#15 – Salt Typhoon: Der Angriff auf die Telekommunikation

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt des Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:12: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist, aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:21: Hallo ich bin Nora

00:00:23: Und ich bin Nico.

00:00:24: Stell dir mal vor Das absolute Rückgrat unseres Internets, also die untersehischen Glasfaserkabel.

00:00:31: Diese riesigen Rechenzentren und Verteilerknoten durch die wirklich unsere intimsten Geheimnisse fließen.

00:00:38: Stell dir vor all das wird kompromitiert!

00:00:40: Und zwar nicht mit so einem gewaltigen Knall wie wir das oft in den Medien sehen?

00:00:46: Ja genau keine laute Ransomware richtig.

00:00:49: Keine Erpressernachricht auf dem Bildschirm, keine blockierten Server und auch kein lauter Datendiebstahl der direkt in den Abendnachrichten landet.

00:00:58: Sondern das Ganze passiert eher wie mit einem Flüstern.

00:01:02: Ein Eindringling nistet sich einfach ganz am Rand ein bewegt sich quasi wie so einen Geist durch die Systeme und hört – und das ist das Verrückte monatelang völlig unbemerkt zu!

00:01:12: Ja,

00:01:13: das ist wirklich eine ganz andere Dimension

00:01:16: Absolut.

00:01:17: Und der einzige Weg, diesen hochkomplexen Angriff auf die kritischste Infrastruktur der USA am Ende wirklich zu stoppen war der Einsatz einer ganz normalen handelsüblichen Bastelschere.

00:01:29: In unserer heutigen Untersuchung gehen wir tief rein in diese Cyber-Spionage-Kampagne, die unter dem Namen Salt Typhoon bekannt geworden ist!

00:01:37: Und wir gucken uns mal an, was da eigentlich genau passiert ist.

00:01:40: Also die Dimensionen dieses Vorfalls, sie zwingt uns wirklich dazu unsere Gesamtevorstellung von Netzwerksicherheit mal komplett neu zu justieren.

00:01:48: Wir sprechen hier ja eben nicht von ich sag mal einem erfolgreichen Fishing-Angriff bei irgendeinem mittelständischen Unternehmen?

00:01:54: Nee ganz und gar nicht.

00:01:55: Nein!

00:01:55: Die betroffenen Ziele das waren die massiven Netzwerke der allergrößten US Telekommunikationsanbieter.

00:02:00: Also wir reden hier von AT&T, Verizon, Lumen.

00:02:04: Genau T-Mobile gehört auch dazu und wer sich unbemerkt in genau diesen Infrastrukturen bewegt der kontrolliert halt nicht nur irgendwelche Daten sondern quasi die Quellen der globalen Kommunikation selbst.

00:02:16: Verstehe aber so ein unsichtbares Verweilen in den Systemen.

00:02:20: also das erfordert doch Ressourcen und eine Methodik die jetzt einen so ein gewöhnliches ransomware Cartel überhaupt nicht hat oder?

00:02:28: Richtig

00:02:29: absolut!

00:02:29: Das war eben kein hastiger Hollywood-Hack, wo man mal eben Passwörter im Sekundentakt knackt.

00:02:34: Wenn wir uns die forensischen Auswertungen ansehen, dann zeigen sie ein wirklich sehr klares Bild davon wie diese Infrastruktur eigentlich aufgebrochen wurde.

00:02:42: Okay!

00:02:43: Wie sind ihr denn reingekommen?

00:02:44: Der Einstieg der erfolgte extrem systematisch und zwar über die äußersten Ränder der Netzwerke – also technisch belegtes Folgendes Die Angreifer haben sich primär auf sogenannte Netzwerk Randgeräte konzentriert

00:02:56: Edge-Router richtig.

00:02:57: Genau, Edge- Router aber auch Firewalls und VPN Zugänge Und das betraf Systeme von ganz namhaften Herstellern also Cisco, Ivanti, Fortinet und Palo Alto.

00:03:07: Okay Diese Geräte die stehen architektonisch exakt an der Grenze zwischen dem internen geschützten Netzwerk eines Unternehmens und dem ja dem wilden unregulierten Internet.

00:03:18: Sie sind also im Grunde die digitalen Türsteher.

00:03:20: Perfekt zusammengefasst Ja sie sind die Türstehe Und die Angreifer nutzten ganz spezifische Zero-Day-Exploits.

00:03:28: Aber vor allem, und das ist das erschreckende auch einfach bekannte aber ungepatschte Sicherheitslücken in genau diesen Geräten aus.

00:03:36: Also wenn ich mir so diese ganze Architektur ansehe da wird es ja irgendwie ein grundlegendes Problem dieser Edgegeräte deutlich finde.

00:03:44: Welches meinst du?

00:03:44: Naja, sie sind einfach unglaublich schwer zu warten.

00:03:48: Also um eine Firewall oder einen zentralen Router zu patchen musst Du ja oft genau den Datenverkehr unterbrechen denen dieses Gerät eigentlich am Laufen halten soll.

00:03:57: Ja das klassische Dilemma

00:03:59: Und das führt hier in ganz vielen großen Konzernen dazu dass diese Updates immer wieder aufgeschoben werden weil niemand die Downtime verantworten will.

00:04:08: Ganz genau und wenn dann ein Angreifer eine Schwachstelle in so einem gerät findet Dann schreibt er seinen Schadcode, also einen Rootkit tief in das Betriebssystem rein.

00:04:19: Oder teilweise sogar direkt in den flüchtigen Spracher von dem Router.

00:04:23: Ach krass!

00:04:24: Ja und das bedeutet selbst wenn ein Administrator das Gerät dann mal routinemäßig neu startet... ...dann lädt der Router diese kompromittierte Firmware einfach wieder hoch.

00:04:33: Der Angreifer überlebt sozusagen den Neustart.

00:04:37: Also die tiefe Verankerung ist eigentlich der Trick.

00:04:40: Das ist der entscheidende Mechanismus.

00:04:42: Aber so ein Exploit allein, der reicht oft nicht aus um wirklich dauerhafte Kontrolle über so riesige Netzwerkssegmente zu bekommen.

00:04:50: Was braucht es dann noch?

00:04:51: Ja, forensische Analysen haben gezeigt das in diesem Fall auch ganz simple Fehlkonfiguration und völlig ungeschützte administrative Zugänge wie so ein massiver Multiplikator gewirkt haben.

00:05:02: Okay also menschliches Versagen oder schlechte Prozesse

00:05:06: Genau Besonders fatal war da einfach das Fehlen einer funktionierenden Mehrfaktor-Otentifizierung, also MFA.

00:05:14: Es gibt ein ganz spezifisches auch technisch belegtes Detail aus den Berichten was wirklich verrückt ist.

00:05:19: Bei AT&T reichte ein einziges kompromittiertes Admin-Konto aus.

00:05:24: Warte mal!

00:05:25: Ein einziges Konto?

00:05:26: Ein einzigis.

00:05:27: Und das verschaffte den Angreifern die weitreichende Kontrolle über mehr als hunderttausend Router im Netzwerk.

00:05:32: Hunderttausein Druter durch einen Konto Das ist ja wie Das ist als würde man die Vordertür von einem Hochsicherheitskrack mit ganz schwerem Stahl verriegeln, aber so ein unscheinbares Seitenfenster also diesen veralteten Router einfach offen lassen.

00:05:47: Ja genau!

00:05:48: Und wer dann einmal durch dieses Fenster einsteigt und drinnen den Generalschlüssel findet, also dieses Admin-Konto der kann sich unsichtbar im gesamten Gebäude bewegen.

00:05:59: Wahnsinn!

00:06:00: Besser kann man es nicht beschreiben ja?

00:06:02: Und wer die Kontrolle überall diese Route hat, manipuliert dann die sogenannten Routing-Tabellen.

00:06:07: Was heißt das konkret?

00:06:08: Das bedeutet der Angreifer kann den gesamten Datenfluss anweisen quasi eine kleine völlig unsichtbare Kopie von sich selbst anzufertigen und diese Kopie wird an einer IP Adresse seiner Wahl gesendet während das Originalpaket ganz normal und umgestört an sein Ziel weiterläuft.

00:06:26: Das heißt niemand merkt dass der Verkehr überhaupt gespiegelt wird!

00:06:29: Richtig absolut niemand.

00:06:31: okay.

00:06:31: Das erklärt jetzt dieses Wie, also wie sie reingekommen sind.

00:06:35: Aber das Warum finde ich fast noch faszinierender?

00:06:38: Ja, das ist der springende Punkt!

00:06:40: Weil üblicherweise sehen wir ja nach so einem extrem weitreichenden Massenzugriff eigentlich sofort irgendwelche Erpressungsversuche oder?

00:06:48: Ja Renzembeer Datendiebstahl genau.

00:06:50: Aber hier ist wirtschaftlich betrachtet gar nichts passiert.

00:06:54: Niemand hat Geld gefordert.

00:06:55: Also was war das Ziel der Angreifer, als sie einmal im Netzwerk drin waren?

00:07:00: Der

00:07:00: Fokus lag auf einem ganz bestimmten wirklich hoch sensiblen Bereich tief im Inneren dieser Provider-Netzwerke.

00:07:07: Und welcher war es?

00:07:08: Die lateralen Bewegungen also diese seitwärtsgerichteten Bewegung in der Anggreifer im Netz die zielten auf Systeme ab über die in der Öffentlichkeit eigentlich nur sehr selten gesprochen wird.

00:07:17: Es ging um gesetzlich vorgeschriebene Abhörsysteme.

00:07:21: Okay Moment gesetzliche Abhörsysteme.

00:07:26: Um das architektonisch zu verstehen, müssen wir kurz auf das US-Gesetz Kalea blicken.

00:07:31: C-A-L-E-A Genau!

00:07:33: Das ist der Communications Assistance for Law Enforcement Act.

00:07:37: Der stammt aus dem Jahr fourneunzig.

00:07:40: Und dieses Gesetz zwingt alle Telekommunikationsanbieter standardisierte Schnittstellen in ihren Netzwerken bereitzuhalten.

00:07:47: für wen?

00:07:48: Für die Behörden Diese sogenannten Lawful Intercept-Systeme, die ermöglichen ist den Strafverfolgungsbehörden natürlich nach Vorlage von einem richterlichen Beschluss.

00:07:57: Die Kommunikation bestimmter Zielperson in Echtzeit zu

00:08:00: überwachen.".

00:08:00: Okay

00:08:01: wow!

00:08:01: Das heißt der Staat zwingt die Unternehmen also dazu quasi eine permanente Hintertür in ihre Architektur einzubauen?

00:08:09: Genau so ist es.

00:08:10: Aber ganz ehrlich aus der Perspektive der IT-Sicherheit Ist das doch ein architektonischer Albtraum oder?

00:08:17: Absolut.

00:08:17: Weil wenn du einen System von Grund auf so designst, dass Dritte von außen also in dem Fall eben Diamitler Daten völlig unbemerkt ausleiten können dann erschaffst du doch automatisch den ultimativen Single Point of Failure.

00:08:31: Ja genau das ist das Problem.

00:08:33: Ein Angreifer muss dann überhaupt keine eigenen komplexen Ausleitungmechanismen mehr erfinden oder ins System schleusen Er muss einfach nur den Weg zu der bereits existierenden staatlich verordneten Hintertür finden.

00:08:46: Und genau die wird da natürlich zum wertvollsten Ziel für ausländische Spione.

00:08:50: Richtig!

00:08:51: Den technisch gesehen, vergrößert eine absichtlich eingebaute Schnittstelle einfach immer die Angriffsfläche – völlig unabhängig davon wie stark die jetzt verschlüsselt oder isoliert ist.

00:09:00: Klar, ne Tür is ne Tür?

00:09:02: Genau.

00:09:03: Und die Lockdaten beweisen hier auch ganz klar, dass die Angreifer ihre anfängliche Position auf diesen kompromittierten Edge-Routern über die wir eben sprachen genutzt haben um sich wirklich Schritt für Schritt im Netzwerk vorzuarbeiten.

00:09:15: Okay also von ganz außen nach ganz innen?

00:09:19: Ja sie haben Axis Control Lists manipuliert.

00:09:22: Sie haben verborgene VPN Tunnel aufgebaut einfach um die internen Firewalls zu umgehen Und so erreichen sie dann schließlich genau diese hoch isolierten Sekmente, in denen diese Lawful Intercept-Systeme also die Abhöranlagen betrieben werden.

00:09:36: Aber hier ist glaube ich eine extrem wichtige Abgrenzung nötig weil die Berichterstattung in solchen Fällen ja oft ein bisschen unscharf wird?

00:09:42: Absolut!

00:09:42: Ja

00:09:43: Die Angreifer sind nicht in die Netzwerke der US Behörden eingedrungen.

00:09:47: Nein auf gar keinen Fall.

00:09:49: Das FBI wurde nicht gehackt.

00:09:51: Auch wenn das in manchen Headlines vielleicht so klang,

00:09:54: griff der Fund ausschließlich innerhalb der Infrastruktur dieser kommerziellen Telekommunikationsanbieter statt.

00:10:01: Diese Provider sind halt gesetzlich verpflichtet die relevanten Datenströme an diesen K-Layer Schnittstellen zu sammeln und dann erst an das sogenannte DCS-Net der Behörden zu

00:10:11: übermitteln.

00:10:12: Verstehe,

00:10:13: d.h.,

00:10:13: die Angräfe haben sich exakt auf der Seite der Provider positioniert also direkt an der Verbindungsstelle bevor die Daten überhaupt an die staatlichen Ermittler übergeben wurden.

00:10:23: Richtig!

00:10:24: Sie nutzten die Infrastruktur der Unternehmen um ja im Grunde die Instrumente des Staates gegen ihn setztzuwinden.

00:10:31: Wahnsinn Und diese Beute, die sie da gemacht haben Die wirft ja auch so ein Schlaglicht auf die ganze Natur moderner Informationsbeschaffung, oder?

00:10:42: Weil wenn wir jetzt an Abhörmaßnahmen denken dann stellen sich die meisten von uns wahrscheinlich ganz klassische Telefongespräche vor.

00:10:49: So wie im Film!

00:10:51: Ja das ist das klassische Bild.

00:10:52: aber die Angreifer hatten es primär auf etwas ganz anderes abgesehen.

00:10:57: Nämlich

00:10:57: Sie erbeuteten Verbindungs- und Anruffdaten von über einer Million Nutzern.

00:11:02: also wir sprechen hiervon Metadaten.

00:11:05: Und metadaten, das muss man ja auch noch mal klar sagen.

00:11:08: Das dürfen wir nicht einfach als, naja, als simple Briefumschläge begreifen oder?

00:11:13: Es geht ja um NetFlow-Analysen, um Traffic-Korelation...

00:11:17: Genau!

00:11:17: Es ist halt so.

00:11:18: die technische Realität von metadata ist, äh ...die ist oft aussagekräftiger als der eigentliche Inhalt der Kommunikation.

00:11:27: Okay erklär das mal genauer.

00:11:29: Also

00:11:29: Metadaten umfassen Dinge wie den Sender, den Empfänger exakte Zeitstempel die Dauer der Kommunikation.

00:11:36: Die beteiligten IP-Adressen und vor allem auch die Standorte der Funkzellen.

00:11:42: Und wenn du all diese Datenpunkte mal über einen längeren Zeitraum miteinander korrelierst dann entsteht ein kristallklares Verhaltensprofil von einer Person.

00:11:51: Ja, das leuchtet ein.

00:11:53: Wenn man zum Beispiel sieht okay, dass Smartphone einer Zielperson lockt sich jeden Morgen um acht Uhr an einer ganz bestimmten Funkzelle ein und der Smartphone von einer zweiten scheinbar völlig unbeteiligten Person wird immer zur exakt gleichen Zeit an genau derselben Zeller aktiv.

00:12:10: Richtig!

00:12:11: Dann wissen die Analysten sofort A. Okay diese beiden Menschen pendeln offensichtlich zusammen zu Arbeit.

00:12:17: Genau.

00:12:17: oder ein anderes Beispiel Wenn ein Whistleblower aus einem Ministerium nachts um drei Uhr mit einem Journalisten der New York Times telefoniert, also da muss niemand den genauen Inhalt des Gesprächs anhören, um die Quelle von einem Artikel zu identifizieren, der dann am nächsten Tag erscheint.

00:12:46: Wahnsinn!

00:12:47: Und für nachrichtendienstliche Zwecke ist dieses Wissen natürlich von unschätzbarem Wert.

00:12:52: Absolut unbezahlbar, allerdings zeigen die Erkenntnisse der US-Behörden auch dass es eben nicht ausschließlich bei diesem Metadaten blieb.

00:12:59: Okay also doch Inhalte?

00:13:01: Ja beinahe sehr begrenzten aber hoch spezifisch ausgewählten Zielgruppen wurde tatsächlich auch die private Kommunikation Also die tatsächlichen Inhalter der Nachrichten und Gespräche

00:13:11: abgefangen.

00:13:12: Weiß man wer das war?

00:13:13: Nach Angaben der Behörden gehörten zu diesem Personenkreis unter anderem hochrangige Politiker sowie Mitarbeiter von Präsidentschaftskampagnen.

00:13:21: Okay, das ist natürlich heftig!

00:13:24: Aber was den Vorfall ja zu einem echten Desaster für die Spionageabwehr macht, ist noch eine weitere Ebene dieses Zugriffs?

00:13:34: Die Angreifer haben eben nicht nur wahllos Daten abgesaugt.

00:13:37: Genau sie konnten die Überwachungsarchitektur selbst einsehen richtig

00:13:42: Richtig, sie hatten Zugriff auf Angaben zu den gerichtlich angeordneten Überwachungsmaßnahmen selbst.

00:13:47: Sie sahen quasi die Zielerfassungslisten der

00:13:50: Ermittler.".

00:13:51: Und das bedeutet?

00:13:52: Wenn ein fremder Akteur sehen kann, welche Anschlüsse gerade von den US-Behörden überwacht werden, neutralisiert das doch wesentliche Teile der behördlichen Ermittlungsarbeit komplett?

00:14:02: Ganz genau!

00:14:03: Stell dir vor, ein feindlicher Geheimdienst erfährt dadurch, dass seine eigenen Spione vom FBI abgehört werden.

00:14:09: Ja?

00:14:10: Dann kann er diese Personen nicht nur rechtzeitig abziehen – nein!

00:14:13: Er kann diese kompromittierten Kanäle dann sogar aktiv nutzen um den US-Behörden gezielt Desinformationen und völlig falsche Fährten zuzuspielen.

00:14:22: Ach krass ja klar

00:14:24: Der Schaden in der Spionageabwehr durch diesen Einblick in die Kaleasysteme Der ist eigentlich kaum zu beziffern.

00:14:31: Was uns natürlich direkt zur Frage nach den Tätern führt, also diese Kombination aus dieser extremen technischen Raffinesse?

00:14:38: Dann dieser monatelangen Geduld wirklich gar keinen Lärm im Netzwerk zu verursachen?

00:14:43: und dann natürlich dieses hochspezifische Interesse an diesen Überwachungslisten.

00:14:47: Das ist doch zu hundert Prozent die Handschrift von staatlichen Akteuren oder?

00:14:51: Ja absolut!

00:14:53: Und die offiziellen Mitteilungen der US-Behörden, also ganz spezifisch vom FBI und auch der Zeibersicherheitsbehörde CISA, die untermauern genau diese Einschätzung.

00:15:02: Was sagen sie konkret?

00:15:04: Sie rechnen diese Kampagne unter dem Namen Sol Typhoon Akteuren zu, die mit der Volksrepublik China in Verbindung gebracht werden um ganz konkret zu sein mit den Ministerium für Staatssicherheit – dem MSS

00:15:17: Okay, aber hier müssen wir auch betonen.

00:15:18: Es ist wichtig festzuhalten dass es sich hierbei um die behördliche Attribution der US-Regierung handelt, richtig?

00:15:25: Also das basiert auf deren forensischen Erkenntnissen und geheimdienstlichen Analysen

00:15:30: Ganz genau!

00:15:30: Das ist eine offizielle Behördeliche Attribution

00:15:33: Weil die diplomatischen und wirtschaftlichen Konsequenzen von so einer Attribution lassen ja meistens nicht lange auf sich warten.

00:15:40: Richtig Und laut Medienberichten hat die chinesische Botschaft in Washington diese Vorwürfe als reine Verleumdungskampagne zurückgewiesen.

00:15:50: Ja,

00:15:50: das war zu erwarten!

00:15:52: Aber das US-Finanzministerium hat ja bereits reagiert oder?

00:15:55: Die haben harte Fakten geschaffen.

00:15:57: Das Ministerium hat Sanktionen gegen ein chinesisches Cyber-Sicherheitsunternehmen namens Sichuan Yuxin He verhängt und auch gegen Personen die damit in Verbindung stehen.

00:16:06: Warum genau gegen eine private

00:16:07: Firma?!

00:16:09: Weil der Vorwurf hier oft lautet dass staatliche Geheimdienste solche privaten Techfirmen einfach als zivile Deckmantel nutzen.

00:16:16: So bewahren sie sich diese plausible Abstreitbarkeit.

00:16:19: Sie können dann immer sagen, das war nicht der Staat!

00:16:22: Das war eine kriminelle Firma.

00:16:23: Ah

00:16:24: ok verstehe...

00:16:25: Und an dieser Stelle müssen wir noch eine ganz wesentliche konzeptionelle Trennung vornehmen Nora.

00:16:31: Welche?

00:16:32: In der Cyber-Sicherheitslandschaft kursieren derzeit verschiedene Kampagnen die dieses Suffix Typhoon tragen und Salttyphoon darf unter keinen Umständen mit der Kampagne Volttyphun vermischt werden.

00:16:45: Ah,

00:16:45: okay.

00:16:45: Was war nochmal der Unterschied?

00:16:46: Wollt Typhoon verfolgte ein völlig anderes Ziel!

00:16:50: Da ging es um die Infiltration kritischer Infrastruktur zur Vorbereitung potentieller Sabotage-Akte

00:16:55: Also sowas wie das bewusste Abschalten von Strom oder Wasser im Konfliktfall.

00:16:59: Exakt.

00:16:59: Das ist Sabotages.

00:17:01: Sollt Typhon hingegen – worüber wir heute sprechen – dass war eine reine Spionageoperation.

00:17:07: Das Ziel war diese leise beständige und absolut unsichtbare Informationsbeschaffung in den Telekommunikationsnetzen.

00:17:14: Und diese Unsichtbarkeit, die verdeutlicht ja auch irgendwie so diese absurde Asymetrie dieses Konflikts.

00:17:20: Wie meinst du das?

00:17:21: Na ja, guck mal!

00:17:22: Auf der einen Seite hast Du diese zivilen Sicherheitsteams von den Telekommunikationsanbietern.

00:17:27: Ja Die müssen diese historischen über Jahrzehnte gewachsene Netzwerke mit keine Ahnung Millionen von Gereken absichern während gleichzeitig das operative Tagesgeschäft völlig fehlerfrei weiterlaufen muss.

00:17:42: Und auf der anderen Seite stehen diese hochspezialisierten staatlich-gelenkten Teams.

00:17:48: Die haben überhaupt keinen Zeitdruck, die müssen am Ende des Monats kein Quartalsbericht für die Aktionäre abliefern...

00:17:54: Das stimmt!

00:17:54: ...die können sich monatelang durch irgendwelche Protokolle graben, maßgeschneiderte Exploits für

00:18:00: exakt

00:18:01: diesen einen Routertyp von einem bestimmten Provider entwickeln und dann einfach warten.

00:18:06: Warten bis jemanden Fehler macht?

00:18:08: Genau Bis ein Administrator vergisst die MFA, für irgendeinen unwichtigen Testaccount zu aktivieren.

00:18:14: Das ist doch total

00:18:15: unfair!

00:18:23: Und wenn sich die Angreifer erst einmal in diesen grundlegenden Routing-Protokollen des Netzwerks festgesetzt haben, dann verlieren die klassischen Verteidigungsmechanismen sowieso ihre Wirkung.

00:18:39: Warum das?

00:18:40: Naja, wenn die Software, die eigentlich den Datenverkehr überwachen soll von den Angreifern kontrolliert wird dann können die Sicherheitsteams ihren eigenen Diagnose-Tools ja gar nicht mehr vertrauen.

00:18:50: Okay!

00:18:50: Das ist natürlich der absolute worst case.

00:18:53: und genau diese Machtnossigkeit gegenüber der Software die führte zu einem der finde ich bemerkenswertesten Momente dieser gesamten Operation Ja Ein Moment der diese hochkomplexe völlig digitale Bedrohung auf eine fast schon surreal physische Ebene gezwungen hat.

00:19:10: Also die Medienberichte von Bloomberg und dem Wall Street Journal diskutieren da eine Szene beim Provider T-Mobile, die wirklich zeigt wie verzweifelt die Lage eigentlich war?

00:19:19: Ja!

00:19:20: Und die Rekonstruktion dieses speziellen Vorfalls illustriert halt auch extrem gut die massiven Gefahren von diesen Vertrauensstellungen zwischen verschiedenen Unternehmensnetzwerken.

00:19:30: Genau also die Analysten im Security Operations Center von T-mobile hatten monatelang diesen Datenverkehr durch Forsted.

00:19:38: Sie wussten durch irgendwelche Anomalien, dass sich Eindringlinge im Netzwerk bewegen.

00:19:43: Aber die Angreifer verstanden die Architektur so gut, dass sie einfach immer unterhalb der Alarmschwellen operiert haben.

00:19:50: und schließlich gelang es den Verteidigern dann so verdächtige laterale Datenströme zu isolieren.

00:19:56: aber da gab es ein Problem.

00:19:59: Genau Der Ursprung dieses Verkehrs, der lag überhaupt nicht in der eigenen T-Mobile Hardware.

00:20:05: Nein

00:20:05: die Angriffe liefen über den Router eines Partnerunternehmens und dieser Router hatte einen vertrauenswürdigen Zugang direkt in das Kernnetz von T-mobile.

00:20:15: Richtig!

00:20:16: Das ist doch dieses klassische Supply Chain.

00:20:18: Risiko oder Partnerrisiko?

00:20:21: Exakt

00:20:22: Eine extrem gehärtete Infrastruktur nützt ihr halt wenig, wenn da so eine dedizierte vertrauenswürdige Schnittstelle zu einem Drittanbieter existiert dessen Edge-Router dann kompromitiert wurde.

00:20:34: Der Angreifer nutzt einfach das Vertrauen der Systeme untereinander aus

00:20:38: Und das Sicherheitsteam von Timo beistand dann eben vor einem massiven Dilemma.

00:20:43: Sie wussten, okay der Angreifer nutzt diesen Partnerrouter als Brückenkopf aber sie konnten nicht abschätzen wie tief sich die Schadsoftware eigentlich schon in ihre einen Routing-Tabellen geschrieben hatte.

00:20:55: und ein Versuch die Verbindung jetzt einfach per Softwarebefehl zu trennen das hätte den Angreifern ja alarmieren können.

00:21:01: Genau,

00:21:02: und schlimmer noch.

00:21:03: Da unklar war wer in diesem Moment wirklich die Kontrolle über die virtuellen Netzwerkschichten hatte, bestand ja auch die Gefahr dass so Software-Sperren einfach umgangen oder völlig ignoriert werden.

00:21:14: Richtig!

00:21:15: Also... Die Bedrohung für das Netz war in dem Moment so akut, dass Software gar nicht mehr die Lösung sein durfte.

00:21:20: Und was haben sie gemacht?

00:21:22: Das Team traf eine Entscheidung, die in unserer modernen IKI-Welt echt wie ein Anachronismus wirkt.

00:21:27: Mitarbeiter fuhren physisch zu einem Rechenzentrum im Bundesstaat Washington.

00:21:32: Sie liefen durch die Reihen dieser Serverrecks – sie identifizierten dann anhand der Hardwarepläne das exakte Kupfer oder Glasfaserkabel dass die Verbindung zum Partnerrouter herstellte

00:21:42: und haben es durch Trend.

00:21:44: Genau!

00:21:45: Sie durch Trend ist physisch mit einer ganz normalen Schere.

00:21:50: Der analoge Kill Switch.

00:21:53: Wahnsinn, oder?

00:21:54: Ja!

00:21:54: Aber logisch... Wenn die Integrität der digitalen Steuerungsschicht kompromittiert ist, dann ist diese physische Zerstörung des Transportmediums die einzige Garantie um einen laufenden Datenabfluss oder weitere Bewegungen im Netz wirklich augenblicklich und unwiderruflich zu

00:22:07: stoppen.

00:22:08: Es entbehrt halt nicht einer gewissen Ironie.

00:22:11: Auf der einen Seite sehen wir den fortschrittlichsten digitalen Spionagekrieg unserer Zeit.

00:22:16: Hochkomplexe Zero Day Exploits, RootKids in flüchtigen Speichern das lautlose Abgreifen von NetFlow-Meterdaten, von Millionen von Nutzern und eben dieses gezielte Ausnutzen von diesen Kalier Hintertüren.

00:22:30: Und auf der anderen Seite... wird dieser Angriff in diesem einen Rechenzentrum durch eine einfache Schere aus dem Bürobedarf gestoppt.

00:22:39: Das beweist doch am Ende, dass selbst das komplexeste Netzwerk einfach an physische Hardware gebunden ist!

00:22:46: Da stimmt.

00:22:47: Nico was müssen Infrastrukturbetreiber aus diesem Fall jetzt konkret lernen?

00:22:51: Was ist dein fachliches Resümee aus diesem Vorfall?

00:22:53: Also die technischen Lehren sind eindeutig und die erfordern wirklich eine ganz konsequente Umsetzung der gesamten Branche.

00:23:00: Okay.

00:23:00: Erstens Die Peripherie ist das Hauptziel.

00:23:04: Diese Netzwerk-Randgeräte wie Router und Firewalls, die müssen zwingend und ohne Verzögerung aktualisiert werden.

00:23:09: Bekannte Schwachstellen dürfen nicht monatelang offen bleiben nur weil eine Downtime unbequem ist.

00:23:15: Ja Zweitens End of Life Hardware Also Geräte für die die Hersteller keine Sicherheitspatches mehr anbieten Die muss physisch aus den Netzen entfernt werden.

00:23:25: Das sind tickende Zeitbomben

00:23:27: Absolut.

00:23:28: Drittens Administrative Zugänge erfordern eine lückenlose, streng abgesicherte Mehrfaktor-Authentifizierung.

00:23:36: Es darf da einfach keine Ausnahmen für veraltete Systeme oder irgendwelche Dienstleisteraccounts geben.

00:23:42: Viertens – Netzwerke müssen strikt in Mikrosegmentierungen unterteilt werden.

00:23:47: Ein kompromittierter Edge-Router darf niemals einen direkten unkontrollierten Fahrt zu sensiblen Systemen bieten wie eben dieser Lawful Intercept Infrastruktur.

00:23:58: Fünftens Die Protokollierung muss zentralisiert erfolgen.

00:24:02: Wer anomale Datenströme nicht überwacht, der sieht den Angreifer einfach nicht.

00:24:07: und dann noch ein abschließender wirklich essentieller Punkt zur Kommunikation.

00:24:12: Viele verlassen sich heute blind auf Ende zu Ende Verschlüsselung – und ja diese schützt den eigentlichen Inhalt einer Nachricht vor dem Mitlesen aber sie verbirgt eben nicht zwingend die massiv anfallenden Metadaten auf Netzwerkebene?

00:24:25: Ja, die Umschläge bleiben sichtbar?

00:24:27: Genau.

00:24:27: Der Zeitpunkt der Kommunikation, die Dauer-, die IP-Adressen und die beteiligten Anschlüsse – das alles bleibt für einen Angreifer sichtbar, der den Datenverkehr am Knotenpunkt

00:24:37: kontrolliert.".

00:24:38: Das führt uns zu einem unbequemen Gedanken, den wir aus dieser Untersuchung mitnehmen müssen!

00:24:44: Wir haben das gesamte Fundament unserer digitalen Infrastruktur auf dem Prinzip von Vertrauen und gerichtlichen Kontrollmechanismen aufgebaut.

00:24:53: Aber wenn staatlich verordnete Hintertüren Egal wie gut gemeint sie zur Verbrechensbekämpfung sind, von fremden Geheimdiemsten als perfekte Angriffsvektoren genutzt werden – stellt sich die Frage?

00:25:04: Ist ein Netzwerk das absichtliche Schwachstellen enthält überhaupt noch zu verteidigen oder müssen wir die Architektur des Internets von Grund auf neu denken ohne eingebaute Generalschlüssel.

00:25:16: Vielen Dank dass du bei dieser Folge dabei warst.

00:25:18: Denke daran!

00:25:19: Cyber-Sicherheit beginnt nicht erst beim großen Angriff sondern bei den kleinen Entscheidungen im Alltag.

00:25:25: Wenn dir die Folge gefallen hat, abonniere den Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen.

00:25:31: Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden!

00:25:37: Bis zum nächsten Folge – bleib aufmerksam und digital sicher!