Lage auf einen Blick
Die Telekommunikationsbranche ist weiterhin ein primäres Ziel für eine breite Palette von Bedrohungsakteuren, von Ransomware-Gruppen bis hin zu staatlich unterstützten Hackern. Die jüngsten Meldungen zeigen eine Konzentration auf die Ausnutzung bekannter Schwachstellen in weit verbreiteter Software wie Microsoft SharePoint, gezielte Angriffe auf kritische Infrastrukturen und eine anhaltende Bedrohung durch Betrugsmaschen, die direkt die Dienste von Telekommunikationsanbietern missbrauchen.
Aktuelle Bedrohungen & Vorfälle
Die Ransomware-Gruppe Warlock (auch bekannt als Longlegs/Storm-2603) hat Telekommunikationsanbieter und andere kritische Infrastrukturen wie Wasserversorger und Regierungsbehörden angegriffen. Dabei wurden Schwachstellen in Microsoft SharePoint Server ausgenutzt. Ein russischer Internetanbieter meldete zudem massive Dienstausfälle nach einem DDoS-Angriff. Kriminelle imitieren zudem die US Traceback Group, um Telekommunikationsunternehmen weltweit mittels gefälschter E-Mails zu kompromittieren und Anrufrückverfolgungen zu fordern, was auf Social Engineering und Phishing-Versuche hindeutet.
Aktive Bedrohungsakteure
Die Warlock-Ransomware-Gruppe ist aktiv und zielt auf kritische Infrastrukturen ab, darunter Telekommunikationsanbieter. Ihre Taktik umfasst die Ausnutzung von SharePoint-Schwachstellen. Eine iranische staatlich unterstützte Hackergruppe, bekannt als Blinder Tunnel (verbunden mit UNC3886), wurde mit einer Kampagne in Verbindung gebracht, die Luftfahrt- und Telekommunikationsunternehmen im Irak, Israel und den Vereinigten Arabischen Emiraten ins Visier nimmt. Diese Gruppe nutzt Social Engineering und Schwachstellen in öffentlichen Anwendungen, um Zugang zu erlangen. Die Malware Explosive wurde in einer Meldung erwähnt, was auf den Einsatz von Schadsoftware in Angriffskampagnen hindeutet.
Angriffsmuster in dieser Branche
Es lassen sich mehrere dominante Angriffsmuster erkennen:
- Ransomware-Angriffe: Gruppen wie Warlock nutzen Schwachstellen in Unternehmenssoftware, um in Netzwerke einzudringen und Daten zu verschlüsseln oder zu exfiltrieren.
- Staatlich unterstützte Spionage und Sabotage: Akteure wie Blinder Tunnel zielen auf strategisch wichtige Sektoren ab, um Informationen zu sammeln oder Infrastrukturen zu stören. Hierbei kommen oft Social Engineering und die Ausnutzung von öffentlich zugänglichen Schwachstellen zum Einsatz.
- DDoS-Angriffe: Diese Angriffe zielen darauf ab, die Verfügbarkeit von Diensten zu beeinträchtigen, wie im Fall des russischen Internetanbieters beobachtet.
- Betrugsmaschen und SIM-Swapping: Kriminelle nutzen die Infrastruktur der Telekommunikationsanbieter für Phishing-Kampagnen (SMS-Blaster) und SIM-Swapping, um Zugang zu Finanzkonten oder Kryptowährungen zu erhalten. Die Festnahmen in Manila und Kambodscha im Zusammenhang mit SMS-Blastern unterstreichen die anhaltende Relevanz dieser Bedrohung.
- Impersonation und Social Engineering: Die Nachahmung vertrauenswürdiger Entitäten (z.B. US Traceback Group) ist ein effektiver Weg für Angreifer, um an sensible Informationen zu gelangen oder Zugang zu Systemen zu erhalten.
Relevante Schwachstellen
Die Warlock-Ransomware-Gruppe nutzt Schwachstellen in Microsoft SharePoint Server aus. Obwohl keine spezifische CVE-ID in den Rohdaten genannt wird, ist die Notwendigkeit, SharePoint-Installationen aktuell zu halten und zu härten, offensichtlich. Die CVE-2024-47575, eine kritische Schwachstelle (CVSS 9.8) in FortiManager, ist ebenfalls relevant, da Fortinet-Produkte häufig in Telekommunikationsinfrastrukturen eingesetzt werden. Diese Schwachstelle ist ohne Authentifizierung über das Netz ausnutzbar und hat eine hohe EPSS-Rate von 95%, was auf eine hohe Ausnutzungswahrscheinlichkeit hindeutet. Es ist BEOBACHTET, dass CVE-2025-49706 und CVE-2025-53770 aktiv ausgenutzt werden und Produkte betreffen, die im KEV-Katalog benannt sind. Beide sind über das Netz ohne Anmeldung ausnutzbar.
Empfehlungen für Security-Teams
- Patch-Management für kritische Systeme: Priorisieren Sie das Patchen von Microsoft SharePoint Server und FortiManager-Installationen, insbesondere für CVE-2024-47575 sowie die aktiv ausgenutzten CVE-2025-49706 und CVE-2025-53770. Implementieren Sie einen robusten Patch-Management-Prozess für alle internetexponierten Systeme.
- Verbesserung der Erkennung von Social Engineering und Phishing: Schulen Sie Mitarbeiter regelmäßig im Erkennen von Phishing-E-Mails und betrügerischen Anrufen. Implementieren Sie E-Mail-Filter und Multi-Faktor-Authentifizierung (MFA) für alle kritischen Dienste.
- Überwachung auf SIM-Swapping und SMS-Blaster-Aktivitäten: Implementieren Sie Mechanismen zur Erkennung ungewöhnlicher SIM-Karten-Änderungen oder hoher SMS-Volumina. Arbeiten Sie eng mit Strafverfolgungsbehörden zusammen, um solche Aktivitäten zu unterbinden.
- DDoS-Schutzmaßnahmen verstärken: Stellen Sie sicher, dass adäquate DDoS-Schutzlösungen implementiert und konfiguriert sind, um die Verfügbarkeit von Diensten zu gewährleisten.
- Threat Intelligence nutzen: Bleiben Sie über aktuelle Bedrohungen und Taktiken von Ransomware-Gruppen und staatlich unterstützten Akteuren informiert, um proaktive Verteidigungsstrategien zu entwickeln.
Quellenhinweise
- BleepingComputer: Warlock ransomware breach SharePoint in water, telecom operator attacks
- Industrial Cyber: Symantec reports Warlock ransomware group targets water, telecom, government organizations through SharePoint flaws
- Commsrisk: Criminals Impersonate US Traceback Group to Hack Telcos Worldwide
- Commsrisk: Guns, Drugs, and SMS Blasters: Four Arrested in Manila
- The Hacker News: India Mandates Registered Caller Name Display on 4G and Newer Networks From November 1
- The Record: Russian internet provider SkyNet reports outages after cyberattack claimed by Ukrainian hackers
- Commsrisk: Cambodian Police Seize Prius Carrying SMS Blaster Equipment
- Commsrisk: New Zealand’s Scam Text Reports Rose 1,240% After One-Click Reporting
- Industrial Cyber: Unit 42 links Blinder Tunnel campaign to Iranian state-aligned threat actor targeting aviation, telecommunications
- The Record: Crypto thief who splurged on gold grills sentenced in London
- SecurityWeek: TP-Link Faces State Lawsuits and New Scrutiny Over ISP Router Flaws
- Commsrisk: SMS Blaster Car Drove Slowly Back and Forth Along Jakarta Metro Route
- The Hacker News: Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan
- Industrial Cyber: Anchoring maritime logistics backbone against rising tide of cyber threats targeting ports, vessels, supply chains
- Commsrisk: Germany Disconnects 9,304 Numbers in Telco ‘Crime-as-a-Service’ Crackdown, Orders Tighter KYC Checks
- The Hacker News: Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks
- The Record: Former US soldier gets nearly six-year sentence for hacking, extorting telecoms
- SecurityWeek: Prison Sentence for Former US Soldier Who Hacked AT&T and Verizon