Was ist passiert?
Die chinesische APT-Gruppe „Webworm“ hat gezielt europäische Regierungsinstitutionen angegriffen und dabei Discord sowie Microsoft Graph APIs als Kommunikationskanäle missbraucht. Die Angreifer nutzten SOCKS-Proxies wie SoftEther VPN, um ihre Aktivitäten zu verschleiern und eine sichere Verbindung zwischen Opfer und Angreifer zu etablieren. Diese Methode ermöglichte es ihnen, lange Zeit unentdeckt zu bleiben.
Hintergrund & Bedeutung
Webworm gilt als hochentwickelte APT-Gruppe mit Fokus auf staatliche Ziele in Europa. Der Missbrauch legitimer Cloud-Services wie Discord und Microsoft Graph ist eine bewährte Taktik moderner Cyberangreifer – die Datenverkehr wird in normalem Geschäftsverkehr „versteckt“. SOCKS-Proxies fungieren als Man-in-the-Middle und ermöglichen es Angreifern, ihre echte IP-Adresse zu verbergen. Dies stellt Sicherheitsteams vor erhebliche Herausforderungen bei der Bedrohungserkennung, da legale Services kompromittiert werden.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Überprüfen Sie Discord- und Microsoft Graph-Aktivitäten auf verdächtige Muster. Implementieren Sie strikte API-Authentifizierung und aktivieren Sie mehrstufige Authentifizierung für alle kritischen Konten. Überwachen Sie den Datenverkehr zu bekannten Proxy-Services wie SoftEther VPN. Führen Sie ein Sicherheitsaudit durch, um unautorisierten Zugriff zu identifizieren. Schulen Sie Mitarbeiter zur Erkennung von Social-Engineering-Angriffen, da diese oft der Einstiegspunkt sind. Implementieren Sie Zero-Trust-Architektur und segmentieren Sie Netzwerke nach Kritikalität.
Fazit
Der Angriff unterstreicht die Notwendigkeit, legitime Services kontinuierlich zu überwachen und Netzwerksegmentierung konsequent umzusetzen. Organisationen sollten proaktiv Threat Intelligence nutzen und ihre Abwehrmaßnahmen regelmäßig aktualisieren.
Quelle: Original Artikel