Russland-Ukraine-Krieg: Ein erklärter Cyberkrieg?

14. März: Entdeckung von CaddyWiper, der vierte Wiper, der während dieses Konflikts eingesetzt wurde

8. März: RURansom, Entdeckung des ersten Wipers, der Russland ins Visier nimmt

Am Montag, den 21. Februar 2022, kündigte der russische Präsident Wladimir Putin die Unabhängigkeit der separatistischen Regionen (Volksrepublik Donezk und Volksrepublik Luhansk) an und begann mit der Bombardierung der Hauptstadt Kiew. Europa verurteilte diese Entscheidung umgehend, ebenso wie die Vereinigten Staaten, die daraufhin Wirtschaftssanktionen einleiteten.

1. Ein sichtbarer Konflikt
2. Das Cyber-Risiko: ein weniger sichtbarer Konflikt
   1. Der Fall Ukraine
   2. DER FALL RUSSLAND
3. Risiko einer Ausweitung
4. Cyber-Aktionen
5. Und in Frankreich?
6. Wie kann man sich vorbereiten?

Ein sichtbarer Konflikt

Die Auswirkungen des Krieges in der Ukraine sind unbestreitbar. Die Eskalation dieses Konflikts wird direkte wirtschaftliche Folgen haben. Die Märkte haben bereits heftig reagiert. Der IWF zeigt sich besorgt über mögliche Auswirkungen.

• Einerseits wirtschaftlich, da die Lieferkette Gefahr läuft, gestört zu werden: Die Luftfahrtbranche, die Automobilindustrie, die Produktion von landwirtschaftlichen Geräten sowie bestimmte Medikamente könnten betroffen sein.
• Auf Ebene derEnergie, die Kosten für Gas, könnten deutlich steigen. Zur Erinnerung: Russland verfügt über die größten Gasreserven der Welt. Das Land kann diese Abhängigkeit der Europäer also nutzen, um Druck auszuüben und die Preise in die Höhe zu treiben (auch wenn die französische Regierung in dieser Hinsicht beruhigend wirkt), oder sogar die Exporte komplett einzustellen. Es sei daran erinnert, dass Deutschland die Inbetriebnahme der Gaspipeline Nord Stream 2 ausgesetzt hat. Der Kurs für Öl wird ebenfalls betroffen sein; er war bereits am Donnerstag um 3 % gestiegen, wobei der Preis für ein Barrel Brent-Öl ohnehin schon von sich aus in Richtung der 100-USD-Marke kletterte, was weltweit zahlreiche Auswirkungen haben könnte.
• Im Bereich Landwirtschaftist die Ukraine der viertgrößte Weizenexporteur der Welt. Der aktuelle Konflikt hat sich auf den Weizenpreis ausgewirkt (344 Euro pro Tonne). Frankreich dürfte davon weniger stark betroffen sein.

Das Cyber-Risiko: ein weniger sichtbarer Konflikt

Der Fall Ukraine

Mehrere Organisationen in der Ukraine wurden von einer Attacke mit einer neuen Art von Schadsoftware getroffen, die als „Datenlöschprogramm“ oder „Wiper“ bezeichnet wird.

Was ist ein Wiper?

Dabei handelt es sich um Malware, deren Ziel es ist, das Zielsystem zu zerstören, indem sie den Großteil der Daten (Caches, Konten, Anwendungen, Dateien, Einstellungen usw.) löscht, beschädigt oder verschlüsselt. Dies macht das Zielsystem unbrauchbar, und oft ist eine Neuinstallation des Betriebssystems erforderlich, wobei die Daten dennoch verloren gehen. Diese Art von Malware kann PCs, Smartphones oder IoT-Geräte gleichermaßen angreifen, in den meisten Fällen zielen sie jedoch auf Windows-Systeme ab.

Zwei dieser Schadprogramme haben für Schlagzeilen gesorgt: WhisperGate und HermeticWiper. Diese haben nicht nur ukrainische Infrastrukturen ins Visier genommen, sondern auch Lettland und Litauen. Die Ukraine war zudem Ziel von „DDoS“-Angriffen (Distributed Denial of Service), die den Zugriff auf bestimmte Regierungswebsites blockierten.

Worum handelt es sich dabei?

WHISPERGATE

Das Ausmaß der jüngsten Angriffe auf die Ukraine, wie die Cyberattacke namens „ WhisperGate “, hat am 14. Januar etwa fünfzehn ukrainische Regierungswebsites beeinträchtigt. Auch wenn diese Angriffe vom russischen Präsidenten nicht offiziell anerkannt wurden, könnten sie sich über die ukrainischen Grenzen hinaus ausweiten.

CYCLOP BLINK

Das National Cyber Security Center (NCSC) des Vereinigten Königreichs, die Cybersecurity and Infrastructure Security Agency (CISA), die National Security Agency (NSA) und das Federal Bureau of Investigation (FBI) haben bereits am Mittwoch, dem 23. Februar, vor Cyclops Blink gewarnt.

Hier finden Sie die Details des Berichts:

https://www.ncsc.gov.uk/files/Cyclops-Blink-Malware-Analysis-Report.pdf

Zum jetzigen Zeitpunkt gibt es noch keine offizielle Zuordnung. Es bestehen jedoch mögliche Verbindungen zur Gruppe Sandworm.

Wer ist Sandworm?

• Alias: Voodoo Bear, APT28, Fancy Bear, Sednit, Sofacy
• Herkunft: Gruppe mit mutmaßlicher Verbindung zum GRU
• Technik: Phishing
• Motivation: Cyberspionage, Sabotage, Subversion
• Ziel: Ukrainische Unternehmen und Regierungsbehörden
• Kampagnen: BlackEnergy 2015, Industroyer 2016, Operation NotPetya 2017 sowie die Angriffe auf die Olympischen Spiele 2018.

Wer ist Cyclops Blink?

Aktiv seit 2019.

Familie: Nachfolger von VPNFilter

Besonderheit:

• Die Malware übersteht Maßnahmen wie Neustarts sowie Firmware-Updates der betroffenen Systeme.
• Sie wird auf Geräten des Netzwerkherstellers WatchGuard eingesetzt.

Funktionsweise: Ermöglicht das Hoch- und Herunterladen von Dateien auf den bzw. vom Befehlsserver sowie die Steuerung, Erfassung und Exfiltration von Geräteinformationen. Die Malware ist modular aufgebaut und erweiterbar (neue Funktionen können hinzugefügt werden).

Empfehlung:

• Passwörter ändern
• Geräte aktualisieren
• Die neuesten Sicherheits-Patches anwenden
• Multi-Faktor-Authentifizierung verwenden
• Kommunikation mit verdächtigen IPs einschränken

Folgen Sie diesem Link: https://detection.watchguard.com/

ISAACWIPER

Laut ESET wurde IsaacWiper in Kampagnen eingesetzt, die sich von denen von HermeticWiper unterscheiden.

IsaacWiper soll am 24. Februar bei einem zweiten Angriff erneut gegen die ukrainische Regierung eingesetzt worden sein. „IsaacWiper weist keinerlei Code-Überschneidungen mit HermeticWiper auf und ist deutlich weniger ausgefeilt.“

Bislang erfolgte keine offizielle Zuordnung.

Für eine tiefergehende Analyse und die IoCs finden Sie hier den Link zum ESET-Bericht:

https://www.welivesecurity.com/fr/2022/03/01/isaacwiper-hermeticwizard-nouveau-ver-effaceur-ukraine/

DDOS-ANGRIFF

Zahlreiche DDoS-Angriffe wurden entdeckt, die auf Regierungsbehörden, Banken sowie das ukrainische Militär abzielten.

Katana

Am Sonntag, den 13. Februar, traf das Katana-Botnetz die Websites mehrerer ukrainischer Banken und Regierungsorganisationen. Alle wurden durch einen Distributed-Denial-of-Service-Angriff offline genommen.

Fox Blade

Microsoft hat am 24. Februar eine neue Schadsoftware namens FoxBlade entdeckt. Dabei handelt es sich vermutlich um ein Trojanisches Pferd, das für DDoS-Angriffe eingesetzt wird.

Ebenfalls laut Microsoft ist der ursprüngliche Zugangsweg bis heute nicht bekannt.

HERMETICWIPER

Am Mittwoch (auch wenn diese Malware nicht aus dem Februar stammt, sondern laut ESET vom 28. Dezember 2021) erlitt die Ukraine einen zweiten Angriff, der den Namen HermeticWiperträgt. Es handelt sich um eine auf GoLang basierende Malware zur Datenlöschung und Erpressung. Diese Schadsoftware zielt auf Finanz- und Regierungseinrichtungen ab.

Familie : Nachfolger von KillDisk.NCV

Auch bekannt als : Win32/KillDisk.NCV

Besonderheit:

• Erfordert eine vorherige Kompromittierung des Systems, bevor es ausgeführt werden kann. Eine Ausführung wurde nach der Kompromittierung eines Windows-Domänencontrollers beobachtet. Bei anderen Beobachtungen der Software konnte die ursprüngliche Kompromittierung nicht identifiziert werden.
• Datenlöschtechnik, die mithilfe von EaseUS ausgenutzt wird.
• Sie zielt direkt auf Windows-Geräte (Windows XP, Vista, 7, 10 und 11) ab und manipuliert anschließend den MBR (Master Boot Record). Dies ist ein Bereich auf einer Festplatte, der es dem Computer (genauer gesagt dem Betriebssystem) ermöglicht, zu verstehen, wie auf das Medium gelesen und geschrieben werden kann. Wenn der MBR beschädigt ist, kann der Computer nicht mehr starten, alles muss neu installiert werden und sämtliche Daten gehen verloren.
• Gezielter Angriff

Funktionsweise: ermöglicht den Zugriff auf physische Laufwerke, um Daten zu beschädigen oder sogar zu löschen.

Empfehlungen:

• Sandboxing aktivieren

CADDYWIPER

Analysten von ESET haben am 14. März einen neuen Wiper entdeckt. Er trägt den Namen CaddyWiper. Er unterscheidet sich von HermeticWiper, IsaacWiper und WhisperGate.

Es handelt sich um eine Schadsoftware zur Datenlöschung.

DIE SCHWIERIGE FRAGE DER ZURECHNUNG

Das Thema der Zurechnung bei diesen jüngsten Angriffen ist heikel. Man sollte vor vorschnellen Anschuldigungen ohne Beweise warnen, da dies die Beschaffung von Rohdaten erfordert, die uns nicht immer vorliegen. Die Zurechnung solcher Angriffe braucht Zeit, und die jüngsten Angriffe in der Ukraine liegen noch zu kurz zurück. Man sollte sich vor vagen Vermutungen hüten. Im Fall der Ukraine ist der Kontext sehr komplex, auch wenn der russische Präsident direkte Cyber-Vergeltungsmaßnahmen für den Fall einer Einmischung in den bewaffneten Konflikt angekündigt hat.

Schließlich besteht auch das Risiko, dass andere Akteure die russische Aggression opportunistisch nutzen oder „False Flag“-Operationen (falsche Anschuldigungen bezüglich der Verantwortlichkeit) durchführen und das herrschende Chaos für ihre Angriffe ausnutzen.

DER FALL RUSSLAND

RURANSOM

Eine neue Schadsoftware wurde entdeckt: RURansom. Es handelt sich um einen Wiper: Er verschlüsselt Dateien unwiderruflich. Er verbreitet sich wie ein Wurm und soll gezielt Russland ins Visier nehmen.

Er wurde Berichten zufolge zwischen dem 26. Februar und dem 2. März entdeckt.

Risiko einer Ausweitung

Man kann nicht mit Sicherheit sagen, ob sich dieser Konflikt ausweiten wird.

Sicher ist jedoch, dass der Krieg 3.0 in der Ukraine begonnen hat. Alle Zutaten sind vorhanden: Verhandlungen, digitale Offensiven und Versuche der Destabilisierung durch Desinformation.

Die Sorge vor globalen Cyberangriffen bleibt bestehen; es ist mit einer Diversifizierung der Angriffe (Ransomware, DDOS) und der Zielobjekte zu rechnen.

Tatsächlich schrecken Staaten nicht davor zurück, Cyberwaffen einzusetzen. Dies war beim NotPetya-Programm der Fall, das ein ganzes Land lahmlegte.

Diese Art von Bedrohung könnte durchaus exportiert werden und Unruhe in öffentlichen Einrichtungen (Gesundheitswesen, Wasserversorgung, zivile Güter) sowie in Regierungsinfrastrukturensowie in privaten Unternehmen und kritischen Infrastrukturen stiften und so die betroffenen Länder handlungsunfähig machen.

• Unternehmen aus dem Bereich Telekommunikation und Internetinfrastruktur können ins Visier geraten.
• Die Europäische Zentralbank war übrigens die erste, die vor einem unmittelbar bevorstehenden Angriffsrisiko auf Finanzinstitute warnte.
• Die Vereinigten Staaten gaben an, Aufklärungsangriffe auf ihren Energiesektor erlitten zu haben, und schreiben diese Offensiven dem russischen Staat zu.
• Manipulation und Destabilisierung stellen eine weitere Bedrohung dar, die als Desinformation bezeichnet wird. Zwar gibt es keine direkten Opfer, doch die Bedrohung ist heimtückisch. Zahlreiche falsche Bombendrohungen wüten derzeit in der Ukraine und verbreiten Chaos und Angst. Falschinformationen kursieren und säen Zweifel. Propaganda ist eine Waffe.

Cyberaktionen

Die Ukraine bereitet sich auf alle Eventualitäten vor, wie etwa das Löschen ihrer IT-Server, das Verlagern sensibler Daten aus Kiew heraus und das sofortige Sperren kompromittierter Konten. Die USA und Europa haben Cyberexperten entsandt, um die Ukraine bei der Modernisierung ihrer IT-Systeme zu unterstützen. Doch mit der Verschärfung der Bedrohung mussten die Teams ihre Standorte verlegen und sind nun nur noch aus der Ferne erreichbar, was im Falle eines Cyberangriffs kompliziert werden könnte.

Die ukrainische Regierung soll sogar die Hacker des eigenen Landes dazu aufgerufen haben, sich gegen eine mögliche Bedrohung zu verteidigen, und fördert Cyber-Spionage. Dieser Aufruf stieß auf Resonanz, denn in Hacker-Foren im Darknet waren sehr schnell Unterstützungsbekundungen zu lesen.

Der Krieg wird auch auf dem Feld der Desinformation geführt. Durch die Verbreitung zahlreicher Fake News versucht Russland, seine militärischen Aktionen zu rechtfertigen.

Beispiele dafür gibt es zuhauf, darunter die Anschuldigung, die Ukraine würde Aggressionen gegen den Donbass verüben, oder die Behauptung, ukrainische und polnische Soldaten hätten Chemiefabriken angegriffen.

Angesichts dieser Angriffe setzen ukrainische „Faktenchecker“-Aktivisten mit Unterstützung von Journalisten vor Ort sowie Bellingcat alles daran, die Unwahrheit dieser Anschuldigungen zu beweisen.

Auch das Hacker-Kollektiv Anonymous ist diesem Beispiel gefolgt und hat mehrere Websites der russischen Regierung (Russia Today, RT.com) lahmgelegt.

Und wie sieht es in Frankreich aus?

Frankreich bleibt in gewisser Hinsicht „ privilegiert “; wir sind dank unserer Kernenergieproduktion und unserer Zusammenarbeit mit Norwegen weniger abhängig von Gas. Was den Weizen betrifft, so verfügen wir auch hier über eine starke Getreideproduktion auf französischem Boden, die uns vor einem möglichen Engpass schützt.

Was das Risiko von Cyberangriffen angeht, so ist Frankreich ebenso gefährdet wie andere Länder. Daher hat die ANSSI eine Mitteilung herausgegeben, in der sie zur Wachsamkeit aufruft. Sie warnt vor den möglichen Auswirkungen im Cyberspace und fordert jedes Unternehmen auf, seine Cybersicherheitsmaßnahmen zu verstärken. Dies gilt gleichermaßen für Institutionen und kritische Infrastrukturen (OIV).

Sie weist auch auf Kleinstunternehmen sowie kleine und mittlere Unternehmen hin, die ebenfalls Gefahr laufen, Ziel von Angreifern zu werden.

Zur Erinnerung: Hier sind einige Links zum Thema digitale Hygiene:

https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf

https://www.ssi.gouv.fr/entreprise/bonnes-pratiques/

Eine mögliche Cyber-Reaktion in Frankreich wird von der französischen Regierung in Erwägung gezogen, die bereits Maßnahmen eingeleitet hat und alle ihre Institutionen dazu auffordert, ihre Wachsamkeit zu erhöhen.

Die ANSSI steht an vorderster Front und hat ein Warnbulletin herausgegeben, über das wir bereits in einem früheren Artikel berichtet hatten.

Auch die französischen Präfekten sind mobilisiert. Präsident Macron hat sie angewiesen, ihren Dienstort nicht zu verlassen, und von ihnen „die Verfügbarkeit aller mobilisierten und mobilisierbaren Dienste“ gefordert.

Das digitale Risiko kann alle Institutionen treffen: Rathäuser, regionale Behörden, Gebietskörperschaften, aber auch Großkonzerne – entweder direkt oder indirekt über Angriffe auf ihre Lieferketten. Auch KMU sind davon betroffen.

Zusätzlich zu diesen Maßnahmen finden sowohl in Frankreich als auch in Europa laufend Ministerratssitzungen statt.

Frankreich und Europa müssen sich auf Angriffe vorbereiten; Cyberangriffe sind mittlerweile eine Waffe wie jede andere. Cyberkriege sind nichts Neues, werden aber heute von den Medien besonders hervorgehoben. Hier zeigt sich deutlich, welchen Stellenwert die Cyberwelt auf dem globalen Schachbrett einnimmt.

Wie kann man sich vorbereiten?

Mehr denn je müssen sich Unternehmen auf den Ernstfall vorbereiten, bestmöglich vorsorgen – durch einen effektiven und erprobten Business Continuity Plan (BCP) – und ihre technologische Verteidigung stärken. Unternehmen müssen ihre Wachsamkeit gegenüber Partnern und Dienstleistern verdoppeln, da Angreifer gezielt Lieferketten ins Visier nehmen. Zur Erinnerung: Zahlreiche ukrainische Organisationen beliefern direkt Unternehmen der Fortune-500-Liste, und 35 CAC-40-Konzerne sind in Russland vertreten (TotalEnergies, Renault, Auchan usw.).

Wir empfehlen:

1. Verfolgen Sie das CERT FR: https://www.cert.ssi.gouv.fr/
2. Beachten Sie die Empfehlungen der ANSSI: https://www.ssi.gouv.fr/actualite/tensions-internationales-renforcement-de-la-vigilance-cyber/
3. Aktualisieren Sie sämtliche Betriebssysteme.
4. Erinnern Sie Ihre Mitarbeiter an die Bedeutung von Cyberrisiken und sensibilisieren Sie sie dafür, bei ungewöhnlichen Vorfällen sofort Alarm zu schlagen.

Wenn Sie Unterstützung benötigen oder Fragen zu Ihren bestehenden Schutzmaßnahmen haben, kontaktieren Sie uns.

Kontaktieren Sie TEHTRIS