Was ist passiert?
Die Bedrohungsgruppe TeamPCP ist deutlich länger aktiv als bislang angenommen. Sicherheitsforschende haben nachgewiesen, dass die Cyberkriminellen bereits seit 2020 internet-erreichbare Infrastrukturen kompromittieren, insbesondere Redis-Instanzen. Die Gruppe nutzte diese langjährigen Zugriffe später für Supply-Chain-Angriffe. Die Verbindung wurde durch übereinstimmende Domains, Malware-Deployment-Methoden und Backend-Infrastruktur nachgewiesen.
Hintergrund & Bedeutung
TeamPCP ist damit ein Paradebeispiel für persistente Bedrohungsakteure, die ihre Infrastruktur Schritt für Schritt aufbauen. Der Zugriff auf ungesicherte Redis-Datenbanken ermöglichte es der Gruppe, sich tief in Netzwerken zu verschanzen und später Lieferketten anzugreifen. Dies unterstreicht ein kritisches Sicherheitsrisiko: Viele Unternehmen belassen Datenbanken internet-erreichbar ohne angemessene Authentifizierung. Supply-Chain-Angriffe dieser Art können Tausende von Organisationen gefährden.
Empfehlungen für IT-Teams
- Redis-Sicherheit: Alle Redis-Instanzen müssen mit starken Authentifizierungsmechanismen geschützt werden. Standardmäßig sollten sie nicht internet-erreichbar sein.
- Netzwerk-Segmentierung: Kritische Datenbankserver gehören in separate, geschützte Netzwerksegmente.
- Monitoring: Implementieren Sie Überwachung für verdächtige Zugriffsmuster und unbekannte Verbindungen.
- Patch-Management: Regelmäßige Updates für alle Datenbankserver durchführen.
- Supply-Chain-Audits: Überprüfen Sie regelmäßig die Sicherheit von Software-Dependencies.
Fazit
Der Fall TeamPCP zeigt, dass Bedrohungsakteure langfristig agieren und ihre Fähigkeiten kontinuierlich ausbauen. Organisationen müssen ihre Basis-IT-Sicherheit ernst nehmen, insbesondere beim Schutz internet-erreichbarer Ressourcen.
Quelle: Original Artikel