‘Sea Turtle‘
Security-Experten entdecken neuartige Angriffsmethode
Mit der Angriffskampagne ‘Sea Turtle‘ ist es Cyberkriminellen u.a. gelungen, Registrierungsstellen für Domain-Namen auszuspionieren. Entdeckt wurde die Methode von Cisco Talos.
Cisco Talos hat nach eigenen Angaben eine neuartige Angriffsmethode entdeckt, über die Cyberkriminelle unter anderem Registrierungsstellen für Domain-Namen ausspionieren können. Mit den gestohlenen Anmeldeinformationen waren sie in der Lage, weitere Attacken gegen staatliche Organisationen sowie andere hochrangige Ziele erfolgreich auszuführen. Deren Website-Besucher wurden auf gespiegelte Seiten umgelenkt, um an sensible Daten zu gelangen. Die Opfer konnten den Betrug nur schwer erkennen. „Dieser ausgeklügelte Angriff missbrauchte das Domain Name System (DNS), um Datenverkehr umzuleiten und Zugangsdaten und sensible Informationen zu sammeln“, erklärt Holger Unterbrink, Security Researcher bei Cisco Talos Deutschland. „Da die Angreifer Kontrolle über Länder Domänen wie Saudi Arabien (.sa) hatten, konnten sie beliebigen namensbasierten Internet Traffic dieser Regionen auf ihre Systeme umleiten, einschließlich Webseiten, E-Mail Portale und VPN Zugänge.“
Einrichtungen in 13 Ländern betroffen
Die sogenannte ‘Sea Turtle‘-Angriffskampagne richtete sich laut Cisco Talos gegen mindestens 40 öffentliche und private Einrichtungen. Dazu gehörten nationale Sicherheitsorganisationen, Außenministerien und große Energieversorger aus 13 Ländern, vorwiegend aus dem Nahen Osten und Nordafrika. Um Zugang zu diesen Angriffszielen zu erhalten, wurde zuerst eine Reihe von Drittunternehmen angegriffen, die Dienstleistungen für diese Organisationen erbringen — darunter DNS-Registrare, Telekommunikationsunternehmen und Internet Service Provider.
Attacke nach bekanntwerden fortgesetzt
Bei Cisco Talos geht man davon aus, dass die Attacken möglicherweise von einem staatlich geförderten Akteur durchgeführt wurden, der einen dauerhaften Zugang zu sensiblen Netzen und Systemen erhalten wollte. Die Kampagne wurde zudem fortgesetzt, obwohl bereits verschiedene Aspekte der Aktivitäten öffentlich bekannt waren. In der Regel stoppen oder reduzieren Cyberkriminelle ihre Aktivitäten, sobald darüber berichtet wird. Auch dieses Verhalten deutet auf einen staatlichen Akteur hin, teilt Cisco Talos weiter mit.
