NCSC und internationale Partner warnen vor verdeckten Netzwerken aus kompromittierten Geräten

Das britische National Cyber Security Centre (NCSC) und eine Gruppe internationaler Partner haben neue Leitlinien zur Nutzung groß angelegter Netzwerke kompromittierter Geräte durch mit China verbundene Bedrohungsakteure veröffentlicht. Der Hinweis besagt, dass diese verdeckten Netzwerke zunehmend dazu verwendet werden, bösartige Aktivitäten zu verschleiern und eine Zuordnung zu den Verantwortlichen zu erschweren.

Der Warnung zufolge handelt es sich bei vielen der betroffenen Geräte um alltägliche internetfähige Produkte wie Router für kleine Büros und Privathaushalte, Geräte des Internets der Dinge, Kameras, Videorekorder, Firewalls und Network-Attached-Storage-Systeme. Nach einer Kompromittierung können diese Geräte mehrere Phasen eines Eindringens unterstützen, darunter das Aufspüren von Zielen, die Verbreitung von Schadsoftware, die Weiterleitung von Befehlen und das Ausschleusen gestohlener Daten aus der Umgebung des Opfers.

Die Behörden erklären, dass es sich hierbei nicht um eine neue Technik handelt, sie nun jedoch systematischer und in größerem Umfang eingesetzt wird. Sie weisen darauf hin, dass einige dieser Netzwerke von mehreren Bedrohungsakteuren gemeinsam genutzt und kontinuierlich aktualisiert werden könnten. In manchen Fällen könnten sie sich auch mit legitimem Kundenverkehr überschneiden, wodurch eine bösartige Nutzung schwerer zu erkennen ist.

Der Hinweis verweist auf jüngste Aktivitäten, die mit Gruppen wie Volt Typhoon und Flax Typhoon in Verbindung gebracht werden und die mit Spionage sowie der Vorbereitung des Zugriffs auf kritische Infrastrukturen in Verbindung stehen. Außerdem werden Beispiele für Botnetze mit weltweit Hunderttausenden infizierten Geräten angeführt.

Was von Verteidigern erwartet wird

Die Leitlinien konzentrieren sich darauf, die Angriffsfläche internetexponierter Geräte zu verringern und die Transparenz in Netzwerken zu verbessern, die über diese verdeckten Wege angegriffen werden könnten.

• Router, Firewalls und andere Perimeter-Geräte vollständig patchen und weiterhin unterstützte Modelle einsetzen.
• Veraltete Geräte ersetzen, die keine Sicherheitsupdates mehr erhalten.
• Standardzugangsdaten ändern und nach Möglichkeit eine starke Authentifizierung verwenden.
• Unnötige Fernverwaltung und den Internetzugriff deaktivieren.
• Netzwerke segmentieren, damit die Kompromittierung eines Geräts nicht alle anderen Systeme gefährdet.
• Protokolle und ausgehenden Datenverkehr auf ungewöhnliche oder unerwartete Verbindungen überwachen.

Paul Chichester, Director of Operations beim NCSC, erklärte, dass Botnet-ähnliche Operationen weiterhin eine ernsthafte Bedrohung darstellen, da sie Schwachstellen in gewöhnlichen vernetzten Geräten ausnutzen und groß angelegte Cyberaktivitäten unterstützen können. Der Hinweis soll Netzwerkverteidigern helfen, das Risiko frühzeitig zu erkennen und Möglichkeiten für verdeckten Zugriff zu verringern.