Cyber-Lage Telekommunikation

Lage auf einen Blick

Die Telekommunikationsbranche ist weiterhin ein primäres Ziel für eine Vielzahl von Cyberangriffen, die von finanziell motivierter Ransomware bis hin zu staatlich unterstützten Operationen reichen. Besonders auffällig ist die Ausnutzung von Schwachstellen in weit verbreiteten Systemen wie Microsoft SharePoint Server durch Ransomware-Gruppen. Gleichzeitig geraten Telekommunikationsanbieter aufgrund mangelhafter "Know Your Customer" (KYC)-Prozesse in den Fokus von Regulierungsbehörden, da diese Versäumnisse Betrugsnetzwerke begünstigen.

Aktuelle Bedrohungen & Vorfälle

Im aktuellen Beobachtungsdatensatz sind mehrere kritische Vorfälle hervorzuheben. Die Warlock-Ransomware-Gruppe, mutmaßlich aus China, hat Telekommunikationsanbieter sowie andere kritische Infrastrukturen wie Wasserversorger und Regierungsbehörden angegriffen. Dabei wurden Schwachstellen in Microsoft SharePoint Server ausgenutzt, um Zugang zu erhalten und Ransomware zu verbreiten. Ein weiterer signifikanter Vorfall betrifft die Nutzung der Malware NeedyMantis durch Angreifer, um langfristigen Zugang in kompromittierten Netzwerken von Telekommunikationsunternehmen zu sichern. Darüber hinaus wurde ein ehemaliger US-Soldat wegen Hacking und Erpressung von Telekommunikationsunternehmen, darunter AT&T und Verizon, verurteilt, was die Bedrohung durch Insider oder ehemalige Mitarbeiter unterstreicht. Die deutsche Operation Herakles, die 9.304 betrügerische Telefonnummern abschaltete, zeigt zudem die Notwendigkeit strengerer KYC-Kontrollen, da Telekommunikationsanbieter wie Voxbone SA (Bandwidth) und Vonage Business Limited (Ericsson) wegen mutmaßlicher KYC-Versäumnisse untersucht werden.

Aktive Bedrohungsakteure

Die Warlock-Ransomware-Gruppe (auch bekannt als Longlegs/Storm-2603) ist ein prominenter Akteur, der kritische Infrastrukturen, einschließlich Telekommunikationsanbieter, mit Ransomware angreift. Ihre Taktik konzentriert sich auf die Ausnutzung von SharePoint-Schwachstellen. Der Akteur Salt Typhoon wurde ebenfalls im Kontext von Kompromittierungen der Telekommunikationsinfrastruktur genannt, was zu Vorschlägen für ein freiwilliges Cybersicherheits-Framework in den USA führte. Die Malware NeedyMantis wird von Hackern eingesetzt, um persistenten Zugang in Netzwerken zu etablieren, was auf eine längerfristige Spionage oder Datenexfiltration hindeutet.

Angriffsmuster in dieser Branche

Die beobachteten Angriffsmuster in der Telekommunikationsbranche sind vielfältig:

• Ransomware-Angriffe: Insbesondere durch Gruppen wie Warlock, die auf kritische Infrastrukturen abzielen und SharePoint-Schwachstellen nutzen.
• Langfristiger Zugang und Spionage: Der Einsatz von Malware wie NeedyMantis deutet auf das Bestreben hin, dauerhaften Zugang zu Netzwerken zu erhalten, möglicherweise für Spionage oder Datenexfiltration.
• Erpressung und Datenlecks: Fälle wie der des ehemaligen US-Soldaten zeigen, dass auch individuelle Akteure Telekommunikationsunternehmen hacken und erpressen können, um sensible Daten zu veröffentlichen.
• Missbrauch von Diensten durch Betrugsnetzwerke: Unzureichende KYC-Prozesse bei Telekommunikationsanbietern erleichtern es kriminellen Organisationen, ihre Dienste für Betrugszwecke zu nutzen.

Relevante Schwachstellen

Obwohl keine spezifischen CVEs in den Rohdaten genannt wurden, ist die Ausnutzung von Schwachstellen in Microsoft SharePoint Server durch die Warlock-Ransomware-Gruppe ein zentrales Element der aktuellen Bedrohungslage. Dies unterstreicht die Notwendigkeit, alle öffentlich zugänglichen und intern genutzten SharePoint-Instanzen umgehend zu patchen und abzusichern.

Empfehlungen für Security-Teams

• SharePoint-Sicherheit priorisieren: Umgehende Überprüfung und Patching aller Microsoft SharePoint Server-Instanzen, insbesondere solcher, die öffentlich zugänglich sind oder kritische Daten verarbeiten. Implementierung von Least Privilege und Multi-Faktor-Authentifizierung.
• Netzwerksegmentierung und Monitoring: Stärkere Segmentierung von Telekommunikationsnetzen, um die Ausbreitung von Ransomware und anderen Bedrohungen zu begrenzen. Intensivierung des Monitorings auf ungewöhnliche Aktivitäten und persistente Zugänge, die auf Malware wie NeedyMantis hindeuten könnten.
• KYC-Prozesse verschärfen: Überprüfung und Stärkung der "Know Your Customer" (KYC)-Verfahren, um den Missbrauch von Telekommunikationsdiensten durch Betrugsnetzwerke zu verhindern und regulatorische Anforderungen zu erfüllen.
• Mitarbeiter-Sensibilisierung und Insider-Bedrohungsmanagement: Schulung der Mitarbeiter bezüglich Phishing und Social Engineering. Implementierung von Maßnahmen zur Erkennung und Abwehr von Insider-Bedrohungen, einschließlich strenger Zugriffs- und Berechtigungsverwaltung.
• Incident Response Plan aktualisieren: Regelmäßige Überprüfung und Aktualisierung des Incident Response Plans, um auf Ransomware-Angriffe, Datenlecks und den Missbrauch von Diensten effektiv reagieren zu können.

Quellenhinweise

• BleepingComputer: Warlock ransomware breach SharePoint in water, telecom operator attacks
• Industrial Cyber: Symantec reports Warlock ransomware group targets water, telecom, government organizations through SharePoint flaws
• Industrial Cyber: Anchoring maritime logistics backbone against rising tide of cyber threats targeting ports, vessels, supply chains
• Commsrisk: Germany Disconnects 9,304 Numbers in Telco ‘Crime-as-a-Service’ Crackdown, Orders Tighter KYC Checks
• The Hacker News: Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks
• The Record: Former US soldier gets nearly six-year sentence for hacking, extorting telecoms
• SecurityWeek: Prison Sentence for Former US Soldier Who Hacked AT&T and Verizon
• Industrial Cyber: Warner, Cruz propose voluntary telecom cybersecurity framework and third-party certification after Salt Typhoon
• BleepingComputer: US soldier gets 70 months in prison for extorting 10 tech, telecom firms
• Commsrisk: Telcos Owned by Ericsson and Bandwidth Investigated for KYC Scammer Failings
• KrebsOnSecurity: U.S. Soldier Gets 70 Months in Prison for AT&T, Verizon Extortions
• The Record: Lawmakers introduce bill for voluntary telecom cyber rules after Salt Typhoon hacks
• The Record: Kyiv internet providers report major outages after Russian attacks damage data centers
• Industrial Cyber: Semtech and Palo Alto Networks integrate 5G/LTE routers with Zero Trust security for industrial IoT
• Commsrisk: SHAKEN Not STIR: We Have the Quickest Way to Trace International Calls
• The Hacker News: ThreatsDay: Self-Rewriting Agents, 800+ Flaws Patched, Insider SIM Swaps and 22 More New Stories
• Commsrisk: First SMS Blaster Scammer Arrested in Singapore Was Targeting WhatsApp Users
• The Hacker News: Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan