Das britische National Cyber Security Centre (NCSC) und Partnerbehörden haben gemeinsam vor Cyberaktivitäten gewarnt, die sie China-nahen Akteuren zuschreiben. Den Angaben zufolge richten sich die Kampagnen gegen Organisationen und sensible Informationen in mehreren Ländern und Branchen.
Im Mittelpunkt der Warnung steht die in China ansässige Technologiegesellschaft Integrity Technology Group, die nach Angaben Großbritanniens und seiner Partner böswillige Operationen durch Dienste, Infrastruktur und technische Fähigkeiten unterstützt hat. Das NCSC erklärte, die Aktivitäten spiegelten ein breiteres Ökosystem wider, in dem kommerzielle Unternehmen und Einzelpersonen Werkzeuge entwickeln, Infrastruktur beschaffen, Dienste hosten und bei der Kompromittierung von Netzwerken helfen können.
Nach Angaben der Behörden kombinieren die Akteure automatisierte und manuelle Methoden, um Zugriff auf Netzwerke von Opfern zu erlangen. Zu den gemeldeten Techniken zählen der Einsatz KI-gestützter Scan-Tools, großer Botnetze und die manuelle Ausnutzung exponierter Systeme. Das erklärte Ziel besteht darin, anfällige Geräte und Dienste zu identifizieren, Zugriff zu etablieren und vertrauliche Daten zu erlangen.
Die in der Warnung beschriebenen Aktivitäten überschneiden sich mit Kampagnen, die von der Cybersicherheits-Community unter Bezeichnungen wie Flax Typhoon, Ethereal Panda und Red Juliett verfolgt werden. Das NCSC hatte Integrity Technology Group zuvor als Betreiber eines großen Botnetzes identifiziert, das mutmaßlich von Flax Typhoon eingesetzt wurde. Ein Botnetz ist eine Sammlung kompromittierter, mit dem Internet verbundener Geräte, die aus der Ferne gesteuert werden, beispielsweise zum Scannen, zur Weiterleitung von Datenverkehr über Proxys oder zur Durchführung von Angriffen.
Britische Behörden belegten Integrity Technology Group und ein weiteres in China ansässiges Informationssicherheitsunternehmen 2024 mit Sanktionen. Als Begründung nannte die Regierung schädliche Cyberaktivitäten, die Großbritannien und verbündete Länder betroffen hätten.
Empfehlungen für die Abwehr
Die Behörden forderten Netzwerkverteidiger dazu auf, die begleitenden technischen Leitlinien zu prüfen und ihre Widerstandsfähigkeit gegen die gemeldeten Taktiken zu stärken. Organisationen sollten folgende Maßnahmen priorisieren:
- Internetexponierte Systeme zeitnah patchen und nicht mehr unterstützte Geräte aus der externen Erreichbarkeit entfernen.
- Authentifizierungsprotokolle und administrative Aktivitäten auf verdächtige Zugriffe überprüfen, insbesondere bei Remote-Diensten.
- Mehrfaktor-Authentifizierung einsetzen und Least-Privilege-Kontrollen für privilegierte Konten anwenden.
- Netzwerke segmentieren und auf ungewöhnliche Verbindungen zwischen Geräten und administrativen Systemen überwachen.
- Erprobte Verfahren zur Reaktion auf Sicherheitsvorfälle vorhalten und sicherstellen, dass Sicherheitsteams Warnmeldungen rasch untersuchen können.
Die Warnung wurde von Behörden in Australien, Kanada, Japan, Neuseeland, Spanien und den Vereinigten Staaten mitunterzeichnet. Das NCSC erklärte, Organisationen jeder Größe sollten ihre Exponierung gegenüber den beschriebenen Techniken bewerten und die empfohlenen Gegenmaßnahmen in ihre Sicherheitsprogramme aufnehmen.