#16 Wenn IT-Retter ihre eigenen Kunden erpressen

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapel zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt des Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:11: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können Und wie wichtig es ist aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:21: Hallo und herzlich willkommen zu unserer heutigen Analyse.

00:00:25: Ich bin Nora.

00:00:28: Stell dir mal vor, du kommst morgens ins Büro.

00:00:31: Hol's dir ein Kaffee, fährst deinen Rechner hoch und staß plötzlich auf einen völlig fremden Desktop.

00:00:38: Da brangt dann kein Firmenlogo mehr sondern ein hohoffizielles grafisch echt gutaufbereitetes Stellenangebot.

00:00:45: das Versprechen eine Million Dollar

00:00:48: in Bitcoin

00:00:49: Und die einzige Bedingung dafür ist Du musst dein eigenes Unternehmen verraten und nur eine kleine Datei im Netzwerk ausführen.

00:00:57: Ja, das klingte wie so ein ausgedachter Fühlerplott.

00:01:00: Aber...

00:01:01: Genau das ist brutale alltägliche Realität!

00:01:05: Wir tauchen heute in einen Thema ein, dass die fundamentale Idee von Sicherheit echt auf den Kopf stellt.

00:01:10: Absolut und ich werde heute so ein bisschen Die technischen Strukturen und die größeren Zusammenhänge hinter diesen Vorfällen analysieren.

00:01:19: Wir müssen ja verstehen, wie dieses System im Hintergrund wirklich funktioniert?

00:01:23: Ja!

00:01:23: Und wenn wir uns dafür mal durch die behördlich bestätigten Gerichtsakten des US-Justizministeriums wühlen kombiniert mit forensischen Analysen von Firmen wie Akamai, IBM, Safe State & Huntress dann zeichnet sich da echt ein extrem beunruhigendes Bild ab.

00:01:40: Unsere Mission für dieses Gespräch ist es diese Evolution der Cyberkriminalität zu verstehen.

00:01:46: Weil wir haben es hier nicht mehr mit isolierten Hackern in dunklen Kellern zu tun, weißt du?

00:01:51: Das ist eine hochprofessionelle global agierende Industrie.

00:01:55: und die vielleicht bitterste Erkenntnis aus all diesen Quellen ist – Die größte Gefahr für dein Netzwerk kommt heute oft gar nicht durch die Firewall!

00:02:04: Richtig sie sitzt quasi im Büro nebenan

00:02:06: oder Und das ist echt der absolute Albtraum.

00:02:09: Sie arbeitet für die IT-Sicherheitsfirma, die du gerade richtig teuer bezahlt hast um dich eigentlich zu retten!

00:02:15: Um überhaupt greifen zu können wie diese Insiderangriffe in der Praxis ablaufen müssen wir erstmal dieses zugrunde liegende wirtschaftliche Modell verstehen weil ohne dieses Modell gäbe es die heutige Flut an Angriffen gar nicht In der Branche.

00:02:28: nennen wir das Ransomware as a Service oder kurz Russ.

00:02:34: Wenn ich mir dazu diese Berichte von Trend Micro und Huntress ansehe, das liest sich ja wirklich wie der Geschäftsbericht von einem ganz normalen Softwarekonzern.

00:02:41: Ja total!

00:02:43: Lass uns das mal ein bisschen aufdröseln.

00:02:45: Das ist im Grunde wie so ein kriminelles Franchise-System oder?

00:02:49: Ganz genau, ja.

00:02:50: Es ist kein chaotisches Hackertum mehr sondern eine hochgradig arbeitsteilige Lieferkette.

00:02:56: Auf der einen Seite haben wir da die Entwickler Die sogenannten Operators.

00:03:01: Die sitzen quasi in der Zentrale.

00:03:03: Sie schreiben den Verschlüsselungskot, sie hosten die ganzen Server und betreiben diese League-Websites auf denen dann später die gestohlenen Daten veröffentlicht werden.

00:03:11: Die bieten sogar professionelle Supportforen an oder?

00:03:15: Ja verrückt!

00:03:16: Und auf der anderen Seite haben wir dann die Partner, die affiliates – und diese Trennung ist der entscheidende Hebel.

00:03:22: Technisch belegt es nämlich dass die Entwickler oft gar keine eigenen Angriffe mehr durchführen.

00:03:27: das überlassen sie komplett den affiliates.

00:03:30: Okay, der Affiliate ist also derjenige, der die eigentliche Drecksarbeit macht.

00:03:34: Genau!

00:03:35: Der übernimmt das Eindringen in das Unternehmensnetzwerk, erfindet den Zugang, stiehlt die Daten und rollt dann die Ransomware aus – und laut den Analysen von IBM gibt es dafür echt ganz klare vertragliche Regelungen.

00:03:47: Wenn ein Opfer das Lösegeld zahlt wird ihr Gewinn automatisch über Kryptowährung aufgeteilt.

00:03:52: Wer kriegt da wie viel?

00:03:54: Die Entwickler behalten in der Regel so eine Provision von zwanzig bis vierzig Prozent für die Breitstellung der Infrastruktur und der Löwenanteil, also sechzig- bis achtzig Prozent, der geht an den Erfiliet.

00:04:04: Wahnsinn!

00:04:05: Das bedeutet ja, die Eintrittsbarriere für schwere Cyberkriminalität ist quasi auf Null gesunken.

00:04:12: Ein Affiliate muss überhaupt kein brillanter Programmierer mehr sein – richtig.

00:04:16: Richtig

00:04:17: Er muss keine komplexe Verschlüsselungsmalwehr von Grundauf neu erfinden?

00:04:21: Er mietet sich das komplette Waffenaseral einfach als Clouddienstleistung an.

00:04:26: Er lockt sich in so ein Dashboard ein, das wahrscheinlich benutzerfreundlicher ist als meine Buchhaltungssoftware.

00:04:31: Mit Sicherheit!

00:04:32: Und dann konzentriert er sich nur noch auf eine einzige Sache – wie komme ich durch die Vordertür des Opfers?

00:04:38: Und genau diese Spezialisierung macht das RAS-Modell so verheerend effizient.

00:04:43: Weil der Affiliate sucht natürlich nach dem Weg des geringsten Widerstands.

00:04:47: Klar warum sollte er wochenlang versuchen irgendeine perfekt konfigurierte Firewall oder Zero Trust Architektur zu knacken wenn er einfach einen Menschen manipulieren kann.

00:04:57: Genau das ist der Punkt!

00:04:59: Rasgruppen haben erkannt, dass der Mensch nicht nur die Schwächste sondern oft auch die billigste Schwachstelle ist.

00:05:06: sie rekrutieren gezielt Insider

00:05:08: und das bringt mich direkt zu diesem Szenario vom Anfang zurück.

00:05:12: Das war ja nämlich kein theoretisches Beispiel.

00:05:15: Technisch belegt ist das durch Analysen von Palo Alto Networks.

00:05:18: Da hat die Ransomware-Gruppe LockBit, speziell in der Version LockBits zwei Punkt Null exakt diese Taktik angewandt.

00:05:26: Die haben dann nicht nur Erpresserschreiben für das Management hinterlassen sondern ihr Schadprogramm so konfiguriert dass es auf allen infizierten Rechnern im Unternehmen das Hintergrundbild austauschte.

00:05:38: Total und darauf stand ein klares Angebot an die Belegschaft Hälft uns, liefert uns valide Zugangsdaten für andere Unternehmensbereiche und ihr bekommt Millionen.

00:05:48: Also ein offener Aufruf zum Verrat direkt auf dem Desktop von jedem einzelnen Mitarbeiter.

00:05:54: Das perfide daran ist ja dass es die Loyalität der Belegschaft wirklich in Echtzeit testet.

00:06:00: Aber diese Rekrutierungsversuche Die bleiben eben nicht immer nur auf diesen anonymen digitalen Raum beschränkt.

00:06:07: Oh nein

00:06:08: Wenn die Zielperson wertvoll genug ist wird der Aufwand extremer höht.

00:06:13: Das zeigt ein Fall aus dem Sommer, um die Tesla Gigafactory in Nevada.

00:06:18: Der ist durch Erkenntnisse des US-Justizministeriums behördlich wirklich detailliert bestätigt worden.

00:06:23: Oh ja den Fall habe ich mir auch angesehen!

00:06:25: Hier wird es wirklich interessant für dich als Hörer weil wenn man sich diese Justizakten durchließ das fühlt sich an wie im Spionage Thriller aus dem Kalten Krieg.

00:06:34: Da reist dann also ein russischer Staatsbürger, ein gewisser Igor Kritschkoff physisch in die USA.

00:06:39: Er mietet ein Auto fährt nach Nevada und kontaktiert einen russischsprachigen Mitarbeiter der Tesla-Fabrik.

00:06:47: Und zwar ganz banal über WhatsApp – er gibt da einfach vor, ein alter Bekannter zu sein, der zufällig in der Gegend ist.

00:06:54: Ja das ist psychologisch unfassbar clever aufgebaut!

00:06:57: Absolut.

00:06:58: Er fällt da nicht direkt wie der Tür ins Haus, er lädt den Mitarbeiter und dessen Kollegen zu einem Kurz-Trip nach Lake Tahoe ein, zahlt alle Rechnungen – das Essen, die Getränke….

00:07:09: Er betreibt also klassisches Grooming, er baut ganz systematisch ein persönliches Vertrauensverhältnis auf …und so eine Art soziale

00:07:17: Verpflichtung.".

00:07:18: Und als dieses Vertrauungsverhältniskern etabliert war, ließ ja die Maske fallen!

00:07:22: Krischkopf bot den Mitarbeiter eine Million US-Dollar an, die Zahlung sollte wahlweise in Bar oder in Bitcoin erfolgen.

00:07:30: Und die technische Aufgabe, die der Mitarbeiter dafür erfüllen sollte war echt erschreckend banal!

00:07:35: Er sollte einfach nur einen präparierten USB Stick mit sich führen und den an einen autorisierten Arbeitsplatzrechner innerhalb der Fabrik anschließen, oder?

00:07:45: Genau – Nur einstecken.

00:07:47: Das musst du dir mal überlegen, was das für deine eigene IT-Abteilung bedeutet.

00:07:51: Du kannst die teuersten Sicherheitssysteme der Welt installieren – du kannst biometrische Zugangskontrollen einrichten und den Netzwerkverkehr echt rund um die Uhr überwachen!

00:08:01: Aber wie um Himmels Willen verhinderst du dass jemand, der jeden Tag ganz legal durchs Werkstor läuft einen kleinen Stick aus der Hosentasche zieht?

00:08:15: Zumal der Plan laut den Gerichtsakten taktisch extrem raffiniert war.

00:08:19: Die Kriminellen wollten nicht einfach nur den Stick einstecken und dann hoffen, dass nichts passiert.

00:08:23: Gritschkoff erklärte dem Mitarbeiter das parallel einen massiver DEDOS-Angriff von außen auf Tesla gestartet werden würde.

00:08:34: Richtig.

00:08:34: Also ein klassisches Ablenkungsmanöver, man legt das externe Netzwerk lahm sodass in der IT-Abteilung alle roten Lampen blinken?

00:08:43: Alle Sicherheitsanalisten rennen los um diesen richtig lauten offensichtlichen Brand an der Außenmauer zu löschen und während alle dort hinschauen spaziert der Insider im Gebäude ganz entspannt an den Rechner steckt den Stick ein und die eigentliche Mellware saugt im Hintergrund völlig unbemerkt die sensiblen Unternehmensdaten ab.

00:09:01: Exakt!

00:09:02: Danach wäre dann die millionenschwere Erpressung gefolgt.

00:09:05: Aber das System hat in diesem Fall Stand gehalten, der Mitarbeiter erwies sich als absolut unbestechlich.

00:09:12: Er wandte sich umgehend an das Management von Tesla und das Unternehmen schaltete direkt das FBI ein.

00:09:19: Das führte zu einer klassischen verdeckten Ermittlung also eine Stingoperation

00:09:23: Und das Justizministerium beschreibt, dass so detailliert.

00:09:27: Das FBI verkabelte den Mitarbeiter für die weiteren Treffen.

00:09:31: Krütschkopf übergab ihm dann ein Burnerphone – also ein Wegwerfhendi -, was strikt im Flugmodus bleiben sollte bis diese Anzahlung in Bitcoin auf einem Konto eingegangen wäre.

00:09:43: Ja, es gab da hitzige Diskussionen über Treuhandkonten in Darknet-Fohren.

00:09:49: Weil die Kriminellen dem Insider das Geld natürlich auch nicht ohne Sicherheiten im Voraus überweisen wollten.

00:09:55: Am Ende schnappte die Falle dann aber zu.

00:09:57: Krütschkoff wurde am Flughafen in Los Angeles verhaftet als er versuchte das Land zu verlassen.

00:10:03: Er bekannte sich schuldig und wurde ausgewiesen.

00:10:05: Tesla hatte da wirklich Glück weil die menschliche Firewarm funktioniert hat.

00:10:10: Dieser eine Mitarbeiter war loyal.

00:10:12: Fall zeigt ja, dass das System nur hielt weil eine einzige Person unbestechlich war.

00:10:18: Das ist ein massiver Single-Point of failure und die kriminellen Lernen aus solchen Fehlschlägen.

00:10:23: Wenn man den Fabrikarbeiter an der Basis nicht kaufen kann Warum versucht man es dann nicht direkt bei den Leuten, die das Netzwerk ohnehin in und auswendig kennen?

00:10:32: Warum kauft man nicht die Wächter selbst?

00:10:33: Ja!

00:10:34: Eine sehr berechtigte und leider auch sehr reale Frage.

00:10:37: Damit verlassen wir nämlich die Ebene der einfachen Angestellten und betreten die höchste Stufe der IT-Sicherheit.

00:10:44: Nach offiziellen Angaben des US Justizministeriums wurde im Jahr für ein Gerichtsfall verhandelt, der die gesamte Incident Response Branche in einer echte Krise gestürzt hat.

00:10:53: Okay was genau ist da passiert?

00:10:55: Es

00:10:55: geht um drei amerikanische Cyber Security Experten.

00:10:59: Angelou Martinot und Kevin Martin – die waren beide angestellt bei der renommierten Firma Digital Mint.

00:11:05: Und dann noch Ryan Goldberg von Signia.

00:11:08: Das sind ja Jobs, die absolutes Vertrauen erfordern!

00:11:11: Ich meine sie waren Incident Responder.

00:11:14: wenn ein Unternehmen Opfer von einem ransomware Angriff wird Dann brennt die Hütte Die Produktion steht still, die Aktienkurse drohen abzustürzen... ...die Geschäftsführung ist in absoluter Panik und in dieser Notlage ruft man dann Firmen wie Digital Mint an.

00:11:28: Genau so ist es.

00:11:29: Martino und seine Kollegen kamen da als Retter.

00:11:32: Sie analysierten die Systeme und übernahm die Verhandlungen mit den Erpressern.

00:11:36: Aber heimlich, also quasi nach Feierabend, arbeiteten genau diese Männer als Hacker-und Affiliates für die Black Hat Ransomware Gruppe – auch bekannt als ALV!

00:11:46: Das ist genau die Gruppe vor der sie ihre eigenen Kunden eigentlich beschützen sollten.

00:11:50: Wow…

00:11:53: das ultimative Doppelspiel...

00:11:56: Die Dimension dieses Verrats sprengt wirklich alles bisher dargewesene.

00:12:00: Aus struktureller Sicht ist das der totale Kollaps.

00:12:04: Martino verhandelte laut Gerichtsdokumenten für mindestens fünf Opferunternehmen und er nutzte seine Position, als diese ultimative Vertrauensperson aus um BledCat vertrauliche Informationen über die internen Verhandlungsstrategien seiner Kunden zuzuspielen.

00:12:19: Er kannte die Notfallpläne, die Schwachstellen, die finanziellen Reserven

00:12:23: Und das Schlimmste daran, er verriet den Erpressern wohl auch die exakten Limits des Cyberversicherungspolizen.

00:12:30: Ja, das ist der Wahnsinn.

00:12:31: Das verändert doch die Samte Dynamik von so einem Erpressungsfall.

00:12:35: Normalerweise ist es ja ein Pokerspiel?

00:12:38: Dass Opfer behauptet man stehe kurz vor der Insolvenz und könne unmöglich mehr als Summe X zahlen!

00:12:45: Wenn der Angreifer aber durch Martino auf den Cent genau weiß dass die Versicherung des Opfers einen Limit von sagen wir mal zwanzig Millionen Dollar abdeckt naja dann gibt es keine Verhandlung mehr.

00:12:55: Nein null... Der angreifer fordert exakt diese zwanzich Millionen und wartet einfach ab.

00:13:00: Laut Justizministerium wurden auf diese Weise bei diesen fünf Opfern unfassbare, seventy-fünf Millionen US-Dollar erpresst.

00:13:08: Krass!

00:13:08: Und es blieb nicht mal bei der Rolle als Informanten.

00:13:12: In mindestens einem dokumentierten Fall griffen diese drei Experten selbst als Affiliates an, erpressten ein Unternehmen um eins Komma zwei Millionen Dollar und teilten die Beute dann einfach unter sich auf.

00:13:23: Was

00:13:23: ist mit denen passiert?

00:13:24: Martino wurde im Juli-Zweißen-Seksundzwanzig zu siebzig Monaten Gefängnis verurteilt.

00:13:31: Seine Komplizen erhielten jeweils vier Jahre Haft!

00:13:34: Laut Medienberichten von CNN hatte sich Martino von diesem Blutgeld seiner eigenen Kunden unter anderem so eine Luxusjacht gekauft.

00:13:42: Das musst du dir mal vorstellen, während die Opferunternehmen um ihre nackte Existenz kämpften, fuhr ihr Retter auf deren Kostenboot – die Firma Digital Mint hat die Mitarbeiter natürlich sofort entlassen und betont, von nichts gewusst zu haben!

00:13:57: Aber stell dir vor, du bist in der Rolle des geschädigten Unternehmens.

00:14:00: Du zahlst ein Vermögen für externe Hilfe und der Typ, der den Feuerlöscher hält, der legt heimlich das nächste Feuer!

00:14:08: Das zerstört doch das grundlegende Vertrauen im externen Dienstleister komplett?

00:14:12: Ja, total.

00:14:13: Aber wenn die Opfer ihren eigenen Beschützern nicht mehr trauen können dann stellt sich ja unweigerlich die Frage nach dem Vertrauen auf der anderen Seite.

00:14:20: Wie meinst du das?

00:14:21: Können sich Kriminelle in diesem hoch professionalisierten RAAS-System wenigstens aufeinander verlassen?

00:14:29: Ein Blick auf den massiven Angriff auf Change Health Care im Frühjahr, ist nicht.

00:14:35: Ah, Change Healthcare!

00:14:37: Das war dieser Vorfall der weite Teile der Medikamentenversorgung und Abrechnungen im US-Gesundheitswesen lahmgelegt hat.

00:14:43: Die Auswirkungen auf die Patienten waren da ja wirklich dramatisch.

00:14:47: Richtig Und laut Behauptungen eines Black Cat Affiliates, der im Darknet unter dem Pseudonym Nochi auftrat hat Change Healthcare schließlich ein Lösegeld in Höhe von Zweiundzwanzig Millionen US-Dollar gezahlt.

00:15:00: Okay!

00:15:01: Wichtiger Quellenhinweis hierbei – nach Medienberichten hat Change Health Care diese konkrete Zahlung öffentlich weder bestätigt noch dementiert?

00:15:08: Genau Aber Blockchain-Analysen haben eindeutig eine Transaktion in exakt dieser enormen Höhe nachgewiesen, und zwar an eine Wallet die den Administratoren von Black Cat zugerechnet wird.

00:15:20: Also ist das Geld bei Black Cat angekommen?

00:15:23: Ja!

00:15:23: Und jetzt passiert etwas dass die inneren Risse dieses kriminellen Franchise Modells schonungslos offenlegt... Nach den üblichen Rash-Regeln hätten die Administratoren Nochi, der ja den Angriff durchgeführt und das ganze Risiko getragen hatte seinen Anteil von etwa achtzig Prozent auszahlen müssen.

00:15:41: Stattdessen sperrten sie aber Nochis Zugangskonto.

00:15:43: Sie behielten die gesamte zweiundzwanzig Millionen US-Dollar für sich Und betrogen ihren eigenen Partner.

00:15:49: Also ein klassischer Exitscam.

00:15:52: Aber die konnten nicht einfach mit dem Geld verschwinden ohne ihr Gesicht in der Szene komplett zu verlieren oder?

00:15:56: Genau Also haben sie etwas inszeniert.

00:15:59: Sie platzierten ein riesiges Banner auf ihrer eigenen League-Website im Darknet, das aussah wie eine offizielle Beschlagnahmung durch das FBI und europäische Behörden.

00:16:07: Wow!

00:16:08: Sie wollten der Welt weiß machen – hey?

00:16:11: Wir wurden von der Polizei hochgenommen.

00:16:13: die Server sind beschlagnamnt.

00:16:14: wir können leider niemanden mehr auszahlen.

00:16:16: Das ist ja fast schon filmreif

00:16:18: Ja aber technisch entlarvt wurde diese Charade extrem schnell.

00:16:22: Sicherheitsforscher darunter Fabian Wosa von MC Soft Analysierten den Quellcode dieser vermeintlichen Beschlagnahmungsseite.

00:16:30: Sie haben zweifelsfrei bewiesen, dass die Kriminellen das Banner eines viel älteren echten Takedowns einfach schlamppig kopiert und auf ihren eigenen Server hochgeladen hatten.

00:16:40: Ach krass!

00:16:42: Ja, die Behörden hatten Black Hat zu diesem Zeitpunkt überhaupt nicht angerührt.

00:16:46: Die Administratoren hatten sich schlichtweg mit dem Millionen abgesetzt.

00:16:49: Also was bedeutet es alles für dich und betroffene Unternehmen?

00:16:53: Das führt zu einer völlig absurden und für das Opfer echt katastrophalen Situation.

00:17:00: Change Healthcare oder halt deren Versicherung zahlt Zweiundzwanzig Millionen, in dem Glauben des Problems sei gelöst und die Daten würden gelöst.

00:17:08: Aber Notchie der Betrokener fehl yet?

00:17:10: Der liest es natürlich nicht auf sich sitzen!

00:17:12: Weil er den eigentlichen Angriff durchgeführt hatte saß er physisch immer noch auf den vier Terabyte an gestohlenen extrem sensiblen Gesundheitsdaten.

00:17:21: Und genau das ist die fundamentale Schwäche im System.

00:17:25: Da Nocci leer ausging, wandte er sich einfach an eine rivalisierende Ransomware-Gruppe namens Ransome Hub.

00:17:31: Er nutzte deren Infrastruktur um Change Healthcare wenige Wochen später ein zweites Mal mit exakt denselben Daten zu erpressen.

00:17:39: Für betroffene Unternehmen ist es wirklich die ultimative Lehrstunde!

00:17:44: Du zahlst Millionen an einen Syndikat und am Ende streiten sich die Kriminellen wie die Hyänen um die Beute.

00:17:51: Der Typ, der deine sensiblen Patientendaten auf der Festplatte hat.

00:17:54: Der ist wütend, pleite und erpresst dich einfach nochmal!

00:17:59: Das belegt doch echt eindrucksvoll dass es in dieser Industrie keinerlei Ehre und vor allem keine Garantien gibt.

00:18:05: Ein gezahltes Lösegeld schützt dich vor gar nichts.

00:18:08: Wir haben jetzt detailliert beleuchtet wie RayS Industrie funktioniert Wie Insider rekrutiert werden Und wie die Akteure interagieren.

00:18:19: Was wir aber noch klären müssen, ist die Frage der Zielobjekte.

00:18:22: Also was genau wird bei diesen hoch entwickelten Angriffen heute eigentlich gestohlen?

00:18:28: Die Art der Beute hat sich nämlich gravierend verändert!

00:18:31: Das bringt uns zu einem sehr aufschlussreichen Fall aus dem August, zwanzig sechsundzwanzig.

00:18:37: Es traf Accenture also eines der größten IT-Beratungsunternehmen in der Welt.

00:18:42: Ein Hacker mit dem Pseudonym eight-eight-eight behauptete da in einem Cybercrime Forum, thirty-fünf Gigabyte an internen Daten von Accenture gestohlen zu haben.

00:18:53: Accentur betonte schnell der Vorfall sei isoliert und behoben – der laufende Betrieb sei nicht gestört!

00:18:59: Es war übrigens auch nicht der erste Vorfall.

00:19:06: Und was diesen Breach aus technischer Sicht jetzt so hoch präsent macht, ist gar nicht die bloße Datenmenge sondern die Beschaffenheit der Daten.

00:19:13: Laut einer detaillierten Analyse der Sicherheitsfirma Safe State ging es dem Angreifer hier nicht primär um eine klassische Datenbank also mit Namen oder Passwörtern, stattdessen behauptete der Hacker Quellcodes SSH Schlüssel und vor allem Cloud Zugangstokens erbeutet zu haben.

00:19:31: Spezifisch ging es im sogenannte Azure Personal Access Tokens kurz Pets.

00:19:37: Warte, da muss ich mal kurz einhaken!

00:19:39: Wenn die Angreifer schon tief im System waren, warum machen sie sich dann überhaupt die Mühe, Quellcodes und Tokens abzugreifen?

00:19:46: Normalerweise ist doch die Datenbank mit den Kundendaten der absolute Jackpot – weil man damit massive Fishing-Kampagnen fahren oder direkt Erpressungsdruck ausüben kann.

00:19:55: Warum sind diese Azure Peaties aus Sicht der Angreife heute so viel

00:19:59: wertvoller?!

00:20:02: Ein Token fundamental anders funktioniert als ein Passwort.

00:20:05: Wenn du ein herkömmliches Passwort benutzt, lockst du dich ja als Mensch ein und dieses Verhalten wird von den Systemen extrem streng überwacht.

00:20:14: Okay!

00:20:14: Wenn du dich plötzlich mitten in der Nacht von einer unbekannten IP-Adresse in Osteuropa einlockst schlagen die heuristischen Sicherheitssysteme sofort Alarm.

00:20:24: Eine Multifaktorauthentifizierung wird ausgelöst das Konto wird im Zweifel direkt gesperrt.

00:20:30: Ein Existoken, wie so ein Azure Pay-AT ist jedoch für die maschinelle Kommunikation konzipiert.

00:20:35: Er wird genutzt damit automatisierte Prozesse Server und Software Pipelines reibungslos im Hintergrund miteinander sprechen können – und das oft Millionenmal am Tag!

00:20:46: Ah ok…ein normales Passwort ist also quasi wieder Personalausweis den du an der Vorte vorzeigen musst wo ein Wachmann dann dein Gesicht kontrolliert.

00:20:55: aber dieser Existokon Das ist wie so ein unsichtbarer, unbegrenzt gültiger WIP-Pass für das automatisierte System.

00:21:03: Wenn ein Hacker diesen Token besitzt, ist dafür das Netzwerk kein externer Eindringling mehr richtig?

00:21:10: Völlig richtig!

00:21:11: Das System hält ihn für einen integralen Bestandteil der eigenen autorisierten Infrastruktur – er löst schlichtweg keinen Alarm mehr.

00:21:19: Krass!

00:21:19: Ja….

00:21:20: Der Angreifer kann sich programmatisch und völlig geräuschlos im System bewegen Und für einen globalen Dienstleister wie Accenture, der ja riesige geschäftskritische Technologieinfrastrukturen für Banken-, Krankenhäuser- und Regierungsbehörden verwaltet ist das ein unvorstellbares Risiko.

00:21:37: Das glaube ich sofort!

00:21:38: Safe State und andere Sicherheitsforscher warnen mittlerweile auch eindringlich davor dass sogenannte CICD Pipelines des neue Hauptziel sind.

00:21:47: Das sind die zentralen Entwicklungsinfrastrukturen von Tech-Unternehmen, über die Softwareupdates automatisiert an Kunden ausgerollt werden.

00:21:53: Lass uns das mal verbildlichen!

00:21:55: Denk an eine solche CICD Pipeline wie an das zentrale Fließband einer riesigen Autofabrik.

00:22:02: Wenn ein Hacker ein fertiges Auto manipuliert schadet er einem einzelnen Fahrer.

00:22:07: Wenn er aber den Zugangstoken für die Roboter am Fließband stielt, kann er seine Sharp Software direkt in die Produktion einschleusen.

00:22:14: Dann fährt jedes einzelne Auto das diese Fabrik verlässt bereits mit einem manipulierten Bremssystem auf die Straße.

00:22:21: Die Angreifer infiltrieren also den Dienstleister um über dessen etabliere Vertrauensstellung direkt und massenhaft in die Netzwerke der Endkunden einzudringen.

00:22:29: Exakt!

00:22:30: Das ist der große Paradigmenwechsel Die kriminellen Zielen nicht mehr nur auf den schnellen Datenklauf für eine einmalige Erpressung ab.

00:22:37: Sie zielen auf die grundlegende Architektur, sie wollen permanente unsichtbare Kontrolle über die kritische Infrastruktur erlangen, die unsere Wirtschaft am Laufen

00:22:47: hält.".

00:22:48: Weißt du wenn wir all diese Dokumente Berichte und Gerichtsakten der heutigen Untersuchungen so nebeneinander legen drängt sich mir ein wirklich provokanter Gedanke auf.

00:22:57: Unternehmen investieren global hunderte Milliarden Dollar in noch tiefere Netzwerkanalysen, in KI-gestützte Firewalls und komplexe Zero Trust Architekturen.

00:23:08: Wir rüsten technisch immer weiter auf!

00:23:11: Aber dieser tiefe Blick hinter die Kulissen zeigt doch echt schonungslos dass sich die größte, vertalsste Schwachstelle überhaupt nicht durch einen Code patchen lässt – es ist und bleibt der Mensch.

00:23:23: Ja, das ist die fundamentale unbequeme Realität der IT-Sicherheit.

00:23:28: Wenn die Wächter selbst zu den Dieben gehören wie die Vorfälle um Digital Mint echter Schäcken bewiesen haben Und wenn Angreifer schlichtweg bagelt auf den Tisch legen um Mitarbeiter zu rekrutieren Wie es bei Tesla versucht wurde dann greift die beste technische Verteidigung einfach ins Leere.

00:23:45: Eine Firewall kann nun mal keinen Verrat erkennen.

00:23:48: Genau das meine ich, müssen wir als Branche und auch als Gesellschaft nicht viel intensiver darüber nachdenken wie wir menschliche Integrität verifizieren?

00:23:58: Wenn wir Milliarden in Software stecken aber die Personen die diese Software bedienen korrumpierbar sind dann bauen wir Festungen auf Treibsand.

00:24:06: Und wenn wir uns da noch ins Gedächtnis rufen dass sich die Kriminellen selbst nicht über den Weg trauen und sich bei der erstbesten Gelegenheit Millionen Beträge stehlen wie beim Change Health Care Scam Wem können wir in diesem Ökosystem überhaupt noch die Schlützen zu unseren sensibelsten Daten anvertrauen?

00:24:23: Das ist eine strategische Überlebensfrage, die echt kein einziges Software-Update der Welt für uns beantworten kann.

00:24:30: Wenn wir die heutigen Fakten aggregieren bleibt folgendes Bild Ransomware hat sich durch das Rasmodell in einer hochspezialisierte arbeitsteilige Industrie verwandelt Die klassische Abwehrmaßnahmen extrem unter Druck setzt.

00:24:44: Die systematische Rekrutierung von Insidern und die Korruption innerhalb von IT-Sicherheitsfirmen zeigen, dass technische Barrieren zunehmend durch menschliche Schwächen umgangen werden.

00:24:55: Wenn wir dazu noch den gezielten Diebstahl von Zugangsturken betrachten mit denen sich Angreifer lautlos in kritischen Infrastrukturen einnästen wird klar eine rein technische Verteidigung, die den Faktor Mensch und die Integrität von Dienstleistern ignoriert ist in der heutigen Bedrohungslage zum Scheitern verurteilt.

00:25:13: Vielen Dank, dass du bei dieser Folge dabei warst.

00:25:16: Denk daran – Cyber-Sicherheit beginnt nicht erst beim großen Angriff sondern bei den kleinen Entscheidungen im Alltag!

00:25:23: Wenn dir die Folge gefallen hat, abonniere dem Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen.

00:25:30: Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden.

00:25:36: Bis zur nächsten Folge bleib aufmerksam und digital sicher.