Sunburst-Angriff

Cyberattacke auf SolarWinds

Nach dem Angriff mit der Malware Sunburst auf Kunden des IT-Anbieters SolarWinds sind auch viele Industrieunternehmen betroffen.

Mitte Dezember wurde ein hoch komplexer Supply-Chain-Angriff bekannt, der mittels der bis dato unbekannten Malware ‘Sunburst‘ gegen Kunden des IT-Anbieters SolarWinds Orion durchgeführt wurde. Nach Angaben von Kaspersky Labs sind etwa 18.000 betroffene Nutzer bestätigt. Allerdings gibt es nur begrenzte Informationen darüber, welche Art von Organisationen die betroffenen SolarWinds-Versionen mit der Backdoor verwendet haben und wer Opfer des Angriffs geworden ist. ICS-CERT-Experten von Kaspersky haben daher interne und öffentlich verfügbare Informationen analysiert um zu definieren, welche Branchen am stärksten von der Attacke betroffen sind.

Ein Drittel der Angriffe richtet sich gegen Industrieunternehmen

Durch Analyse aller verfügbaren decodierten internen Domainnamen, die aus DNS-Namen stammen, die mit dem Sunburst DomainName Generation Algorithm generiert wurden, konnten die Kaspersky-Experten eine Liste von etwa 2.000 Domains erstellen. Etwa ein Drittel (32,4 Prozent) der Angriffe richtete sich dabei gegen Industrieunternehmen. Dabei waren die Branchen wie folgt betroffen:

Anzeige

KI in Fertigungsbranche vorn

Die neunte Ausgabe von Rockwell Automations „State of Smart Manufacturing“ Report liefert Einblicke in Trends und Herausforderungen für Hersteller. Dazu wurden über 1.500 Fertigungsunternehmen befragt, knapp 100 der befragten Unternehmen kommen aus Deutschland. ‣ weiterlesen

• 8,11 Prozent stammen aus dem produzierenden Gewerbe
• 3,24 Prozent sind Versorgungsunternehmen
• 3,03 Prozent sind im Baugewerbe tätig
• 2,97 Prozent gehören zu Transport und Logistik
• 1,35 Prozent betreffen die Öl- und Gasindustrie

Diese Daten korrelieren mit der Analyse der betroffenen Kaspersky-Kunden und den Branchen, zu denen sie gehören.

Anzeige

MES-Integrator und 360-Grad-Partner für optimierte Fertigung

Das Manufacturing Execution System (MES) HYDRA optimiert Produktionsprozesse für Fertigungsunternehmen, um Wettbewerbsvorteile zu erzielen. ‣ weiterlesen

„Die SolarWinds-Software ist in vielen Systemen in verschiedenen Branchen weltweit stark integriert. Infolgedessen ist das Ausmaß der Sunburst-Attacke beispiellos“, so Maria Garnaeva, Sicherheitsforscherin bei Kaspersky. „Viele betroffene Unternehmen waren anfangs möglicherweise nicht einmal für die Angreifer von Interesse. Wir haben zwar keine Hinweise auf einen Angriff der zweiten Stufe unter diesen Opfern gefunden, sollten jedoch die Möglichkeit nicht ausschließen, dass dies zukünftig geschehen kann. Für Organisationen ist es daher von entscheidender Bedeutung, eine Infektion auszuschließen und sicherzustellen, dass sie über die richtigen Maßnahmen zur Vorfallreaktion verfügen.“

Sicherheitsempfehlungen

Der Security-Anbieter gibt Unternehmen folgende Sicherheitsempfehlungen an die Hand:

• Unternehmen sollten überprüfen, ob SolarWinds-Versionen mit der Backdoor installiert sind. Zu den betroffenen Versionen gehören Software-Builds 2019.4 HF 5, 2020.2 HF1 sowie 2020.2, für die noch kein Hotfix installiert ist.
• Darüber hinaus sollte nach Indicators of Compromise (IOCs) gesucht werden. CISA hat dazu Alert AA20-35A mit einer umfangreichen Liste veröffentlicht.
• Wird eine SolarWinds-Installation oder verwandte IOCs entdeckt, sollte umgehend eine Sicherheitsuntersuchung gestartet, Maßnahmen der Vorfallreaktion ergriffen sowie alle möglichen Angriffsvektoren berücksichtigt werden. Dazu gehören:
• Assets, von denen bekannt ist, dass sie gefährdet sind, sollten isoliert werden, während das System betriebsbereit gehalten wird.
• Löschen von IOCs verhindern, die für die Untersuchung nützlich sein könnten.
• Alle Netzwerkprotokolle auf verdächtige Netzwerkaktivitäten überprüfen.
• Systemprotokolle und Journals auf unzulässige Nutzerkontenauthentifizierungen überprüfen.
• Verdächtige Prozessaktivitäten ausfindig machen und Speicherabbilder sowie zugehörige Dateien untersuchen.
• Command-line Data, die mit verdächtigen Aktivitäten verbunden sind, überprüfen.
• Bei Verdacht auf eine SolarWinds-Kompromittierung erhalten betroffene Unternehmen unter ics-cert@kaspersky.com weitere Unterstützung und Beratung.