{"id":18229,"date":"2018-12-06T11:04:15","date_gmt":"2018-12-06T09:04:15","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=18229"},"modified":"2020-02-26T18:46:14","modified_gmt":"2020-02-26T16:46:14","slug":"dark-vishnya-attack","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/dark-vishnya-attack\/18229\/","title":{"rendered":"DarkVishnya: interne Angriffe auf Unternehmensinfrastrukturen"},"content":{"rendered":"<p>Normalerweise beginnen wir mit der Untersuchung eines Cybervorfalls, indem wir uns auf die Suche der Infektionsquelle begeben. F\u00fcr gew\u00f6hnlich ist diese Quelle nicht besonders schwer zu finden \u2013 wir halten ganz einfach Ausschau nach einer E-Mail mit Malware-Anhang, einem sch\u00e4dlichen Link oder einem gehackten Server. Im Regelfall verf\u00fcgen Sicherheitsexperten \u00fcber eine umfassende Ger\u00e4teliste; sie m\u00fcssen also lediglich herausfinden, welches \u200b\u200bdieser Ger\u00e4te die sch\u00e4dliche Aktivit\u00e4t entfacht hat. Was aber, wenn alle Ihre Computer scheinbar einwandfrei sind \u2013 und es dennoch b\u00f6sartige Aktivit\u00e4ten gibt?<\/p>\n<p>K\u00fcrzlich haben unsere Experten genau eine solche Situation untersucht. Worauf sie gesto\u00dfen sind? Die Angreifer haben ihr eigenes Ger\u00e4t physisch mit dem Unternehmensnetzwerk verbunden.<\/p>\n<p>Der Ausgangspunkt dieser Art des Angriffs, DarkVishnya genannt, ist ein Krimineller, der ein Ger\u00e4t zum B\u00fcro oder Arbeitsplatz des Opfers bringt und es dann mit dem Unternehmensnetzwerk verbindet. \u00dcber dieses Ger\u00e4t k\u00f6nnen die Kriminellen dann die IT-Infrastruktur des Unternehmens aus der Ferne untersuchen, Passw\u00f6rter abfangen, Informationen aus \u00f6ffentlichen Ordnern lesen und vieles mehr.<\/p>\n<p>Alle technischen Details zu diesem Angriff finden Sie in <a href=\"https:\/\/securelist.com\/darkvishnya\/89169\/\" target=\"_blank\" rel=\"noopener\">diesem Beitrag auf Securelist<\/a>. In diesem besonderen Fall hatten es die Kriminellen auf mehrere Finanzinstitute in Osteuropa abgesehen. Die Methode kann potenziell aber gegen jedes Gro\u00dfunternehmen eingesetzt werden. Je gr\u00f6\u00dfer desto besser; denn in den B\u00fcror\u00e4umen eines Gro\u00dfunternehmens ist es deutlich einfacher, ein sch\u00e4dliches Ger\u00e4t unbemerkt unterzubringen. Besonders effektiv ist diese Methode aber vor allem dann, wenn ein Unternehmen \u00fcber viele B\u00fcros weltweit verf\u00fcgt, die mit einem einzigen Netzwerk verbunden sind.<\/p>\n<h2>Die Ger\u00e4te<\/h2>\n<p>Bei der Untersuchung dieses Falls stie\u00dfen unsere Experten auf drei unterschiedliche Ger\u00e4tetypen. Derzeit k\u00f6nnen wir allerdings noch nicht genau sagen, ob all diese Ger\u00e4te von einer einzigen Gruppe in die betroffenen Unternehmen eingeschleust worden sind oder ob es mehrere Akteure gab; alle Angriffe verfolgten allerdings denselben Ansatz. Bei allen beteiligten Ger\u00e4ten handelte es sich um:<\/p>\n<ul>\n<li><em>Ein billiges Note- oder Netbook.<\/em> Angreifer sind definitiv nicht auf ein Flaggschiffmodell angewiesen. Sie k\u00f6nnen ganz einfach ein gebrauchtes Modell kaufen, diesem ein 3G-Modem einsetzen und zus\u00e4tzlich ein Remote-Control-Programm installieren. Dann verstecken sie das Ger\u00e4t, um zu verhindern, dass es bemerkt wird, und verbinden es mit zwei Kabeln \u2013 eines davon mit dem Netzwerk und das andere mit einer Steckdose.<\/li>\n<li><em>Ein Raspberry-Pi.<\/em> Der Raspberry Pi ist ein Miniaturcomputer, der \u00fcber eine <a href=\"https:\/\/encyclopedia.kaspersky.com\/glossary\/usb-universal-serial-bus\/?utm_source=kdaily&amp;utm_medium=blog&amp;utm_campaign=termin-explanation\" target=\"_blank\" rel=\"noopener\">USB<\/a>-Verbindung mit Strom versorgt wird und sehr kosteng\u00fcnstig und vor allem unauff\u00e4llig ist und somit besser in einem B\u00fcro versteckt werden kann als ein sperriger Laptop. Der Raspberry kann beispielsweise an einen Computer angeschlossen werden, wo er von zahlreichen Dr\u00e4hten getarnt wird, oder am USB-Anschluss eines Fernsehers in einer Empfangshalle oder im Warteraum.<\/li>\n<li><em>Ein Bash Bunny.<\/em> Der Bash Bunny ist als Tool f\u00fcr Penetrationstests gedacht und wird in Hackerforen frei verkauft. F\u00fcr die angemessene Funktionsweise des Ger\u00e4ts ist keine dedizierte Netzwerkverbindung erforderlich; es funktioniert ganz einfach \u00fcber den USB-Anschluss eines Computers, was es dar\u00fcber hinaus einfacher zu verstecken macht. Optisch \u00e4hnelt der Bash Bunny einem USB-Stick.<\/li>\n<\/ul>\n<h2>Wie werden sie verbunden?<\/h2>\n<p>Selbst in Unternehmen, in denen Sicherheitsbedenken ernst genommen werden, ist das Einschleusen eines solchen Ger\u00e4ts nicht unm\u00f6glich. Postboten, Job-Bewerber sowie Kunden- und Partnervertreter gehen in den meisten B\u00fcros ein und aus, sodass Kriminelle versuchen k\u00f6nnen, sich als eine dieser Personen auszugeben.<\/p>\n<p>Ein zus\u00e4tzliches Risiko: Ethernet-Steckdosen werden in B\u00fcros so gut wie fast \u00fcberall installiert \u2013 in Fluren, Meetingr\u00e4umen, Empfangshallen, usw. Schauen Sie sich in einem durchschnittlichen Business Center um, und wir garantieren Ihnen, dass Sie irgendwo ein kleines Ger\u00e4t finden werden, das mit dem Netzwerk und einer Steckdose verbunden ist.<\/p>\n<h2>Das k\u00f6nnen Sie tun<\/h2>\n<p>Immerhin hat diese Art des Angriffs einen Schwachpunkt \u2013 Angreifer m\u00fcssen erst in das gew\u00fcnschte B\u00fcro gelangen und dort eines der oben genannten Ger\u00e4te physisch anschlie\u00dfen. Aus diesem Grund sollten Sie zun\u00e4chst den Zugriff auf das Netzwerk in Bereichen beschr\u00e4nken, die f\u00fcr Au\u00dfenstehende frei zug\u00e4nglich sind.<\/p>\n<ul>\n<li>Entfernen Sie nicht verwendete Ethernet-Steckdosen in \u00f6ffentlichen Bereichen. Wenn dies nicht m\u00f6glich ist, isolieren Sie diese zumindest in einem separaten Netzwerksegment.<\/li>\n<li>Platzieren Sie Ethernet-Steckdosen so, dass sie f\u00fcr bestehende Sicherheitskameras sichtbar sind (dies k\u00f6nnte Kriminelle abschrecken oder zumindest bei der Untersuchung eines Vorfalls hilfreich sein).<\/li>\n<li>Verwenden Sie eine Sicherheitsl\u00f6sung mit zuverl\u00e4ssigen Ger\u00e4testeuerungstechnologien (z.B. <a href=\"https:\/\/go.kaspersky.com\/Global_Trial_Advanced_SOC.html?utm_source=kdaily&amp;utm_medium=blog&amp;utm_campaign=gl_kesbadv_organic&amp;utm_content=banner&amp;utm_term=gl_kdaily_organic_banner_blog_kesbadv\" target=\"_blank\" rel=\"noopener nofollow\">Kaspersky Endpoint Security for Business<\/a>).<\/li>\n<li>Erw\u00e4gen Sie die Verwendung einer speziellen L\u00f6sung zur \u00dcberwachung von Anomalien und verd\u00e4chtigen Aktivit\u00e4ten im Netzwerk (z.B. <a href=\"https:\/\/www.kaspersky.ru\/advert\/enterprise-security\/anti-targeted-attack-platform?redef=1&amp;THRU&amp;reseller=gl_enterprsec_oth_ona_smm__onl_b2b_blog_ban____kata___\" target=\"_blank\" rel=\"noopener\">Kaspersky Anti Targeted Attack Platform<\/a>).<\/li>\n<\/ul>\n<input type=\"hidden\" class=\"category_for_banner\" value=\"kesb-trial\">\n","protected":false},"excerpt":{"rendered":"<p>Cyberkriminelle m\u00fcssen Ihre Computer nicht mit Malware infizieren, wenn sie ihre eigenen Ger\u00e4te einfach direkt an Ihr Netzwerk anschlie\u00dfen k\u00f6nnen.<\/p>\n","protected":false},"author":700,"featured_media":18230,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1848,3107],"tags":[3171,274,3170,769],"class_list":{"0":"post-18229","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-bash-bunny","10":"tag-bedrohungen","11":"tag-darkvishnya","12":"tag-zielgerichtete-angriffe"},"hreflang":[{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/dark-vishnya-attack\/18229\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/dark-vishnya-attack\/14759\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/dark-vishnya-attack\/12362\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/dark-vishnya-attack\/16699\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/dark-vishnya-attack\/14893\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/dark-vishnya-attack\/13846\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/dark-vishnya-attack\/17490\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/dark-vishnya-attack\/16679\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/dark-vishnya-attack\/21833\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/dark-vishnya-attack\/5483\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/dark-vishnya-attack\/24867\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/dark-vishnya-attack\/11180\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/dark-vishnya-attack\/10130\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/dark-vishnya-attack\/22124\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/dark-vishnya-attack\/17721\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/dark-vishnya-attack\/21608\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/dark-vishnya-attack\/21606\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.de\/blog\/tag\/zielgerichtete-angriffe\/","name":"zielgerichtete Angriffe"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/18229","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/users\/700"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/comments?post=18229"}],"version-history":[{"count":5,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/18229\/revisions"}],"predecessor-version":[{"id":23140,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/posts\/18229\/revisions\/23140"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media\/18230"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/media?parent=18229"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/categories?post=18229"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.de\/blog\/wp-json\/wp\/v2\/tags?post=18229"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}