NCSC warnt vor China-nahen verdeckten Netzwerken aus kompromittierten Geräten

Das britische National Cyber Security Centre hat neue Leitlinien zu einer wachsenden Cyberbedrohung veröffentlicht, bei der große verdeckte Netzwerke aus kompromittierten Routern und anderen Geräten mit Internetzugang zusammengestellt werden. Dem Hinweis zufolge haben sich China-nahestehende Bedrohungsakteure zunehmend von der Nutzung einer Infrastruktur entfernt, die sie direkt kontrollieren, und verlassen sich stattdessen auf verteilte Netzwerke gekaperter Geräte, um Spionage- und offensive Operationen zu unterstützen.

Wie die Netzwerke genutzt werden

Diese Umgebungen im Stil von Botnetzen können in mehreren Phasen eines Angriffs eingesetzt werden. Ermittler erklären, dass sie Angreifern dabei helfen können, Aufklärungsdaten zu sammeln, Schadsoftware bereitzustellen, Command-and-Control-Verbindungen aufrechtzuerhalten und gestohlene Informationen aus der Umgebung des Opfers auszuleiten. Da die Infrastruktur aus Geräten besteht, die über viele Standorte verteilt sind, kann es schwierig sein, sie bis zu einer einzelnen Quelle zurückzuverfolgen.

Das NCSC erklärt, dass dieser Ansatz eine flexible und kostengünstige Plattform schafft, die schnell verändert werden kann, sobald Verteidiger verdächtige Aktivitäten erkennen. Dadurch sind herkömmliche Sperrlisten auf Basis statischer IP-Adressen weniger effektiv, da kompromittierte Knoten kurz nach ihrer Entdeckung verschwinden oder ersetzt werden können.

Warum Verteidiger besorgt sind

Für betroffene Organisationen geht das Risiko über die Unauffälligkeit der Angriffe hinaus. Die Leitlinien warnen, dass diese verdeckten Netzwerke gegen Ziele im Vereinigten Königreich eingesetzt werden könnten, um sensible Informationen zu stehlen und in einigen Fällen essenzielle Dienste zu beeinträchtigen. Eine weitere Herausforderung besteht darin, dass verschiedene Bedrohungsgruppen möglicherweise dieselbe kompromittierte Infrastruktur nutzen, was Erkennung und Zuordnung erschweren kann.

Sicherheitsteams könnten außerdem auf eine kurze Lebensdauer von Kompromittierungsindikatoren stoßen, wie sie im Hinweis beschrieben wird. In der Praxis bedeutet das, dass Belege für eine schädliche Infrastruktur schnell verschwinden können. Dadurch bleibt Verteidigern nur wenig Zeit zum Reagieren, wenn sie sich ausschließlich auf statische Kontrollen verlassen.

Empfohlene Maßnahmen

Das NCSC hat gemeinsam mit Partnerbehörden und der Cyber League Empfehlungen veröffentlicht, die sich an Organisationen unterschiedlicher Größe richten. Im Mittelpunkt stehen mehrschichtige, adaptive Kontrollen statt einer alleinigen Sperrung auf Basis fester IP-Adressen.

• Datenverkehr zu Edge-Geräten erfassen und eine Baseline dafür erstellen, insbesondere bei VPN- und Fernzugriffsdiensten.
• Dynamische Threat-Intelligence-Feeds verwenden, die bekannte schädliche Infrastrukturen im Zusammenhang mit verdeckten Netzwerken enthalten.
• Mehrfaktor-Authentifizierung für den Fernzugriff aktivieren.
• Nach Möglichkeit Zero-Trust-Maßnahmen umsetzen, darunter IP-Allow-Lists und Prüfungen von Maschinenzertifikaten.
• In größeren Umgebungen oder Umgebungen mit höherem Risiko nach verdächtigem Datenverkehr von SOHO- und IoT-Geräten suchen und den Einsatz von Tools zur Anomalieerkennung in Betracht ziehen.

Die Behörde erklärt, dass Organisationen, die Transparenz, Authentifizierung und adaptive Filterung kombinieren, besser aufgestellt sein werden, um ihre Gefährdung durch diese sich weiterentwickelnde Bedrohung zu verringern.