Spear-Phishing-E-Mails mit Trojanern werden erkannt und APT-Attacken abgewehrt
Foto: © fotohansel – Fotolia.com Presseinformation

APT-Attacken - Forscher entwickeln Erkennungsverfahren

Zuverlässige Abwehr von Schwachstellen in vielen Firewalls entdeckt – Testsystem im Internet verfügbar

Advanced Persistent Threats (APT) gehören zu den größten Gefahren in der IT. Dabei überlisten Angreifer gezielt die Sicherheitssysteme in hochsensiblen Netzen, um sich dort einzunisten und Daten zu stehlen oder zu einem bestimmten Zeitpunkt kritische Systeme zu sabotieren.
Im Projekt APT-Sweeper haben Forscher die Spuren dieser Angriffe verfolgt und eine wirksame Erkennungsmethode entwickelt: APTs beginnen zumeist mit Spear-Phishing-Mails, die charakteristische strukturelle Merkmale aufweisen – anhand dieser Muster können die Angriffe identifziert und abgewehrt werden. Zudem deckten die Forscher Schwachstellen bei zahlreichen Sicherheitssystemen auf, die Malware in selten verwendeten oder fehlerhaft angewendeten Standards für E-Mail und Web Traffc nicht erkennen und einfach passieren lassen. Ob die eigene Firewall bei Web Traffc Sicherheitslücken aufweist, kann jeder mit dem frei verfügbaren Tool HTTP Evader (https://noxxi.de/research/http-evader.html) prüfen.

Forschungspartner im Projekt APT-Sweeper waren die Technische Universität Braunschweig, die Friedrich-Alexander-Universität Erlangen und das ITSicherheitsunternehmen genua GmbH.

APT-Angriffe unterscheiden sich deutlich von anderen Hacker-Attacken: Zum einen sind die Täter zumeist gut ausgebildete und ausgestattete staatliche Dienste oder kriminelle Organisationen. Zum anderen wird gezielt ein bestimmtes IT-System anvisiert, häufg im Bereich Wirtschaft, Forschung, Politik oder Militär. Die Attacke beginnt nach sorgfältiger Aufklärung zumeist mit Spear-Phishing. Dabei wird Mitarbeitern im Ziel-Netzwerk eine E-Mail von einer bekannten, aber gefälschten Absenderadresse zugesandt, deren Inhalt individuell auf den Empfänger abgestimmt ist.

Backdoor via Spear Phishing

Öffnen die Mitarbeiter in der scheinbar vertrauenswürdigen E-Mail den Anhang oder den eingefügten Link, so wird ein Trojaner geladen und installiert eine Backdoor im sensiblen Netzwerk. Jetzt hat der Angreifer direkten Zugang auf sein Ziel. Dort agiert er vorsichtig, um unentdeckt von Sicherheitssystemen möglichst lange Knowhow stehlen oder kritische Systeme sabotieren und somit maximalen Schaden anrichten zu können.

Strukturelle Merkmale verraten gefälschte E-Mails

Um solche Attacken bereits in der Spear-Phishing-Phase aufdecken zu können, analysierten die Forscher im Projekt APT-Sweeper strukturelle Merkmale von EMails:
Mit welchem Mail-Programm wurden sie geschrieben, über welche Server wurden sie zugestellt, welche Anhänge sind angefügt? Insgesamt erfassten die Forscher über 100 strukturelle Merkmale bei E-Mails von bekannten Absendern und erstellten mittels maschinellen Lernens zu jedem ein Profil.

Hohe Trefferquote: Spear-Phishing wird zuverlässig erkannt

Auf Basis der Absenderprofle entwickelten die Forscher eine Erkennungsmethode, die bei APT-Attacken eine hohe Trefferquote erreicht: Wird eine Spear-Phishing-EMail mit bekannten, aber gefälschten Absenderdaten mit dem angelegten Profl verglichen, lassen sich deutliche Abweichungen feststellen. Da Merkmale wie z. B. der Versandweg einer E-Mail erheblich schwieriger zu fälschen sind als die Absenderadresse, und über die Profle viele Strukturdaten abgeglichen werden, ist die neue Methode sehr treffsicher. So können die Empfänger vor bösartigen Spear-Phishing-E-Mails gewarnt und die APT-Angriffe abgewehrt werden. Auch generelle Phishing-Attacken, die weniger zielgerichtet ablaufen und bei denen häufg bekannte Internet-Unternehmen als Absender vorgegeben werden, lassen sich mit der neuen Methode zuverlässig enttarnen.

Aufgedeckt: Sicherheitslücken in vielen Firewalls

Bei der Analyse von Standard-Protokollen für E-Mail (MIME) und Web Traffc (HTTP) stießen die Forscher auf zahlreiche Sicherheitslücken bei verbreiteten Firewalls, Mailfltern und Antivirus-Systemen. So erkannten die IT-Sicherheitssysteme Malware in selten verwendeten Protokoll-Erweiterungen oder fehlerhaft angewendeten Standards nicht und ließen sie einfach durch. Viele Firewalls konnten bspw. Daten nicht analysieren, die mit dem nur vereinzelt genutzten Protokoll-Standard „defate“ komprimiert waren. Statt die ungeprüften Daten jedoch zu blockieren, ließen die Firewalls sie einfach passieren.

Frei verfügbares Testsystem für Firewalls

Die Forscher vermuten, dass das riskante Durchlassen ungeprüfter Inhalte von einigen Herstellern zugunsten der Benutzerfreundlichkeit in Kauf genommen wird, um die Anwender nicht durch blockierte Inhalte zu verärgern. Alle betroffenen Hersteller wurden von den Forschern über die gefundenen Sicherheitsmängel informiert, die meisten sind inzwischen behoben. Ob die eigene Firewall bei der Kontrolle von Web Traffc via HTTP Schwachstellen ausweist, kann jeder mit diesem im Projekt APT Sweeper entwickelten, frei verfügbaren Tool testen:

• HTTP Evader Test Site: https://noxxi.de/research/http-evader.html

Die Forscher des IT-Sicherheitsunternehmens genua waren bei APT-Sweeper für die Projektleitung verantwortlich, zudem entwickelten sie Indikatoren zur APT Erkennung in Datenströmen. Die High Resistance Firewall genugate des deutschen Herstellers genua weist keine der aufgedeckten Schwachstellen auf. Die Firewallleitet nur Daten weiter, die sie komplett analysieren konnte – unverständliche und fehlerhafte Inhalte werden konsequent geblockt. Das Projekt APT Sweeper wurde vom Bundesministerium für Bildung und Forschung gefördert.