#21 Im gefälschten Vorstellungsgespräch

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:03: In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitaler Risiken.

00:00:10: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:19: Stell dir mal vor du sitzt in deinem absolut wichtigsten Vorstellungsgespräch des ganzen Jahres.

00:00:25: Du hast dich wochenlang darauf vorbereitet, hast dir ein frisches Hemd angezogen hoch konzentriert auf deinen Bildschirm.

00:00:30: Das Interview soll nämlich über so ein Online-Portal stattfinden.

00:00:34: Genau, und dann läuft eben nicht alles nach Plan.

00:00:36: Richtig!

00:00:37: Du klickst auf diesen Teilnamenlink aber das Video von deinem Gegenüber startet einfach nicht.

00:00:41: Stattdessen poppt da eine kleine Fehlermeldung auf, Kamerazugriff verweigert.

00:00:46: Absolut der Stressmoment.

00:00:47: Absulot die Uhr tickt... Der vermeintliche Recruiter wartet angeblich schon in der Leitung.

00:00:52: Und um das Problem zu beheben fordert dich das System auf mal eben schnell so ne winzige Zeile Code in dein Terminal zu kopieren.

00:00:59: Und genau da stellt sich die Frage, was tust du jetzt?

00:01:01: Ja.

00:01:02: Denn in dieser einen extrem stressigen Millisekunde entscheidest Du ob Du gerade ein harmloses technisches Problem löst oder ob Du naja die gesamte digitale Infrastruktur Deines Unternehmens an eine staatlich gesteuerte Heckergruppe übergibst.

00:01:16: Ja und diese spezifische Situation also dieser exakte Moment des Klicks der markiert eigentlich den vorläufigen Höhepunkt von einer ziemlich langen und sehr gefährlichen Evolution im Cyberbereich.

00:01:28: Wie meinst du das genau?

00:01:29: Naja, wenn wir uns die Historie von Cyberangriffen auf Unternehmen so ansehen stand jahrelang eigentlich eine völlig andere Abteilung im Fadenkreuz.

00:01:38: Nämlich die Personalabteilung.

00:01:39: Ah ok ja das macht Sinn!

00:01:41: Genau.

00:01:41: Kampagnen wie GoldenEye oder GuntCrab haben damals wirklich eindrucksvoll und auch ziemlich schmerzhaft demonstriert wie leicht es war ganze Unternehmensnetzwerke lahm zu legen.

00:01:51: Und zwar einfach indem man sich die Natur der HR-Arbeit zur Nutze

00:01:55: gemacht hat Wobei man ja sagen muss die strategische Logik dahinter verdammelt.

00:01:58: extrem simpel, oder?

00:02:00: Absolut.

00:02:00: Ich meine eine Personalabteilung muss per Definition externe Dateien von völlig unbekannten Personen empfangen und auch öffnen ist deren Job.

00:02:08: Richtig!

00:02:08: Die können ja nicht jede Bewerbung ungelesen laschen.

00:02:10: Genau.

00:02:11: Wenn ich also als Angreifer tausende gefälschte Bewerbungen verschicke, ist die Wahrscheinlichkeit einfach wahnsinnig hoch dass irgendjemand diesen Anhang öffnet.

00:02:17: das quasi so ein klassisches Gießkartenprinzip.

00:02:20: Ja gutes Bild.

00:02:21: Technisch gesehen waren das damals meistens so präparierte Zipparchive oder Excel-Listen, die verschickt wurden.

00:02:27: Und sobald der Mitarbeiter dann die Macros aktiviert hat startet er ein sogenannte VBS-Downloader.

00:02:33: Das ist ein kleines Skript dass dann die eigentliche Ransomware also den Verschlüsselungstrojaner direkt aus dem Internet nachgeladen hat.

00:02:41: Also ein reines Massengeschäft wo es nur um schnelle Lösegelder ging?

00:02:44: Exakt!

00:02:46: Für eine simple Erpressung hat das auch völlig ausgereicht.

00:02:48: Das Problem für hochspezialisierte Angreifer ist heute jedoch die Qualität dieses Zugriffs.

00:02:54: Weil ein HR-Rechner nicht die wichtigen Daten hat?

00:02:56: Genau!

00:02:57: Ein kompromittierter HR Rechner bietet meistens keinen direkten Zugang zu den Warenschätzen von so einem Technologieunternehmen.

00:03:03: Okay, verstehe ich.

00:03:05: Wenn das primäre Ziel jetzt Cyber-Spionage ist – also wenn es um den Diebstahl von proprietärem Quellcode geht oder den Zugang zur kritischen Cloudinfrastruktur

00:03:15: oder wahrscheinlich auch das Lehrräumen von Kryptowährungswallets, ne?

00:03:18: Ganz genau.

00:03:19: Dann bringt einen Personalreferent die Täter einfach nicht weiter!

00:03:22: Sie brauchen die Leute, die das System wirklich bauen und verwalten.

00:03:26: Also DevOps-Ingenieure, Systemadministratoren, Software-Entwickler...

00:03:30: Ja, genau.

00:03:31: Und das hat in der Szene zu einem massiven Paradigmenwechsel geführt.

00:03:34: Ein IT-Profi, der jeden Tag Firewalls konfiguriert und Sicherheitsprotokolle schreibt, eröffnet sich aus Prinzip keine dubiosen Exelisten von unbekannten Absendern.

00:03:43: Das wäre auch fatal.

00:03:44: Die klassischen Massenmails liefen bei dieser Zielgruppe also komplett ins Leere, schätze ich mal.

00:03:49: Richtig!

00:03:49: Die Angreifer waren also gezwungen ihre komplette Vorgehensweise umzukehren.

00:03:54: Das heißt anstatt gefälschte Bewerbungen an HR-Mitarbeiter zu schicken, schlüpfen die Täter in unserer heutigen Analyse nun selbst in die Rolle der Recruiter und machen quasi Jagd auf die Entwickler?

00:04:04: Ja das ist eine hochkomplexe Operationsreihe über die wir hier sprechen.

00:04:08: In der IT-Sicherheitsbranche wird das unter codenamen wie Contagious Interview, Waterplum oder auch Deceptive Development analysiert.

00:04:15: Wow!

00:04:16: Okay und wenn wir uns ansehen wer laut den Geheimdiensten hinter diesem enormem Aufwand steckt wird auch ziemlich schnell klar dass wir es hier eben nicht mit gewöhnlichen Kriminellen zu tun haben die da irgendwie aus einem Keller heraus agieren?

00:04:28: Nein

00:04:28: absolut nicht.

00:04:30: Die Dimension dieser Kampagne ist geopolitisch.

00:04:33: Es gab da kürzlich einen gemeinsamen Sicherheitshinweis, ein sogenanntes Joint-Cyber Security Advisory.

00:04:38: Darin haben das Bundesamt für Verfassungsschutz der BND und auch internationale Partner wie das amerikanische FBI und das australische ASD eine sehr klare Einschätzung veröffentlicht.

00:04:48: Und was war deren Einschetzung?

00:04:50: Sie ordnen diese Angriffe staatlich gesteuerten Cyberakteuren aus Nordkorea zu.

00:04:55: In der IT-Sicherheit werden diese Gruppierungen häufig unter dem Schirm der sogenannten Lazarusgruppe zusammengefasst.

00:05:00: Okay, das wirft natürlich sofort die Frage nach dem Motiv auf.

00:05:04: Also ein staatlicher Geheimdienst der sich als Headhunter für Kryptostartups ausgibt.

00:05:09: Nordkorea unterliegt ja weitreichenden internationalen UN-Sanktionen.

00:05:13: Das Land ist quasi weitestgehend vom globalen Finanzsystem abgeschnitten.

00:05:17: Wenn ich diese Fakten jetzt mal verbinde dann geht es hier primär um Deviesenbeschaffung oder?

00:05:21: Genau das ist es!

00:05:23: Sie greifen Entwickler in Krypto-Unternehmen an, um Kryptowährungen zu stehlen.

00:05:27: Die lassen sich nämlich global transferieren, ohne dass da traditionelle Banken eingreifen oder das blockieren können.

00:05:33: Das ist laut den Ermittlungsbehörden der primäre wirtschaftliche Motor hinter diesen Attacken.

00:05:37: Das gestohnte Kapital fließt dann direkt in staatliche Programme.

00:05:40: Einschließlich der Finanzierung des Rüstungsapparats an.

00:05:43: Exakt!

00:05:44: Ein sekundäres aber eigentlich genauso kritisches Ziel ist der Zugang zu sensiblen Lieferketten.

00:05:50: Wie genau funktioniert es?

00:05:51: Näh, wenn es den Angreifern gelingt dem Rechner von einem Entwickler zu kompromittieren können sie unbemerkt schadhaften Code in die Software-Updates einschleusen.

00:06:00: Also in Updates, die dieses Unternehmen dann an tausende Kunden weltweit ausliefert?

00:06:04: Ganz genau!

00:06:05: Wir sprechen hier von sogenannten Supply Chain Angriff und die können verheerende Dominoeffekte auslösen.

00:06:11: Wahnsinn... Aber um einen hochqualifizierten Entwickler überhaupt so weit zu täuschen, muss man doch eine Angriffsfläche finden die weit jenseits der reinen IT-Infrastruktur liegt oder?

00:06:20: Ja.

00:06:21: Ich meine wenn die technischen Firewalls zu stark sind bleibt am Ende ja nur die Manipulation der menschlichen Psychologie.

00:06:27: Konkret also der berufliche Ehrgeiz der Leute?

00:06:30: Ganz genau!

00:06:31: Es geht hier nicht mehr um so ein unüberlegten Klick in einer plumpen Email.

00:06:34: es geht um den Aufbau einer tiefgehenden Beziehung und das oft über Wochen hinweg

00:06:40: Über Plattform wie LinkedIn wahrscheinlich

00:06:42: Ja, über professionelle Karrierenetzwerke wie LinkedIn oder auch über diverse Freelancer-Plattformen.

00:06:48: Dieser Vertrauensaufbau ist wirklich das Herzstück der Operation.

00:06:51: Das klingt nach extrem viel Aufwand

00:06:53: Ist es auch?

00:06:54: Die Berichte von Sicherheitsforschern zum Beispiel von Organisationen wie Silent Push die dokumentieren da eine Akribie, die man sonst eigentlich nur aus der klassischen Spionage kennt.

00:07:03: Also die belassen es nicht bei ein paar netten Chatnachrichten.

00:07:06: Nee absolut nicht!

00:07:07: Sie konstruieren eine vollständige digitale Scheinwelt und Die hält jeder Oberflächlichen und oft sogar einer tief ergehenden Überprüfung stand.

00:07:16: Das lässt sich, glaube ich am besten mit so einem riesigen Hollywood-Filmset vergleichen oder?

00:07:20: Ja das ist eine gute Analogie!

00:07:22: Also du gehst durch so ne Straße die Häuser sehen fantastisch aus, die Briefkästen glänzen es brennt Licht hinter den Fenstern alles wirkt total lebendig und real.

00:07:31: aber wenn du dann um das Gebäude herum gehst und mal hinter die Fassade blickst siehst Du dass eigentlich nur aus Holzgerüsten und bemalter Pappe besteht.

00:07:40: Genau so ist es.

00:07:41: Alles dient ausschließlich der perfekten Illusion für die Kamera oder in unserem Fall jetzt eben, für den ahnungslosen Bewerber.

00:07:48: Und wie sieht diese Illusion dann technisch aus?

00:07:52: Die technische Umsetzung ist wirklich erschreckend professionell.

00:07:56: Forscher haben nachgewiesen dass die Täter ein extrem verwobendes Netzwerk aus Frontfirmen in der Krypto- und Techbranche betreiben.

00:08:03: Also richtige Scheinfirmen.

00:08:04: Ja

00:08:05: In den Analyse tauchen da immer wieder Namen auf wie Blocknovas LLC Angel Weller per Agency oder auch Softglide LSE, diese Scheinfirmen verfügen über markeloße sehr modern wirkende Webseiten.

00:08:18: Sie veröffentlichen branchenspezifische Artikel.

00:08:20: Sie haben eine scheinbare Firmenhistorie – alles sieht legitim

00:08:24: aus!

00:08:25: Und vor allem haben sie ja auch diese vermeintlichen Mitarbeiter auf Plattform wie LinkedIn die dann die Entwickler aktiv kontaktieren?

00:08:31: Ganz genau!

00:08:32: Wobei ich gelesen habe dass die Profilbilder dieser falschen Recruiter echt ne eigene Analyse wert sind.

00:08:38: Oh ja, das ist ein extrem spannender Punkt.

00:08:41: Nehmen wir mal dieses dokumentierte Beispiel von so einer erfundenen Persona namens Mehmet Demir.

00:08:47: Nach Medienberichten und auch forensischen Analysen nutzen die Täter da KI-Werkzeuge wie zum Beispiel Remaker AI um diese Gesichter komplett künstlich zu generieren.

00:08:57: Richtig!

00:08:57: Und dieser Einsatz von KI für die Profilerstellung der lösten massives Probleme für die Angreifer.

00:09:02: Welches denn?

00:09:03: Naja, wenn sie einfach Fotos von echten Menschen aus dem Internet klauen würden, könnte ein misstrauischer Entwickler das Bild durch so eine Rückwärtssuche jagen.

00:09:10: Also Google Reverse Image Search oder so.

00:09:13: Ah, verstehe und dann würde der Betrug sofort entlarvt werden?

00:09:16: Genau!

00:09:18: Ein KI-generiertes Gesicht hingegen hat überhaupt keinen digitalen Fußabdruck in der Vergangenheit.

00:09:23: Es existiert schlichtweg nicht.

00:09:25: Wow Okay.

00:09:26: Das heißt Wenn der Entwickler es profil prüft sieht er ein sympathisches Gesicht Eine verlinkte Unternehmenswebsite und ein attraktives Gehaltsangebot.

00:09:34: Und findet auch nichts Verdächtiges bei der Bildersuche.

00:09:37: Ja, die anfängliche Skepsis, die vielleicht noch da war, verfliegt dann ziemlich schnell.

00:09:42: Aber die Perfektion dieser Tarnung geht ja laut unserer Recherche weiter!

00:09:46: Wenn der Entwickler nämlich Interesse an dem Job zeigt schicken die Tätern nicht gleich einen Vertrag rüber richtig?

00:09:51: Nee das wäre untypisch für so einem Prozess.

00:09:53: Sie verlangen dass der Kandidat seine Fähigkeiten erst mal beweist

00:09:57: durch Programmieraufgaben.

00:09:58: Genau, durch sogenannte Skill-Assessments und diese Aufgaben werden nicht auf irgendwelchen dubiosen Servern gehostet sondern auch völlig legitim in absolut branchenüblichen Plattformen wie GitHub.

00:10:09: Okay das ist psychologisch natürlich brillant.

00:10:11: ein anspruchsvoller Bewerbungsprozess signalisiert dem Entwickler ja quasi dass es sich hier um eine exklusive hoch professionelle Position handelt.

00:10:19: Exakt!

00:10:19: Indem die Angreifer den Bewerber arbeiten lassen wird sie das Angebot emotional auf.

00:10:25: Ihr greift an das psychologische Phänomen der sogenannten Sankt-Kost-Ferlacy.

00:10:30: Also, weil er schon so viel Zeit investiert hat will er es auch durchziehen?

00:10:33: Ganz genau!

00:10:34: Der Entwickler hat bereits Stunden seiner Freizeit in das Lösen von diesen komplexen Programmieraufgaben investiert.

00:10:40: Er möchte dass sich diese Investition am Ende auch auszahlt

00:10:43: und In dieser Phase des Prozesses also nach wochenlangem Kontakt unter erbrachten Arbeitsleistung rechnet wahrscheinlich absolut niemand mehr damit Dass das gegenüber in Wahrheit eine staatliche Hackergruppe ist.

00:10:54: Nein, in dem Moment ist das Vertrauen eigentlich schon komplett etabliert.

00:10:57: Wenn der Bewerber also emotional voll investiert ist und glaubt er stehe kurz vor der Ziellinie dann kommt der entscheidende Moment oder der Point of Compromise?

00:11:06: Ja!

00:11:06: Der exakte Moment, in den die Falle zuschnappt.

00:11:09: Die Analysen von IT-Sicherheitsfirmen wie Enki Whitehead und auch Sequoia haben diesen Ablauf ja minutiös rekonstruiert.

00:11:15: Wie läuft es ab?

00:11:16: Nach der erfrückreichen Probeaufgabe wird der Entwickler zu einem abschließenden Videointerview eingeladen Und dafür erhält er einen Link zu einem Portal, das dem legitimen Video Interview Service Willow optisch wirklich exakt nachempfunden ist.

00:11:32: Und in diesem Portal orchestrieren die Angreifer dann diesen perfekten Moment des künstlichen Stresses von denen wir am Anfang gesprochen

00:11:39: haben?

00:11:39: Ganz genau!

00:11:40: Der Bewerber klickt auf diesen Einladungslink erwartet eigentlich das Gesicht des Recruiters zu sehen aber das System streikt.

00:11:48: Die fingierte Fehlermeldung behauptet, die Kamera des Bewerbers würde nicht funktionieren oder der Zugriff sei eben blockiert.

00:11:55: Und darunter befindet sich dann dieser verlockend einfache Button mit der Aufschrift Problem beheben oder Hautefix richtig?

00:12:03: Ja und hier sprechen wir von der sogenannten Click Fix Taktik.

00:12:07: Sobald er Bewerber darauf klickt passiert aber noch etwas Interessantes.

00:12:10: Er lädt nämlich noch gar keine bösartige Datei herunter.

00:12:14: Sondern?

00:12:15: Das System zeigt im Stattdessen einen Coach-Schnipsel an Spezifisch angepasst an sein jeweiliges Betriebssystem, also Windows oder MacOS.

00:12:23: Die Anweisung lautet dann diesen Code schnell in seinen Terminal, also in die Kommando-Zeile zu kopieren und auszuführen um angeblich diesen Kameratreiber zu reparieren.

00:12:32: Und was ist das für ein Code?

00:12:34: Meistens handelt es sich dabei um einen sogenannten Curlbefehl.

00:12:38: Okay aber ein Curl Befehl ist doch an sich ein legitimes Werkzeug in der Softwareentwicklung oder Also um Daten von einem Server über das Netzwerk abzurufen.

00:12:46: Das stimmt ja.

00:12:48: Das gefährliche an der Anweisung in diesem Fake-Interview ist aber die Kombination.

00:12:52: Dieser Befehl ruft nämlich nicht nur Daten ab, sondern leitet sie oft über das Pipesymbol direkt an einen Interpreter wie Barschweiter.

00:13:00: Das bedeutet?

00:13:01: Das Betriebssystem lädt ein Script aus dem Internet und führt es in der exakt gleichen Sekunde völlig ungeprüft aus.

00:13:07: Exakt so ist es!

00:13:09: Aber ganz ehrlich wenn man das analytisch betrachtet wirkt das doch irgendwie absurd... Ein professioneller Software-Entwickler kopiert doch nicht einfach blind einen völlig fremden Code aus dem Internet und führt ihn in seinem Terminal aus.

00:13:19: Das verstößt doch gegen absolut jedes Basisprinzip der IT-Sicherheit!

00:13:23: Man gewährt damit doch einem externen, unbekannten Script sofortigen Zugriff auf die Ausführungsebene des eigenen Rechners.

00:13:30: Außeneherein technischen rationalen Perspektive hast du natürlich völlig recht.

00:13:34: Kein Entwickler würde das an einem ganz entspannten Dienstagnachmittag so tun.

00:13:39: Aber wir dürfen hier den Faktor Mensch nicht ausklammern?

00:13:42: Okay, also die Psychologie in genau diesem Moment.

00:13:45: Genau!

00:13:45: Wir müssen die kognitive Last in dieser spezifischen Sekunde analysieren.

00:13:49: Der Bewerber befindet sich in einer extremen Stresssituation.

00:13:52: Die Nervosität ist hoch.

00:13:54: Er will diesen Job unbedingt Und der vermeintliche Recruiter wartet angeblich im Hintergrund auf ihn.

00:13:59: Er will wahrscheinlich einfach kompetent wirken und dieses technische Problem ohne peinliche Verzögerung sofort aus der Welt schaffen.

00:14:05: Richtig!

00:14:08: Die Täter nutzen exakt den Moment aus, in dem der Wunsch nach einer schnellen Problemlösung die normale Vorsicht komplett blockiert.

00:14:19: Wahnsinn!

00:14:20: Und sobald dieser Befehl im Terminal mit Enter bestätigt wird, schnappt die Falle dann unsichtbar zu.

00:14:26: Technisch belegt es ja, dass durch diesen Befeil die erste Stufe der Schadsoftware heruntergeladen wird.

00:14:31: In dieser spezifischen Kampagne taucht in den forensischen Berichten fast immer eine Malware namens Beaver Tail auf….

00:14:37: Und da es sich bei den Opfern oft um Entwickler in Krypto-Firmen handelt, gehe ich mal stark davon aus dass Beaver Tail nicht einfach nur ein generischer Keylogger ist.

00:14:45: Die Software muss doch gezielt auf Entwicklertools und bestimmte digitale Assets angesetzt sein oder?

00:14:50: Das ist der entscheidende Punkt absolut!

00:14:52: Beaver tail ist oft als JavaScript konzipiert das spezielle auf Node.js Umgebungen zugeschnitten

00:14:57: ist.

00:14:57: Ah also genau das Terrain dem sich moderne Softwareentwickler eigentlich täglich bewegen.

00:15:01: Genau die malware agiert in erster Linie als hochspezialisierter Infostealer.

00:15:07: Sobald sie aktiv ist, durchsucht sie die SQLite-Datenbanken der installierten Browser auf dem Rechner.

00:15:12: Okay, wonach sucht Sie da?

00:15:14: Sie hat es auf gespeicherte Passwörter abgesehen – auf aktive Sitzungskuckis und vor allem – und das ist bei Kryptofirmen entscheidend – auf die Daten von Browsererweiterungen, die als Kryptowährungswallets dienen.

00:15:25: Verstehe!

00:15:26: Und diese sensiblen Informationen werden dann im Hintergrund gebündelt und wahrscheinlich sofort an die Command & Control Server der Angreifer transferiert.

00:15:34: Ganz genau!

00:15:34: Das ist der schnelle Profit für die Angreifern.

00:15:37: Aber Bivertail begnügt sich laut den Berichten nicht nur mit dem Diebstahl von Zugangsdaten.

00:15:42: Die zeigen ja, dass es gleichzeitig als Loader fungiert – also quasi als Türöffner für die zweite noch viel tiefergehende Stufe des Angriffs, die sogenannten Backdoors.

00:15:51: Richtig!

00:15:51: Und hier betreten dann weitaus komplexere Malware-Familien das System.

00:15:56: Namen wie Invisible Farid oder Golang Ghost

00:15:59: tauchen da auf?

00:16:00: Was genau machen sie?

00:16:01: Invisible Fairy zum Beispiel ist ein extrem umfangreiches, in Python geschriebenes Skript.

00:16:07: Das zur dauerhaften Spionage dient.

00:16:09: und was die Analysen von Firmen wie Enki Whitehead bei diesen Backdoors zu Tage gefördert haben das zeigt wirklich wie raffiniert staatliche Akteure moderne Abwehrmechanismen umgehen können.

00:16:20: Du sprichst die Art und Weise an wie diese Backdoors überhaupt auf das System gelangen oder?

00:16:24: Sie laden ja anscheinend nicht einfach eine fertige bösartige ausführbare Datei also keine klassische Punkt-Exe oder Punkt-App über das Netzwerke runter.

00:16:32: Präzise!

00:16:33: Moderne Unternehmensnetzwerke werden ja von Endpoint Detection and Response System in kurz EDR überwacht.

00:16:40: Diese Sicherheitssysteme analysieren den Datenverkehr und schlagen meistens sofort Alarm, wenn da eine unbekannte fertig kompilierte Binärdatei auf dem System landet die irgendwie bösartige Signaturen oder verdächtige Verhaltensmuster aufweist.

00:16:52: Logisch – Und wie tricksen die Angreifer diese Wächter aus?

00:16:56: Sie laden lediglich den Rohn in Textform vorliegenden Quellcode der Melwe herunter, der häufig in der Programmiersprache Go verfasst ist.

00:17:04: Und zusätzlich laden sie den legitimen Go-Compiler auf das System des Opfers.

00:17:08: Ach krass!

00:17:09: Die Waffe wird also nicht fertig geliefert sondern erst auf dem Rechner des Opffers zusammengebaut.

00:17:14: Exakt

00:17:15: und da sich der Angriff ja gegen Softwareentwickler richtet, ist es der perfekte Tarnmantel.

00:17:19: Für so ein Überwachungssystem auf dem Rechner eines Entwicklers ist es das Normalste der Welt, dass dort Quellcode heruntergeladen und lokal kompiliert wird.

00:17:50: dauerhafte Fernsteuerung, die sogenannte Persistenz.

00:17:53: Wie genau verankern sie sich im Betriebssystem ohne dass der Nutzer das bei der täglichen Arbeit bemerkt?

00:17:58: Laut den Analysen, die auch in den Mitree-ATTK Frameworks detailliert beschrieben sind manipulieren die Angreifer auf Windows-Systeme häufig die sogenannten Registry Run Keys.

00:18:08: Was bedeutet das konkret?

00:18:10: Sie schreiben einen unsichtbaren Eintrag tief in die Windows-Registrierungsdatenbank.

00:18:15: Dieser Eintrag zwingt das Betriebssystem dazu, die kompilierte Backdoor bei jedem Neustart des Rechners automatisch und völlig lautlos im Hintergrund zu laden.

00:18:24: Noch bevor der Nutzer überhaupt sein Desktop sieht oder sich vollständig anmeldet!

00:18:27: Und auf MacOS?

00:18:28: Da nutzen sie einen sehr ähnlichen Mechanismus in dem Sie die sogenannten Launch Agents modifizieren.

00:18:33: Das bedeutet also ab diesem Moment steht die Tür zum Netzwerk dauerhaft offen.

00:18:38: Die Angreifer können Tastatureingaben mitlesen, sie können tiefer in die Cloud-Infrastruktur des Unternehmenseindringens Quellcode kopieren oder beliebige Befehle ausführen als dessen Sie wirklich physisch am Schreibtisch des Entwicklers.

00:18:49: Wahnsinn!

00:18:51: Wenn wir diese gesamte Kette betrachten von den KI generierten Gesichtern über den monatelangen psychologischen Vertrauensaufbau bis hin zum maßgeschneiderten lokal kompilierten Mellware dann wirkt das ja fast wie eine asymmetrische Kriegsführung.

00:19:03: Wie können sich Unternehmen und insbesondere die Zielgruppe der Entwickler gegen derart personalisierte, hochentwickelte Angriffe überhaupt noch verteidigen?

00:19:11: Die Verteidigung muss hier zwingend auf mehreren Ebenen stattfinden.

00:19:14: Die offiziellen Stellen wie das Bundesamt für Sicherheit in der Informationstechnik des BSI sowie spezialisierte IT-Sicherheitsdienstleister geben da ziemlich klare Präventionsempfehlungen heraus.

00:19:25: Zunächst dürfen wir ja nicht vergessen dass klassische Abteilungen wie HR weiterhin Einfallstore bleiben auch wenn sich der Fokus gerade auf Entwickler verschiebt.

00:19:33: Ja, für die Personalabteilung gilt dann vermutlich weiterhin das Prinzip der strengsten Isolation oder?

00:19:38: Also Dateianhänge aus externen Quellen sollten ausschließlich in so einer Sandbox-Umgebung geöffnet werden.

00:19:42: Richtig!

00:19:43: Das ist ja wie eine digitale Quarantäne Station also ein abgetrennter virtueller Raum indem man eine Datei öffnet um zu prüfen ob sie bösartigen Code ausführt bevor sie jemals mit dem eigentlichen Unternehmensnetzwerk in Berührung kommt.

00:19:55: Genau und die konsequente Deaktivierung von Makrose in Office Dokumenten sollte in der heutigen Zeit ohnehin Flächendeckensstandard sein.

00:20:03: Aber für die technischen Mitarbeiter, also die Entwickler, Administratoren und DevOps-Ingenieure gelten wahrscheinlich andere Verhaltensregeln oder?

00:20:09: Ja absolut.

00:20:10: Auf technischer Ebene laute die absolute und wirklich kompromisslose Maxime niemals Paste and Run Befehle ausführen.

00:20:18: Das BSI weist da ja auch nachdrücklich auf bestimmte Warnsignale hin.

00:20:21: Genau

00:20:22: Wenn dich ein potenzieller Arbeitgeber in einem Chat oder einem Videocall dazu drängt einfach so ungesehen Code in dein Terminal zu kopieren, um ein vermeintliches technisches Problem zu lösen.

00:20:33: Dann ist das ein massiver rote

00:20:35: Alarm.".

00:20:36: In so einem Moment muss der Bewerber den Prozess wahrscheinlich sofort abbrechen?

00:20:40: Ohne wenn und aber!

00:20:42: Das lässt sich ja eigentlich gut mit den Sicherheitsprotokollen im biologischen Hochsicherheitslabor vergleichen.

00:20:47: Man trägt auch nicht mal eben aus Bequemlichkeit eine völlig ungetestete Probe aus der Luftschleuse in die Kaffeeküche nur weil jemand von außen sagt hey die ist harmlos.

00:20:55: Schöner Vergleicher.

00:20:56: In der digitalen Welt muss dieses Bewusstsein für das eigene Terminal, also für die eigene Ausführungsumgebung genauso automatisiert und reflexartig ablaufen – selbst und gerade unter extremen Stress.

00:21:08: Ja und zu diesen Verhaltensregeln gehört auch das Erkennen von Mustern im Rekrutierungsprozess selbst.

00:21:13: Ein wirklich gravierendes Indiz für diese Kampagnen ist die auffällige Vermeidung von Live-Video-Calls in denen man das gegenüber klar erkennt und mit ihm interagiert.

00:21:23: Ja, die Angreifer erfinden da ja ständig neue Ausreden.

00:21:25: Warum ihre eigene Kamera angeblich nicht funktioniert wie wir gesehen haben.

00:21:29: Ein

00:21:30: weiteres starkes Wahnsignal ist das Angebot des Gehalt teilweise oder sogar vollständigen Kryptowährungen auszuzahlen.

00:21:36: Was bei diesen spezifischen Kampagnen auf die Krypto-Branche abzielen ein immer wiederkehrendes Muster ist?

00:21:43: Richtig!

00:21:43: Wenn

00:21:44: wir jetzt mal von der individuellen Ebene des Entwicklers auf die infrastrukturelle Ebene eines Unternehmens wechseln... Da führt doch eigentlich kein Weg mehr an Zero Trust-Architekturen vorbei, oder?

00:21:54: Nein.

00:21:54: Definitiv nicht!

00:21:55: Zero Trust bedeutet Architektonisch ganz einfach.

00:21:58: Vertraue niemanden blind – weder innerhalb noch außerhalb des eigenen Netzwerks.

00:22:02: Jeder Zugriffsversuch jede interne Bewegung von einem Server zum anderen muss kontinuierlich verifiziert und legitimiert werden.

00:22:09: Genau hier setzt dann auch die zwingende Implementierung von Fishing resistenter Multifaktor Identifizierung an.

00:22:15: Kurz MFA

00:22:16: Weil ein einfaches Passwort oder so eine SMS-Tanheute nicht mehr ausreichen, um kritische Firmenaccounts zu schützen.

00:22:23: Exakt!

00:22:24: Fishingresistente MFA nutzt hardwarebasierte Sicherheitsschlüssel die wirklich kryptografisch an bestimmte Webseiten gebunden sind.

00:22:31: Das heißt selbst wenn die Angreifer über diese Beaver Tail Malware einen Passwort und Session Cookie erbeuten darf ihnen das allein keinen weitreichenden Zugang zur Firmencloud gewähren weil ihnen der physische Hardware Schlüssel fehlt?

00:22:43: Ganz genau!

00:22:43: Das ist der entscheidende Regel der davor geschoben

00:22:45: wird.

00:22:47: Unsere heutige Untersuchung zeigt wirklich eindrucksvoll, dass Cyber-Sicherheit eben nicht nur aus komplexem Code, Firewalls und Verschlüsselungsalgorithmen besteht.

00:22:56: Sie setzt maßgeblich am schwächsten aber auch unberechenbarsten Punkt an – dem menschlichen Faktor!

00:23:04: Die fortschrittlichste technische Infrastruktur der Welt kann uns nur bedingt vor unserer eigenen menschliche Natur schützen Vor unserer Hilfsbereitschaft in Problemsituationen, vor unserem Vertrauen in professionell wirkende Netzwerke und vor allem vor unseren beruflichen Ehrgeiz.

00:23:20: Die Täter wissen das genau und haben ihre Strategien in den letzten Jahren wirklich perfekt darauf abgestimmt.

00:23:26: Wir haben uns von diesen einfachen ungerichteten Massenmails mit Erpressungstrojanern hin zu chirurgisch präzisen langfristigen psychologischen Operationen entwickelt.

00:23:35: Es ist ein ständiges Wettrüsten, bei dem die menschliche Psyche zur eigentlichen Angriffsfläche geworden ist.

00:23:41: Und die erschreckende Konstante bei all diesen Entwicklungen ist wirklich das rassante Tempo der Professionalisierung.

00:23:46: Wir haben in den forensischen Analysen ja gesehen dass die Angreifer bereits heute KI-Tools einsetzen um künstliche Profilbilder zu generieren und täuschend echte digitale Identitäten aufzubauen.

00:23:58: Die Frage, die sich aus dieser Untersuchung für die unmittelbare Zukunft zwingend ergibt lautet also Was passiert, wenn wir im nächsten Video-Interview nicht einmal mehr unterscheiden können?

00:24:10: Ob das Gegenüber mit dem wir sprechen ein echter Mensch ist oder einen in Echtzeit generierte Deepfake der blitzschnell auf unsere Emotionen und Antworten reagiert.

00:24:20: Wenn die visuelle und auditive Verifikation wegfällt wem oder was können wir dann überhaupt noch vertrauen?

00:24:28: Vielen Dank dass du bei dieser Folge dabei warst.

00:24:31: Denkt daran Cyber-Sicherheit beginnt nicht erst beim großen Angriff, sondern bei den kleinen Entscheidungen im Alltag.

00:24:37: Wenn dir die Folge gefallen hat, abonnier den Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen!

00:24:42: Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden.

00:24:47: Bis zur nächsten Folge – bleib aufmerksam und digital sicher!