Cyberangriffe: Attribution ist wie ein Indizienprozess
Russland hat den Bundestag gehackt! China wollte die Bayer AG ausspionieren! Bei großen Hackerangriffen ist oft der Fingerzeig auf den mutmaßlichen Täter nicht weit. Knallharte Beweise dafür gibt es selten, Hinweise sind aber kaum zu vermeiden.

"Im Internet weiß niemand, dass du ein Hund bist." Dieser Meme-gewordene Satz aus dem Jahr 1993 stimmt schon lange nicht mehr: Er stimmt nicht einmal für die professionellen Hacker, die mit Tastatur und Maus im Auftrag von Staaten Technologieunternehmen, Regierungseinrichtungen oder Militäreinrichtungen angreifen. Im Internet trägt niemand eine Uniform, könnte man stattdessen vielleicht sagen. Und trotzdem ordnen IT-Sicherheitsspezialisten immer wieder Angriffe zu und finden heraus, zu welchem Land solche APT-Gruppen gehören.
- Cyberangriffe: Attribution ist wie ein Indizienprozess
- E-Mail-Adressen in der Konfigurationsdatei
- Wem der Angriff nutzt, lässt sich kaum verschleiern
- Eine APT-Gruppe der NSA wurde durch Leaks bekannt
- Pläne für den digitalen Gegenangriff
APT steht für Advanced Persistent Threat: fortgeschrittene, andauernde Bedrohung. Was das genau bedeutet, hat sich ständig gewandelt. "Am Anfang wurde der Begriff vor allem in der militärischen Welt benutzt", erklärt Timo Steffens. Er bezeichnete vor allem staatlich gelenkte Cyber-Angreifer. Steffens ist IT-Sicherheitsforscher und hat ein Buch darüber verfasst, wie man die Täter hinter der Computer-Spionage enttarnen kann.
Später sei daraus eher eine Bezeichnung für sehr komplizierte Malware geworden oder Angreifer, die sich erstmal in ein Netzwerk eingeschleust und dann manuell umgesehen hätten. Nicht der gewöhnliche Banking-Trojaner, der ohne konkretes Ziel versucht habe, finanziellen Gewinn zu erzielen. "Heute ist man wieder dazu übergegangen, mit APT staatlich gesteuerte Gruppen zu bezeichnen", sagt Steffens. "Auch wenn die nicht unbedingt fortschrittlich sein müssen, wie das A in APT suggeriert."
APT: durchnummerierte, staatliche Angreifer
Identifizieren IT-Sicherheitsunternehmen eine neue Gruppe, geben sie ihr einen Namen - oder nummerieren sie einfach durch. Erst vor kurzem will die Firma Fireeye APT41 gefunden haben. Die Sicherheitsforscher verorten die Gruppe in China, wie viele andere auf der Liste. Auch Länder wie Russland, der Iran oder Nordkorea tauchen häufiger auf. Doch wie funktioniert so eine Zuordnung?
Steffens beschreibt sechs Faktoren, anhand derer sich eine Hackergruppe verraten kann. "MICTIC" nennt er sie: Malware, Infrastruktur, Command- and Control-Server, Telemetrie, Intelligence und Cui Bono. Ein perfekter Angriff? Unglaublich schwierig.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
E-Mail-Adressen in der Konfigurationsdatei |
what dafuq did i just read?!
Die Aussage man findet manchmal einen Zeitstempel ist korrekt, allerdings fehlt zur...
Ein IT-Sicherheitsforscher, der bei einer deutschen Behörde in Bonn arbeitet: https...
Ja, wirklich sehr interessant. Danke!