Beratung vom 7.–13. September: 33 APT-Cluster markieren neuen Höchststand

Eine neu veröffentlichte wöchentliche Bedrohungsberatung für den Zeitraum vom 7. bis 13. September hat ein Ausmaß koordinierter Cyberangriffsaktivität gemeldet, das Forscher als „dauerhafte Verschiebung der Grundlinie“ beschreiben. Der Bericht verfolgte 33 gleichzeitig aktive APT-Cluster (Advanced Persistent Threat) während der Woche – ein neuer Höchststand und die dritte Woche in Folge, in der die Aktivität über den historischen Normen blieb.

Während Beratungen wie diese typischerweise für Security-Operations-Teams und CISOs geschrieben werden, sind die zugrunde liegenden Zahlen für jeden relevant, der das Internet zum Bankgeschäft, Einkaufen, Arbeiten oder Kommunizieren nutzt. Wenn das Volumen aktiver Bedrohungsinfrastruktur derart stark ansteigt und erhöht bleibt, steigt damit auch die Wahrscheinlichkeit, dass normale Nutzer auf Phishing-Seiten, schädliche Downloads oder kompromittierte Netzwerke stoßen.

Was die Zahlen tatsächlich zeigen

Die Schlagzeilenzahl der Beratung – 33 gleichzeitig aktive APT-Cluster – bezieht sich auf verschiedene, gleichzeitig aktive Gruppen staatlich verknüpfter oder organisierter Cyberkrimineller, die zur selben Zeit Kampagnen durchführen. Forscher merkten an, dass frühere Leitlinien einen Schwellenwert festgelegt hatten: Wenn diese Zahl in der Berichtswoche über 15 läge, würde dies als Beweis für eine dauerhafte Veränderung statt einer vorübergehenden Spitze gewertet. Die betreffende Woche lag bei 33 – mehr als das Doppelte dieses Schwellenwerts – weshalb Analysten dies nun als bestätigte Verschiebung der Grundlinie und nicht als Ausreißer bezeichnen.

Neben der Cluster-Anzahl verzeichnete der Bericht 57.981 eindeutige Kompromittierungsindikatoren (IOCs) – die digitalen Fingerabdrücke, schädlichen IP-Adressen, Datei-Hashes und Domains, die Verteidiger zur Erkennung und Blockierung von Angriffen nutzen. Ein einzelner „persistenter C2-Betreiber“, also ein Bedrohungsakteur, der langlebige Command-and-Control-Infrastruktur betreibt, war allein für mehr als 53.000 dieser IOCs verantwortlich. Diese Konzentration deutet darauf hin, dass eine besonders aktive und gut ausgestattete Operation einen großen Anteil des Gesamtvolumens antreibt, statt dass sich der Anstieg gleichmäßig über viele kleinere Akteure verteilt.

Die Beratung verzeichnete außerdem einen 5,5-fachen Anstieg der Ransomware-Aktivität im Vergleich zu den Grundwerten. Ransomware-Kampagnen sind bemerkenswert, weil sie häufig mit denselben Taktiken beginnen, die alltägliche Nutzer betreffen: Phishing-E-Mails, exponierte Remote-Zugriffspunkte und ungepatchte Software-Schwachstellen. Ein starker Anstieg von Ransomware-Operationen korreliert oft mit einem Anstieg der Massen-Phishing- und Credential-Diebstahl-Kampagnen, die diese Operationen speisen.

Warum eine „dauerhafte Verschiebung der Grundlinie“ anders ist als eine Spitze

Sicherheitsforscher unterscheiden zwischen kurzfristigen Spitzen, die innerhalb ein oder zwei Wochen wieder auf das Normalmaß zurückgehen, und Verschiebungen der Grundlinie, die ein neues, anhaltendes Aktivitätsniveau darstellen. Die Wortwahl dieser Beratung ist bewusst gewählt: Drei aufeinanderfolgende Wochen mit erhöhter Aktivität, kombiniert mit einer Cluster-Anzahl weit über dem zuvor festgelegten Schwellenwert, werden als Beweis dafür interpretiert, dass sich die Bedrohungslage selbst verändert hat – und nicht, dass dies eine einmalig geschäftige Woche war.

Für Leser ist die praktische Konsequenz eindeutig. Sicherheitsratschläge, die davon ausgehen, dass Angriffe seltene, isolierte Ereignisse sind, entsprechen zunehmend nicht mehr der Realität. Persistente Infrastruktur wie der C2-Betreiber, der für den Großteil der IOCs dieser Woche verantwortlich ist, bleibt tendenziell bestehen und wird über mehrere Kampagnen hinweg wiederverwendet. Das bedeutet, dass dieselben schädlichen Domains und Server Wochen oder Monate nach ihrer ersten Identifizierung in Phishing-Versuchen oder bei der Malware-Verbreitung wieder auftauchen können.

Diese Art anhaltender Infrastruktur verstärkt das Risiko zusätzlich, wenn sie mit neu offengelegten Software-Schwachstellen kombiniert wird. Zum Beispiel zeigt die kürzlich offengelegte MiniPlasma-Privilegieneskalations-Schwachstelle, wie Angreifer selbst nach dem Anwenden Standard-Patches vollständigen SYSTEM-Zugriff auf Windows-Rechnern erlangen können. Wenn persistente C2-Betreiber sowohl über dauerhafte Infrastruktur als auch über Zugang zu frischen Exploits wie diesem verfügen, gibt ihnen diese Kombination mehr Möglichkeiten, über einen längeren Zeitraum hinweg Opfergeräte zu erreichen und zu kontrollieren.

Was das für Sie bedeutet

Sie müssen kein Sicherheitsprofi sein, um von einer solchen Verschiebung betroffen zu sein. Erhöhte APT- und Ransomware-Aktivität bedeutet im Allgemeinen mehr Phishing-E-Mails, mehr schädliche Anzeigen und gefälschte Anmeldeseiten sowie eine höhere Wahrscheinlichkeit, dass ungepatchte Geräte opportunistisch ins Visier genommen werden – selbst wenn Sie nicht das spezifische Ziel einer staatlichen Gruppe sind.

Die gute Nachricht ist, dass sich die Grundlagen der persönlichen Cybersicherheit nicht allein dadurch ändern, dass das Bedrohungsvolumen gestiegen ist. Was sich ändert, ist die Bedeutung von Konsistenz: Software aktuell zu halten, unerwarteten Links und Anhängen gegenüber skeptisch zu sein und starke, einzigartige Passwörter mit Multi-Faktor-Authentifizierung zu verwenden, bleiben die wirksamsten Verteidigungen gegen die Taktiken, auf die sich persistente Bedrohungsakteure am meisten verlassen.

Umsetzbare Erkenntnisse

• Halten Sie Ihr Betriebssystem und Ihre Anwendungen auf automatische Updates eingestellt, da anhaltende APT-Aktivität häufig bekannte, aber ungepatchte Schwachstellen ausnutzt.
• Behandeln Sie unerwartete E-Mails, Links und Anmeldeaufforderungen während Phasen bestätigt erhöhter Aktivität wie dieser mit besonderer Vorsicht.
• Aktivieren Sie Multi-Faktor-Authentifizierung für Ihre wichtigsten Konten, insbesondere E-Mail, Banking und Cloud-Speicher.
• Sichern Sie wichtige Dateien regelmäßig und bewahren Sie mindestens eine Kopie offline auf, angesichts des in dieser Beratung vermerkten starken Anstiegs der Ransomware-Aktivität.
• Verfolgen Sie Sicherheitsberatungen aus seriösen Quellen, damit Sie verstehen, wann Bedrohungsstufen wirklich erhöht sind und wann es sich um routinemäßiges Hintergrundrauschen handelt.

Wöchentliche Bedrohungsberatungen wie diese drehen sich letztlich um Mustererkennung über die Zeit, nicht um einen einzelnen Vorfall. Eine dauerhafte Verschiebung der Grundlinie, bestätigt über drei aufeinanderfolgende Wochen und gestützt auf fast 58.000 eindeutige Kompromittierungsindikatoren, ist ein Signal, das Beachtung verdient. Auf dem Laufenden zu bleiben, was grundlegende Sicherheitshygiene angeht, bleibt der zuverlässigste Weg, geschützt zu bleiben, während sich diese Grundlinie weiterentwickelt.