FBI warnt vor russischen und iranischen Cyberoperationen gegen Messaging-Plattformen
FBI warnt vor russischer Cyberspionage
DasDas Federal Bureau of Investigation (FBI) hat kürzlich zwei separate Warnungen zu Cyberaktivitäten aus Russland und dem Iran veröffentlicht, die beide die Ausnutzung populärer Messaging-Anwendungen beinhalten.
Russische Geheimdienste sollen gezielt kommerzielle Messaging-Apps wie Signal ins Visier nehmen, um unberechtigten Zugang zu Konten aktueller und ehemaliger US-Regierungsbeamter, Militärangehöriger, politischer Persönlichkeiten und Journalisten zu erlangen. Das FBI erklärte in Zusammenarbeit mit der Cybersecurity and Infrastructure Security Agency (CISA), dass diese globale Operation zur unbefugten Kompromittierung von Tausenden von Konten geführt hat.
Die russischen Akteure setzen Phishing-Taktiken ein und versenden Nachrichten, die wie legitime automatisierte Support-Benachrichtigungen aussehen sollen. Diese Nachrichten sollen Empfänger dazu verleiten zu glauben, sie müssten eine Aktion durchführen, z. B. einen Link anklicken oder Verifizierungscodes und Konto-PINs angeben. Wenn ein Benutzer diesen Aufforderungen nachkommt, gewährt er den Angreifern unbeabsichtigt unbefugten Zugang zu seinem Konto, entweder durch das Verknüpfen des Geräts des Angreifers oder durch die Ermöglichung einer vollständigen Kontoübernahme. Die Behörden stellten fest, dass im Zuge der Weiterentwicklung dieser Kampagne zusätzliche Methoden, einschließlich Malware, eingesetzt werden könnten, um Opfer zu infizieren.
Sobald ein Konto kompromittiert ist, können die böswilligen Akteure die Nachrichten und Kontaktlisten des Opfers einsehen, Nachrichten senden und weitere Phishing-Versuche gegen andere Messaging-Konten einleiten. Obwohl die Warnung Signal besonders hervorhebt, betonte das FBI, dass diese Taktiken auf jede Messaging-Anwendung angewendet werden könnten. Die Öffentlichkeit wird aufgefordert, bei nicht verifizierten Nachrichten Vorsicht walten zu lassen und ihre persönlichen Cybersicherheitspraktiken zu verbessern. Die Warnung stellt klar, dass diese Kampagnen keine Schwachstellen in Signal oder anderen Messaging-Apps ausnutzen; stattdessen sind sie darauf ausgelegt, die Verschlüsselung zu umgehen, indem die Benutzer selbst direkt kompromittiert werden.
Im vergangenen Jahr verwies die Direktorin des Nationalen Geheimdienstes, Tulsi Gabbard, bei einer Kongressanhörung auf die Leitlinien der CISA, die nach dem Einbruch chinesischer Hacker in US-Telekommunikationsnetze herausgegeben wurden. Diese Leitlinien empfahlen "stark ins Visier genommenen Personen", "Ende-zu-Ende-verschlüsselte Kommunikation" zu nutzen. Sie wies auch darauf hin, dass Signal auf Geräten der Bundesregierung vorinstalliert ist. Im Dezember unterzeichnete Präsident Donald Trump ein Pentagon-Richtliniengesetz, das den Verteidigungsminister verpflichtet sicherzustellen, dass hochrangige Führungskräfte des Verteidigungsministeriums (DOD) mit Mobiltelefonen ausgestattet werden, die mit "verbesserten Cybersicherheitsschutzmaßnahmen" einschließlich Datenverschlüsselung ausgestattet sind.
Zuvor hatte der Generalinspektor des Pentagons einen Bericht veröffentlicht, der darauf hinwies, dass Verteidigungsminister Pete Hegseth gegen bestehende Abteilungsvorschriften zum Umgang mit sensiblen Informationen verstoßen und möglicherweise Truppen gefährdet hat. Dies geschah, als er Signal nutzte, um den damals bevorstehenden US-Militärschlag im Jemen zu besprechen. Nach der Amtseinführung von Präsident Donald Trump im vergangenen Jahr veröffentlichte The Atlantic ein vollständiges Transkript eines Signal-Gesprächs unter Kabinettsmitgliedern vor einem Angriff auf die bewaffnete Huthi-Gruppe im Jemen. Dies geschah, nachdem ein Journalist versehentlich in den Chat aufgenommen wurde, in dem die Mitglieder offen über Angriffszeitpunkte und die beteiligten Flugzeugtypen diskutierten. Ein weiterer Aufsichtsbericht kam zu dem Schluss, dass dem Verteidigungsministerium eine sichere Messaging-Plattform fehlt, die in der Lage ist, sensible Operationen zu koordinieren.
Iranische Cyberoperationen: Handala Hack und Telegram-Missbrauch
In einer separaten Flash-Warnung vom Freitag schilderte das FBI, wie Irans Ministerium für Nachrichtendienste und Sicherheit (MOIS) die Messaging-Plattform Telegram als Infrastruktur nutzt, um mit Malware zu kommunizieren. Diese Malware wird verwendet, um die Geräte iranischer Dissidenten, Journalisten und anderer Zielpersonen zu infizieren.
Diese Malware ermöglicht es dem MOIS, Informationen zu stehlen und seine Ziele zu überwachen. Die Bedrohungsakteure tarnten die Malware so, dass sie wie häufig verwendete Programme oder Dienste auf Windows-Computern aussah. Infizierte Geräte werden dann mit Bots auf Telegram verbunden, die einen Fernzugriff ermöglichen, um Bildschirmaufnahmen oder Dateien von den Geräten des Opfers zu exfiltrieren. Das FBI verknüpfte die Nutzung von Telegram direkt mit der mutmaßlichen iranischen Gruppe Handala Hack, die kürzlich die Verantwortung für einen Angriff auf das Medizintechnikunternehmen Stryker übernommen hat.
Die Behörde berichtete, dass die Malware in einigen Fällen zunächst legitime Anwendungen imitierte, wie etwa den KI-Videogenerator Pictory, den Passwort-Manager KeePass oder Telegram selbst. Nach dem Öffnen stellte sie eine Verbindung zu einem staatlich kontrollierten Telegram-Bot her und baute eine "bidirektionale Kommunikation zwischen dem kompromittierten Gerät und api.telegram[.]org" auf. Mindestens ein Opfer wurde über Social-Media-Messaging-Apps von Hackern kontaktiert, die sich als technischer Support für die Anwendung ausgaben. Die iranischen Cyberakteure überredeten das Opfer dann, eine Dateiübertragung anzunehmen, die die getarnte Stufe-1-Malware enthielt.
Nach dem Erlangen des ersten Zugangs zum System des Opfers wurde zusätzliche Malware heruntergeladen. Diese Malware ermöglichte Fähigkeiten wie Bildschirm- und Audioaufnahmen, Cache-Erfassung, Dateikomprimierung und Dateilöschung. Die Warnung stellte fest: "Basierend auf mehreren Beobachtungen schien Stufe 1 der Malware auf das Lebensmuster des Opfers zugeschnitten zu sein, um die Wahrscheinlichkeit zu erhöhen, dass das Opfer die Malware herunterlädt, was darauf hindeutet, dass die iranischen Cyberakteure vor der Kontaktaufnahme mit dem Opfer wahrscheinlich Zielaufklärung betrieben haben."
Mehrere Experten haben festgestellt, dass die Nutzung von Telegram als entscheidende Komponente bei Cyber-Kompromittierungen ein zunehmender Trend unter Cyberkriminellen und staatlich unterstützten Akteuren ist, die es als Command-and-Control-Infrastruktur nutzen. Ensar Seker, CISO bei SOCRadar, erklärte, dass Telegram es Bedrohungsakteuren ermöglicht, schädlichen Datenverkehr in vertrauenswürdige, verschlüsselte Plattformen zu integrieren. Seker erklärte: "Durch die Nutzung einer weit verbreiteten Anwendung wie Telegram reduzieren Gruppen wie Handala die Wahrscheinlichkeit einer Erkennung erheblich, da Sicherheitskontrollen häufig so konfiguriert sind, dass dieser Datenverkehr standardmäßig zugelassen wird." Er fügte hinzu: "Die größere Implikation ist, dass verschlüsselte Messaging-Plattformen zu einer Dual-Use-Infrastruktur für Kommunikation und verdeckte Operationen werden. Sicherheitsteams müssen ihre Vertrauensannahmen neu bewerten und Transparenzkontrollen rund um genehmigte Apps implementieren, einschließlich Protokollierung, Anomalieerkennung und strenger Zugriffsrichtlinien."