IT-Sicherheitsforscher haben kompromittierte WLAN-Zugangspunkte in Hotels, Konferenzzentren und in anderen geteilten Umgebungen entdeckt. Angreifer, die in Russland verortet werden, sollen den Traffic umgeleitet und dabei Zugangsdaten zu Microsoft 365 ausgesp\u00e4ht haben. Die Angriffe sollen seit Juni dieses Jahres laufen.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Das schreibt die IT-Sicherheitsfirma ReliaQuest in einem Blogbeitrag<\/a>. Die russische Cybergang mit der Bezeichnung APT28, auch als \u201eFancy Bear\u201c oder \u201eForest Blizzard\u201c bekannt, wurde bereits fr\u00fcher mit \u00e4hnlichen Angriffen in Verbindung gebracht. Jetzt soll sie auf vergiftetes DNS (DNS Poisoning) setzen, um regul\u00e4ren Web-Traffic umzuleiten und mittels gef\u00e4lschter Zugangsseiten f\u00fcr Microsoft 365 die Zugangsdaten von Opfern abzugreifen.<\/p>\n Die WLAN-Router und -Zugangspunkte wurden demnach mit mittlerer Wahrscheinlichkeit \u00fcber zug\u00e4ngliche Verwaltungsoberfl\u00e4chen angegriffen, die IT-Forscher nennen auch SSH, SNMP und Web-Management-Oberfl\u00e4chen. Mit Sicherheit k\u00f6nnen die Analysten das nicht belegen, jedoch entspreche das dem zuvor beobachteten Muster in der Fancy-Bear-Angriffskampagne \u201eFrostArmada\u201c. Dabei ver\u00e4ndern die Angreifer die Ger\u00e4tekonfiguration, um Anfragen auf von ihnen kontrollierte Infrastruktur umzuleiten. Kompromittierte Ger\u00e4te haben die Forscher in mehreren St\u00e4dten in den USA gefunden, aber auch in Indien und Saudi-Arabien. Der umgeleitete Traffic betrifft viele Sektoren wie Finanzdienstleistungen, Gesundheitswesen, den juristischen Bereich, Energie sowie den Handel. Die Angriffe richten sich daher offenbar gegen alle reisenden Angestellten.<\/p>\n Schutzma\u00dfnahme VPN<\/p>\n Der Einsatz von VPN sch\u00fctzt vor diesen Angriffen, erkl\u00e4ren die IT-Forscher. Dazu muss der Tunnel auf Unternehmensger\u00e4ten dauerhaft aktiviert sein und s\u00e4mtlichen Traffic, einschlie\u00dflich DNS, \u00fcber das Unternehmensnetzwerk leiten. Dadurch erreichen die Anfragen gar nicht erst die kompromittierten Infrastrukturen und lassen den Angriff ins Leere laufen.<\/p>\n Solche Angriffe seien zuvor insbesondere auf SOHO-Router f\u00fcr kleine Unternehmen und Privatnutzer beobachtet worden. Neu ist die Ausweitung auf Captive-Portal-Appliances im Gastgewerbe. Dadurch k\u00f6nnen die Angreifer MS365-Konten von Firmenangestellten unterwandern, ohne deren Ger\u00e4te zu ber\u00fchren oder auch nur eine einzige Phishing-Mail zu versenden. Der ReliaQuest-Blogbeitrag listet am Ende noch Indizien f\u00fcr erfolgreiche Angriffe auf (Indicators of Compromise, IOC).<\/p>\n Russisch-staatliche Angriffe lassen nicht nach. Vergangene Woche wurde etwa bekannt, dass russische Akteure bereits seit einem Jahr westliche Regierungen und Einrichtungen<\/a> durch eine Zero-Click-Schwachstelle in der Kollaborationssoftware Zimbra attackieren.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n