Proofpoint: Staatlich unterstützte Hacker übernehmen denselben Zero-Day schnell

Was die von Proofpoint geleitete Forschung ergab

Eine gemeinsame Untersuchung von Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center und Volexity hat etwas aufgedeckt, das Forscher selten so klar dokumentiert sehen: Mehrere staatlich ausgerichtete Hackergruppen begannen innerhalb weniger Tage, denselben zuvor unbekannten Zero-Day-Exploit zu nutzen. Die vier Organisationen, die zusammen einen großen Teil der globalen Bedrohungsaufklärung abdecken, bündelten ihre Erkenntnisse, um zu bestätigen, dass dies kein Zufall oder ein langsames Überlaufen nachahmender Aktivitäten war. Es handelte sich um eine nahezu gleichzeitige Übernahme durch separate, nicht miteinander verbundene, nationalstaatlich verknüpfte Gruppen.

Diese Art von querverweisender Forschung ist wichtig, weil jedes dieser Unternehmen normalerweise unterschiedliche Ausschnitte der Bedrohungslandschaft verfolgt: Proofpoint konzentriert sich stark auf E-Mail-basierte Eindringlinge und Phishing-Infrastruktur, Google und Microsoft überwachen Milliarden von Endpunkten und Cloud-Signalen, und Volexity spezialisiert sich auf Incident Response für hochwertige Ziele. Wenn alle vier unabhängig voneinander denselben Exploit zur etwa gleichen Zeit in nicht miteinander zusammenhängenden Kampagnen entdecken, ist das ein starkes Signal dafür, dass sich etwas daran geändert hat, wie der Exploit mehreren Akteuren gleichzeitig zur Verfügung stand, statt dass jede Gruppe ihn für sich selbst entdeckte.

Warum mehrere staatliche Akteure den Exploit so schnell übernahmen

Historisch gesehen bleibt ein frisch entdeckter Zero-Day tendenziell wochen- oder monatelang in den Händen einer einzelnen Gruppe oder eines kleinen, streng kontrollierten Kreises, bevor eine breitere Übernahme erfolgt. Diese Verzögerung entsteht normalerweise, weil Zero-Days teuer in der Entwicklung, gefährlich durch übermäßige Nutzung und gerade deshalb wertvoll sind, weil sie selten sind. Dass mehrere staatlich unterstützte Gruppen denselben Exploit innerhalb von Tagen aufgreifen, durchbricht dieses Muster und deutet auf einige wahrscheinliche Erklärungen hin: Der Exploit könnte über ein Broker-Netzwerk verkauft oder geteilt worden sein, das mehrere regierungsnahe Kunden bedient, aus einer gemeinsamen Entwicklungspipeline geleakt sein oder unabhängig neu entdeckt worden sein, nachdem frühe Angriffe laut genug geworden waren, dass andere hochentwickelte Akteure sie bemerkten und zurückentwickelten.

Jedes dieser Szenarien ist für sich genommen bemerkenswert, aber zusammen beschreiben sie eine Bedrohungsumgebung, in der das Zeitfenster zwischen „Eine Schwachstelle existiert“ und „Mehrere Regierungen nutzen sie aus“ schrumpft. Diese Verdichtung ist die eigentliche Schlagzeile hier, nicht nur die Existenz eines weiteren Zero-Day. Sie spiegelt einen breiteren Trend wider, den die Sicherheitsgemeinschaft dokumentiert hat, einschließlich der Berichterstattung über Siemens ROX II-Schwachstellen und eine Welle von Linux-CVEs, die alle eine schnelle Triage über sehr unterschiedliche Arten von Infrastruktur hinweg erforderten.

Wer gefährdet ist und welche Systeme ins Visier genommen werden

Die beteiligten Forscher nannten nicht öffentlich jede betroffene Organisation, aber die Beteiligung von Volexity und die unternehmensweite Sichtbarkeit von Google und Microsoft deuten darauf hin, dass der Exploit hochwertige Ziele erreichen kann: Regierungsnetzwerke, große Unternehmen und Organisationen, die auf weit verbreitete Software-Stacks angewiesen sind. Staatlich ausgerichtete Gruppen verbrennen in der Regel keinen wertvollen Zero-Day für Ziele mit geringem Wert, sodass seine Nutzung durch mehrere Akteure impliziert, dass die zugrunde liegende Schwachstelle in etwas weit verbreitetem und das Expositionsrisiko wertem liegt.

Für Alltagsnutzer ist das direkte Risiko normalerweise indirekt. Die meisten Menschen sind nicht das primäre Ziel nationalstaatlicher Spionage, aber die Software und Dienste, die sie nutzen, E-Mail-Anbieter, Cloud-Plattformen und Unternehmenswerkzeuge, sind es oft. Wenn ein Zero-Day wie dieser kursiert, können die Auswirkungen irgendwann Lieferketten, Dienstanbieter oder jeden treffen, dessen Daten durch ein betroffenes System laufen.

Praktische Schritte, um die Exposition jetzt sofort zu verringern

Darauf zu warten, perfekte Informationen über einen Zero-Day zu haben, bevor man handelt, ist eine Verluststrategie. Die praktische Reaktion ist dieselbe, die Sicherheitsteams seit Jahren wiederholen, und sie bleibt gerade deshalb wirksam, weil sie nicht davon abhängt, jedes Detail eines bestimmten Exploits zu kennen:

• Wenden Sie Sicherheitspatches an, sobald Anbieter sie veröffentlichen, und priorisieren Sie Systeme, die internetzugewandt sind oder sensible Daten verarbeiten.
• Verfolgen Sie Anbieterhinweise und Threat-Intelligence-Zusammenfassungen während Zeiträumen bestätigter aktiver Zero-Day-Ausnutzung genau, ähnlich der schnellen Reaktion, die für den jüngsten Chrome V8 Zero-Day-Patch erforderlich war.
• Schichten Sie Verteidigungsmaßnahmen, statt sich auf eine einzelne Kontrolle zu verlassen. Ein VPN kann helfen, Daten während der Übertragung zu schützen und die Exposition in nicht vertrauenswürdigen Netzwerken zu verringern, aber es wird einen Exploit, der direkt auf eine verwundbare Anwendung abzielt, nicht stoppen, weshalb es mit Endpunktschutz, Netzwerksegmentierung und starken Zugriffskontrollen kombiniert werden sollte.
• Bleiben Sie durch regelmäßige Sicherheitszusammenfassungen informiert, da Exploit-Offenlegungen und Patch-Zeitpläne schnell voranschreiten und oft im Nachrichtenzyklus untergehen, wie in laufender Berichterstattung wie dem wöchentlichen Roundup zu Certighost und anderen Zero-Day-Offenlegungen zu sehen ist.

Was das für Sie bedeutet

Die meisten Leser werden nicht direkt von einer staatlich unterstützten Hackergruppe ins Visier genommen, aber die Software und Dienste, auf die alle angewiesen sind, können dennoch ins Kreuzfeuer geraten. Die eigentliche Lehre aus dieser Forschung ist nicht die Existenz einer weiteren Geschichte über einen Zero-Day-Exploit staatlich unterstützter Hacker; es ist, wie schnell sich dieser Exploit über mehrere unabhängige staatliche Akteure verbreitete. Diese Geschwindigkeit bedeutet, dass Organisationen und damit auch ihre Nutzer weniger Zeit denn je haben, zu patchen, bevor eine Schwachstelle weitgehend bewaffnet wird. Nehmen Sie jede kritische Patch-Benachrichtigung ernst und gehen Sie nicht davon aus, dass eine Verzögerung von ein paar Tagen harmlos ist.

Wichtigste Erkenntnisse

Die von Proofpoint geleitete Forschung erinnert daran, dass Zero-Day-Exploits nicht mehr lange exklusiv bleiben, sobald sie auftauchen. Für Einzelpersonen bedeutet das, Software unverzüglich aktuell zu halten, Sicherheitshinweise zu beachten und geschichtete Schutzmaßnahmen wie ein VPN neben, nicht anstelle von, guten Patch-Gewohnheiten zu nutzen. Für Organisationen bekräftigt sie den Wert des Austauschs von Threat Intelligence zwischen Anbietern, denn genau diese Art der Zusammenarbeit zwischen Proofpoint, Google, Microsoft und Volexity hat dieses Muster aufgedeckt, bevor es länger unbemerkt blieb. Mit Sicherheitszusammenfassungen und Patch-Veröffentlichungen auf dem Laufenden zu bleiben, ist nach wie vor der einfachste und wirksamste Weg, um zu vermeiden, in einer nationalstaatlichen Cyberoperation zum Kollateralschaden zu werden.