China-Hacker hatten zehn Jahre Zugang zu abgeschottetem Netzwerk

Sicherheitsforscher haben eine außergewöhnlich lang andauernde Spionagekampagne aufgedeckt: Eine mutmaßlich chinesische Hackergruppe soll über einen Zeitraum von zehn Jahren Zugang zu einem abgeschotteten Netzwerk gehabt haben.

Geschickte Zugriffskette

Die Operation, die von den Forschern des Sicherheitsunternehmens Sygnia unter dem Namen "Operation Highland" dokumentiert wurde, wird der Spionagegruppe "Velvet Ant" zugeschrieben. Den Angaben zufolge begann der Angriff bereits im Jahr 2016. Zunächst verschafften sich die Angreifer Zugang über verwundbare, direkt mit dem Internet verbundene Systeme. Von dort aus gelang es ihnen, schrittweise in ein isoliertes Netzwerk vorzudringen, das keine direkte Verbindung zum Internet besaß.

Besonders bemerkenswert war die Vorgehensweise der Angreifer beim Aufbau eines verdeckten Zugangswegs. Durch gezielte Manipulationen an Webservern und deren Konfigurationen schufen sie eine Kette von Weiterleitungen, über die Befehle letztlich in das abgeschottete Netzwerk eingeschleust werden konnten. Eine direkte Verbindung zu den geschützten Systemen war dafür nicht erforderlich.


Nachdem der Zugang etabliert war, konzentrierten sich die Angreifer auf die langfristige Absicherung ihrer Präsenz. Dazu manipulierten sie zentrale Komponenten der Benutzeranmeldung unter Linux. Unter anderem wurden Authentifizierungs- und Fernzugriffsdienste durch präparierte Versionen ersetzt, die Zugangsdaten abfangen und zusätzliche Hintertüren bereitstellen konnten.

Schwierige Abschaltung

Nach Angaben der Sicherheitsexperten erhielten die Angreifer dadurch nahezu vollständige Transparenz über die Aktivitäten von Administratoren. Jede Anmeldung und jeder über kompromittierte Systeme ausgeführte Befehl konnte überwacht werden. Selbst Passwortänderungen oder das Beenden einzelner Sitzungen hätten die Angreifer kaum beeinträchtigt, da ihre Kontrolle tief in den Authentifizierungsprozess eingebettet gewesen sei.

Die Bereinigung des Vorfalls erwies sich laut Sygnia als besonders schwierig. Da zahlreiche kritische Systemkomponenten ausgetauscht worden waren, bestand die Gefahr, durch eine unbedachte Entfernung der Schadsoftware legitime Administratoren auszusperren oder Betriebsstörungen auszulösen. Die Experten richteten deshalb zunächst eine Testumgebung ein, um die Wiederherstellung sicher vorzubereiten.

Als Konsequenz empfehlen die Forscher Unternehmen, Authentifizierungssysteme besonders zu schützen, Änderungen an sicherheitskritischen Dateien kontinuierlich zu überwachen und belastbare Offline-Backups für den Ernstfall vorzuhalten.


Siehe auch: