Cyber-Lage Telekommunikation

Lage auf einen Blick

Die Telekommunikationsbranche steht unter anhaltendem Druck durch eine Vielzahl von Cyberbedrohungen. Das aktuelle Lagebild zeigt eine Konzentration auf gezielte Angriffe zur Datenexfiltration und Erpressung, den Einsatz spezialisierter Malware zur Persistenzerlangung sowie den Missbrauch von Telekommunikationsdiensten für kriminelle Zwecke. Die Notwendigkeit robuster Sicherheitsmaßnahmen und die Einhaltung regulatorischer Anforderungen, insbesondere im Bereich Know-Your-Customer (KYC), sind evident.

Aktuelle Bedrohungen & Vorfälle

Im gelieferten Beobachtungsdatensatz fällt auf, dass Telekommunikationsunternehmen sowohl von staatlich unterstützten Akteuren als auch von kriminellen Organisationen ins Visier genommen werden. Ein ehemaliger US-Soldat wurde wegen Hacking und Erpressung von mindestens zehn Technologie- und Telekommunikationsunternehmen, darunter AT&T und Verizon, zu einer Haftstrafe verurteilt. Dabei wurden sensible Kundendaten gestohlen und veröffentlicht. Parallel dazu wurden in Deutschland über 9.300 Telefonnummern abgeschaltet, die im Zusammenhang mit Betrugsnetzwerken standen, was die Notwendigkeit strengerer KYC-Kontrollen unterstreicht. Auch die Untersuchung von Anbietern wie Voxbone SA (Bandwidth) und Vonage Business Limited (Ericsson) durch Ofcom wegen mutmaßlicher KYC-Versäumnisse zeigt die Relevanz dieses Themas.

Aktive Bedrohungsakteure

Die Warlock-Ransomware-Gruppe (auch bekannt als Longlegs/Storm-2603) zielt auf kritische Infrastrukturen, darunter Telekommunikationsanbieter, ab und nutzt dabei Schwachstellen in Microsoft SharePoint Server aus. Dies unterstreicht die Gefahr durch Ransomware für die Betriebskontinuität und Datenintegrität.

Salt Typhoon, ein staatlich unterstützter Akteur, wird mit Angriffen auf die Telekommunikationsinfrastruktur in Verbindung gebracht, bei denen sensible Daten von hochrangigen Zielen gestohlen wurden. Diese Angriffe haben in den USA zu Gesetzesinitiativen für freiwillige Cybersicherheitsrahmenwerke und Zertifizierungen geführt.

Hacker nutzen zudem die Malware NeedyMantis, um langfristigen Zugang zu kompromittierten Netzwerken, einschließlich denen von Telekommunikationsunternehmen, zu erhalten. Dies deutet auf eine Strategie der verdeckten und dauerhaften Präsenz hin, die für Spionage oder zukünftige Angriffe genutzt werden kann.

Angriffsmuster in dieser Branche

Die beobachteten Angriffsmuster umfassen:

• Ausnutzung von Schwachstellen: Insbesondere in weit verbreiteten Unternehmensanwendungen wie Microsoft SharePoint Server, um initialen Zugang zu erlangen und Ransomware zu verbreiten.
• Langfristige Persistenz: Der Einsatz von Malware wie NeedyMantis deutet auf den Wunsch der Angreifer hin, über längere Zeiträume unentdeckt in Netzwerken zu verbleiben, was auf Spionage oder die Vorbereitung größerer Angriffe hindeuten kann.
• Erpressung und Datenexfiltration: Angreifer stehlen sensible Kundendaten und nutzen diese zur Erpressung, was zu erheblichen Reputationsschäden und regulatorischen Strafen führen kann.
• Missbrauch von Diensten: Telekommunikationsinfrastrukturen werden von Betrügern für "Crime-as-a-Service"-Modelle missbraucht, was die Notwendigkeit robuster KYC-Prozesse und Betrugserkennungssysteme hervorhebt.

Relevante Schwachstellen

Die Warlock-Ransomware-Gruppe nutzt Schwachstellen in Microsoft SharePoint Server aus. Obwohl keine spezifischen CVEs in den Rohdaten genannt wurden, ist die Relevanz der Patch-Verwaltung für diese weit verbreitete Technologie hoch, um solche Angriffe zu verhindern.

Empfehlungen für Security-Teams

Empfehlungen für Security-Teams

1. Patch-Management für kritische Systeme: Priorisieren Sie das schnelle Einspielen von Patches für bekannte Schwachstellen in Microsoft SharePoint Server und anderen exponierten Systemen, die von Ransomware-Gruppen wie Warlock ausgenutzt werden könnten.
2. Verbesserung der KYC-Prozesse: Überprüfen und verschärfen Sie die "Know Your Customer"-Verfahren, um den Missbrauch von Telekommunikationsdiensten durch Betrugsnetzwerke zu verhindern und regulatorische Anforderungen zu erfüllen.
3. Erkennung von Persistenzmechanismen: Implementieren und optimieren Sie Detection-Regeln für Malware wie NeedyMantis, um langfristige Zugriffe von Angreifern frühzeitig zu erkennen und zu unterbinden.
4. Überwachung auf Datenexfiltration: Verstärken Sie die Überwachung des Netzwerkverkehrs auf ungewöhnliche Datenabflüsse, um Erpressungsversuche und den Diebstahl sensibler Kundendaten zu identifizieren.
5. Mitarbeiterschulung und Awareness: Sensibilisieren Sie Mitarbeiter für Phishing- und Social-Engineering-Angriffe, die oft als initialer Vektor für den Zugang zu Netzwerken dienen.
6. Incident Response Plan: Stellen Sie sicher, dass ein aktueller und getesteter Incident Response Plan vorhanden ist, um auf Ransomware-Angriffe und Datenlecks effektiv reagieren zu können.

Quellenhinweise

• Industrial Cyber: Symantec reports Warlock ransomware group targets water, telecom, government organizations through SharePoint flaws
• Commsrisk: Germany Disconnects 9,304 Numbers in Telco ‘Crime-as-a-Service’ Crackdown, Orders Tighter KYC Checks
• The Hacker News: Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks
• The Record: Former US soldier gets nearly six-year sentence for hacking, extorting telecoms
• SecurityWeek: Prison Sentence for Former US Soldier Who Hacked AT&T and Verizon
• Industrial Cyber: Warner, Cruz propose voluntary telecom cybersecurity framework and third-party certification after Salt Typhoon
• BleepingComputer: US soldier gets 70 months in prison for extorting 10 tech, telecom firms
• Commsrisk: Telcos Owned by Ericsson and Bandwidth Investigated for KYC Scammer Failings
• KrebsOnSecurity: U.S. Soldier Gets 70 Months in Prison for AT&T, Verizon Extortions
• The Record: Lawmakers introduce bill for voluntary telecom cyber rules after Salt Typhoon hacks
• The Record: Kyiv internet providers report major outages after Russian attacks damage data centers
• Industrial Cyber: Semtech and Palo Alto Networks integrate 5G/LTE routers with Zero Trust security for industrial IoT
• Commsrisk: SHAKEN Not STIR: We Have the Quickest Way to Trace International Calls
• The Hacker News: ThreatsDay: Self-Rewriting Agents, 800+ Flaws Patched, Insider SIM Swaps and 22 More New Stories
• Commsrisk: First SMS Blaster Scammer Arrested in Singapore Was Targeting WhatsApp Users
• Schneier on Security: 25 Years of Mass Surveillance Is Enough