategien: Setzen Sie erweiterte Endpoint Detection and Response (EDR) ein. Führen Sie regelmäßige Red-Team-Übungen durch und schulen Sie Mitarbeiter in Phishing-Erkennung. Etablieren Sie Threat-Intelligence-Sharing mit Sicherheitsbehörden.
Fazit
Der Webworm-Fall demonstriert, wie Angreifer legitime Services zweckentfremden. IT-Sicherheitsverantwortliche müssen über klassische Perimeter-Sicherheit hinausdenken und Cloud-Kommunikation kontinuierlich überwachen.
Quelle: Original Artikel