Cyber-Lage Behörden

Lage auf einen Blick

Das Cyber-Lagebild für Behörden und kritische Infrastrukturen ist angespannt. Eine deutliche Eskalation der Bedrohung geht von Ransomware-Gruppen aus, die gezielt Schwachstellen in weit verbreiteten Produkten ausnutzen. Parallel dazu gewinnen KI-gestützte Angriffe auf industrielle Steuerungssysteme (ICS) an Relevanz. Die Angreifer zeigen eine hohe Anpassungsfähigkeit und nutzen sowohl bewährte Taktiken wie Phishing als auch neue Vektoren wie DoS-Angriffe über CDN-Infrastrukturen.

Aktuelle Bedrohungen & Vorfälle

Im Fokus steht die Gunra-Ransomware, eine Variante des Conti-Codes, die sich zu einem Ransomware-as-a-Service (RaaS) entwickelt hat. US-Behörden und Südkoreas National Policy Agency warnen explizit vor dieser Bedrohung, die Regierungs- und kritische Infrastrukturen weltweit ins Visier nimmt. Ein konkreter Vorfall war der Ransomware-Angriff auf das kolumbianische Justizministerium kurz vor einem Regierungswechsel, was die politische Dimension solcher Angriffe unterstreicht.

Eine weitere besorgniserregende Entwicklung sind KI-generierte Exploit-Skripte, die auf Siemens S7 PLCs in US-kritischen Infrastrukturen abzielen. Diese Skripte dienen der Aufklärung und Entwicklung von Angriffsfähigkeiten, was auf eine neue Dimension der Bedrohung für Operational Technology (OT) hindeutet.

Zusätzlich wurden CDN Tsunami DoS-Angriffe entdeckt, die HTTP/3-zu-HTTP/1.1-Konvertierungen großer CDNs missbrauchen, um eine bis zu 350-fache Verstärkung von Anfragen zu erzielen. Dies stellt eine erhebliche Bedrohung für die Verfügbarkeit von Online-Diensten dar, die von Behörden bereitgestellt werden.

Angriffsmuster in dieser Branche

Die aktuellen Angriffe auf Behörden und kritische Infrastrukturen zeigen mehrere dominante Muster:

• Gezielte Ransomware-Angriffe: Die Gunra-Ransomware nutzt bekannte Schwachstellen in Fortinet- und Schneider Electric-Produkten aus, um Netzwerke zu kompromittieren. Dies unterstreicht die Notwendigkeit eines stringenten Patch-Managements und der Absicherung von Perimeter-Geräten.
• Missbrauch von Identitäts- und Kommunikationsplattformen: Mutmaßliche russische Hacker missbrauchen Google OAuth und WhatsApp-Verknüpfungen, um Konten von Personen aus Wissenschaft, Luft- und Raumfahrt, Verteidigung sowie Regierungen zu kapern. Dies deutet auf gezieltes Phishing und Credential-Harvesting hin.
• OT/ICS-Angriffe: Die Warnung vor KI-generierten Skripten, die Siemens S7 PLCs angreifen, zeigt eine Verschiebung hin zu komplexeren Angriffen auf industrielle Steuerungssysteme, die für die Funktion kritischer Infrastrukturen essenziell sind.
• DDoS-Angriffe: Die CDN Tsunami-Angriffe demonstrieren, dass Distributed Denial of Service (DDoS) weiterhin ein wirksames Mittel ist, um die Verfügbarkeit von Diensten zu beeinträchtigen.

Relevante Schwachstellen

Obwohl keine spezifischen CVEs in den Rohdaten genannt wurden, ist klar, dass die Gunra-Ransomware aktiv Schwachstellen in Fortinet- und Schneider Electric-Produkten ausnutzt. Dies impliziert, dass es sich um bekannte, aber möglicherweise noch nicht flächendeckend gepatchte Schwachstellen handelt. Für Siemens S7 PLCs ist die Bedrohung durch KI-generierte Exploit-Skripte ein Indikator für potenzielle oder neu entdeckte Schwachstellen, die aktiv erforscht und ausgenutzt werden könnten.

Empfehlungen für Security-Teams

1. Priorisiertes Patch-Management: Umgehend alle Fortinet- und Schneider Electric-Produkte auf bekannte Schwachstellen prüfen und patchen. Dies ist entscheidend, um die Ausnutzung durch Gunra-Ransomware zu verhindern.
2. Stärkung der OT/ICS-Sicherheit: Implementierung robuster Sicherheitsmaßnahmen für Siemens S7 PLCs und andere industrielle Steuerungssysteme. Dazu gehören Netzwerksegmentierung, regelmäßige Audits und die Überwachung auf ungewöhnliche Aktivitäten, insbesondere im Hinblick auf KI-generierte Angriffe.
3. Verbesserung der Identitäts- und Zugriffsverwaltung: Multi-Faktor-Authentifizierung (MFA) für alle Konten, insbesondere für Google OAuth und andere kritische Dienste, ist obligatorisch. Sensibilisierung der Mitarbeiter für Phishing-Angriffe, die auf den Missbrauch von OAuth-Tokens und WhatsApp-Verknüpfungen abzielen.
4. DDoS-Resilienz: Überprüfung und Stärkung der DDoS-Abwehrmechanismen, insbesondere für über CDNs bereitgestellte Dienste. Die Fähigkeit, HTTP/3-basierte Amplification-Angriffe zu erkennen und abzuwehren, ist kritisch.
5. Incident Response Plan: Regelmäßige Überprüfung und Übung des Incident Response Plans, insbesondere für Ransomware-Vorfälle und Angriffe auf kritische Infrastrukturen. Die Fähigkeit zur schnellen Wiederherstellung ist entscheidend.
6. Zusammenarbeit und Informationsaustausch: Aktiver Austausch mit anderen Behörden und relevanten CERTs (z.B. CISA) über aktuelle Bedrohungen und Best Practices. Die Warnungen der US- und südkoreanischen Behörden zur Gunra-Ransomware sind hier ein klares Signal.

Quellenhinweise

• Dark Reading: Ransomware Hits Colombian Justice Ministry Days Before Presidential Transition
• BleepingComputer: US and South Korea warn of Gunra ransomware targeting govt agencies
• The Hacker News: Gunra Ransomware Exploits Fortinet and Schneider Electric Flaws to Breach Networks
• CISA Advisories: #StopRansomware: Gunra Ransomware
• The Hacker News: Suspected Russian Hackers Abuse Google OAuth and WhatsApp Linking to Hijack Accounts
• The Hacker News: AI-Generated Exploit Scripts Target Siemens S7 PLCs in U.S. Critical Infrastructure
• The Hacker News: CDN Tsunami Attack Abuses HTTP/3 Translation for Up to 350x DoS Amplification