Gut getarnt

Spricht man mit Experten, dann sind sich fast alle darin einig, dass man heute immer mehr gezielte Angriffe mit wirtschaftlichen Interessen beobachten kann. Die Angreifer sind also keine Schüler mehr, die aus fehlgeleitetem Forscherdrang in IT-Systeme einbrechen. Vielmehr handelt es sich um Profis, die für Geld oder aus politischen Motiven heraus in Unternehmen einbrechen und dort über einen langen Zeitraum Daten sammeln oder Systeme manipulieren. Die Analyse prominenter Vorfälle zeigt, dass oftmals eine nicht technische Komponente den Einbruch ermöglich hat. Dies bestätigt auch der ehemals meist gesuchte Hacker und Buchautor Kevin Mitnick, der in einem Vortrag auf der Sicherheitskonferenz IT-Defense Anfang dieses Jahres seine Lebensgeschichte erzählte. In vielen Fällen bekam er den entscheidenden Zugriff auf ein Netzwerk oder ein IT-System mit der freundlichen Unterstützung von Mitarbeitern des betroffenen Unternehmens, die er überzeugend getäuscht hatte.

Alles andere als technisch

In einem konkreten Fallbeispiel berichtete er, dass er bei einem Telekommunikationsunternehmen über die Remote-Einwahl Zugriff auf das interne Netzwerk erhielt, obwohl der Zugang durch starke Authentisierung in Form eines SecurID-Tokens gesichert war. Kevin Mitnick hatte damals einfach dem internen Support der Firma angerufen und dort überzeugend dargelegt, dass er als wichtiger Manager von zuhause aus an einem kritischen Projekt arbeiten muss und seine Karte in der Firma vergessen hat. Der Support-Mitarbeiter hatte ihm daraufhin den Code von einer anderen Karte vorgelesen. Für einen solchen Angriff benötigt man viele Informationen über Namen, Verantwortlichkeiten und Projekte, die man jedoch ebenfalls mit Täuschung am Telefon an anderen Stellen im Unternehmen erfragen kann. Nicht zuletzt weist auch Ira Winckler, ein ehemaliger Mitarbeiter des amerikanischen Geheimdienstes NSA, immer wieder darauf hin, dass Wirtschaftsspione eben nicht wie in bekannten Filmen mit überlegenen Hightech-Werkzeugen arbeiten, sondern meist alles andere als technisch vorgehen.

Angriffe, die darauf abzielen, Menschen zu täuschen um auf diese Weise Sicherheitsmaßnahmen zu umgehen, nennt man in der Informationssicherheit „Social Engineering“. Diese Methoden sind bei Profis ein selbstverständlicher Bestandteil ihres Angriffs, werden aber von den betroffenen Unternehmen bzw. Opfern ständig unterschätzt. Zu oft werden vor allem technische Maßnahmen getroffen, um sich vor Hackern zu schützen. Dabei vergisst man oft, wie ein professioneller Angreifer tatsächlich in das Unternehmen gelangen würde. Zwar beauftragen viele Unternehmen jährlich einen Penetrationstest. Dieser hat aber meist einen minimalen Umfang und fokussiert nur den Internetanschluss. Die Frage, wie leicht man den Pförtner oder Werksschutz täuschen kann, um Zutritt zum Firmengebäude und direkten Anschluss an das interne LAN zu bekommen, wird in der Regel nicht gestellt. Man verlässt sich auf Mitarbeiterausweise und Drehkreuze.

Ein Angreifer würde zunächst Informationen sammeln. Das Layout der Mitarbeiterausweise ist mit einem Teleobjektiv schnell fotografiert. Die Nebeneingänge, an denen die Raucher sich treffen, sind meist zugänglich. Uniformen des Reinigungspersonals und bekannte Lieferservices sind ebenso hilfreich wie Namen der Vorstände und aktuelle Projekte, über die man am Telefon durch geschicktes Nachfragen Auskunft bekommen kann.

Für den eigentlichen Angriff wird der Angreifer eine Sondersituation vortäuschen, in der die involvierten Opfer das Gefühl haben, dass ihre normalen Regeln nicht angemessen sind. Einem vermeintlichen Mitarbeiter mit Anzug und Krawatte, der mit mehreren Kisten beladen ist, hält man gerne die Türe auf. Denn wenn der optisch echt aussehende Firmenausweis bei einem wichtig aussehenden Manager, der einen Termin in der Vorstands­etage hat, nicht funktioniert, wird der Pförtner sich mehrmals überlegen, ob er in dieser Situation den Zutritt verwehrt.

Ein einmaliger Zutritt als Lieferant oder Besucher reicht in der Regel aus. Oft dürfen Besucher schon im Foyer warten und bei Bedarf die Toiletten im Innenbereich aufsuchen. Da die meisten Unternehmen heute noch keine technischen Mechanismen implementiert haben, die den Zugang von Geräten zum Netzwerk kontrollieren, ist es ein einfacher Schritt, jetzt ein kleines Gerät wie z. B. ein „Pwn Plug“ in eine erreichbare Netzwerk- und Stromsteckdose in der Wand oder in einem Bodentank zu stecken. Ein solches Gerät sieht aus wie ein harmloses vergessenes Steckernetzteil und enthält ein kostengünstiges Linux-System mit UMTS-Datenverbindung, über das der Angreifer aus sicherer Entfernung das interne Netzwerk analysieren und penetrieren kann.

Experten weisen immer wieder darauf hin, dass man durch die getrennte Analyse von IT-Sicherheit und physikalischer Sicherheit kein vollständiges Bild bekommt. Durch kleine Schwachstellen in der physikalischen Sicherheit wird das interne und meist als vertrauenswürdig eingestufte Netz für den Angreifer erreichbar. Über Defizite in der IT-Sicherheit kann ein Angreifer physische Sicherheitskontrolle an Türen deaktivieren oder gültige Zugangskarten simulieren.

Da im Internet erreichbare Serversysteme immer besser gesichert werden, fokussieren gezielte Angriffe in der Regel den End-User. Gezielte Mails, die im Gegensatz zu den üblichen plumpen Phishing-Mails mit exakten Kopien der im Unternehmen üblichen Formate und Fußzeilen nicht von echten Mails zu unterscheiden sind, werden meist geöffnet; angehängte PDF-Files ebenso. Im naheliegendsten Fall würde der Angreifer zunächst wichtige Kunden des Opfers und deren E-Mail-Layout recherchieren. Darauf aufbauend würde er eine echt aussehende Angebotsanfrage mit einem PDF schicken, das beim Öffnen den Arbeitsplatz des Empfängers kompromittiert. Da Virenscanner und andere übliche Maßnahmen nur bekannte Malware erkennen, sind solche Angriffe oft erfolgreich, zumal ein Angreifer mit Social Engineering einfach herausfinden kann, welcher Virenscanner eingesetzt wird, um dann seinen Angriff entsprechend vorzubereiten. Alternativ zu E-Mails eignen sich auch manipulierte USB-Sticks, die man in den Raucherbereichen oder der Kantine auslegt. Anstelle von einfachen Sticks, die nur spezielle Malware enthalten, kann man heute Sticks verwenden, die dem angeschlossenen PC eine Tastatur vortäuschen und durch die direkte Eingabe von Befehlen Malware nachladen und installieren.

Unter Social Engineering ...

... versteht man zwischenmenschliche Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhalten hervorzurufen, etwa sie zur Preisgabe vertraulicher Informationen zu bewegen. Die Angreifer spionieren das persönliche Umfeld ihres Opfers aus, täuschen Identitäten vor oder nutzen Verhaltensweisen wie Autoritätshörigkeit aus, um geheime Informationen zu erlangen.

Social Engineering ist ein typischer Bestandteil heutiger Cyberattacken, der leider zu oft unterschätzt oder verdrängt wird. Sensibilisierungskampagnen für die Mitarbeiter, Schulungen, aber auch Penetrationstests, die eben nicht nur einen technischen Fokus haben, können helfen, diese Gefahren einzudämmen.

Quelle: Cirosec GmbH

Bildquelle: Thinkstock/iStockphoto