Die Security-Welt kennt jetzt eine neue Angriffsmethode auf geschützte Netzwerke: Die "Nearest Neighbor Attack", also: Angriff über den nahesten Nachbarn. Mit diesem Verfahren gelang es mutmaßlich den russischen Cyberangreifern der Gruppe APT28 in das Netz einer Firma in den USA einzudringen. Sie griffen dabei sowohl die Infrastruktur dieser Firma wie auch die eines benachbarten Unternehmens am selben Ort an.
Anzeige
Wie die Sicherheitsberater von Volexity berichten, erwischte es dabei einen ihrer Kunden. Der stellte verdächtige Zugriffe auf seine Systeme fest, konnte sich aber nicht erklären, wie die Angreifer in das Netz gelangen konnten. Eineinhalb Monate untersuchte Volexity den Vorfall, und kam zu mehreren Erkenntnissen: Die Eindringlinge hatten gezielt dieses Unternehmen im Februar 2022 angegriffen, weil es nicht näher benannte "Projekte in der Ukraine" betrieb, nach Daten dazu gesucht, und dafür auch eine Zero-Day-Lücke eingesetzt. Kurz darauf begann die russische Invasion der Ukraine.
In der Kombination, und weil man schon früher mit dieser Organisation zu tun hatte, ordnet Volexity den Angriff APT28 zu, die auch unter Namen wie Fancy Bear, Forest Blizzard, Sofacy oder, wie von Volexity bisher verwendet, GruesomeLarch bekannt sind. All diese Bezeichnungen, die von Sicherheitsforschern als Arbeitsnamen vergeben werden, meinen dieselbe Gruppe, die einen "Advanced Persistent Threat" (APT) darstellt, also eine Organisation, die über lange Zeit mit ausgeklügelten Methoden und hohem Aufwand eine Bedrohung darstellt.
Dahinter stecken laut gängiger Meinung von Sicherheitsforschern in der Regel Staaten, welche die Gruppen finanzieren, schützen und beispielsweise mit dem Übermitteln von Sicherheitslücken unterstützen. Die Zuordnung der Attacke auf den Kunden von Volexity war letztendlich nur möglich, weil Microsoft im April 2024 eine Methode von APT28 beschrieb, mit der diese eine Lücke in Windows ausgenutzt hatten. Volexity fand Teile dieses Verfahrens auch bei dem Angriff auf seinen Kunden. Das Tool dafür heißt "GooseEgg", und enthielt den Exploit, den man im Februar 2022 bei dem angegriffenen US-Unternehmen fand. Genauer: Teile davon, denn die Eindringlinge hatten viele ihrer Spuren verwischt, unter anderem, durch sicheres Überschreiben von freiem Speicherplatz mit dem in Windows integrierten Tool "cipher.exe".
