Linus Neumann 0:48:35
Und dann dieses PowerShell-Skript ist letztendlich ein Herunterladen der richtigenMalware und dann direktes Ausführen.Und gleichzeitig wird dann die Webseite, die manipulierte Webseite,bleibt im Vordergrund und,fordert dich zu weiteren Aktionen auf, damit du abgelenkt bist und nicht siehst,dass eben in diesem PowerShell-Fenster Dinge passieren.Und dann haben sie hier in diesem, das ist ja noch detaillierter analysiert,wo dann irgendwie eine Windows-Exe hast, wo eine DLL daneben gelegt wird,die dann über Side-Loading geladen wird, damit eine MyWare ist.Ich glaube, das geht jetzt zu sehr ins Detail. Aber so hast du quasi dann den initialen Vektor.Und meistens ist das dann eine letztendlich so ein Remote-Access-Control-Toolkit,also ein Trojaner, über den die Angreifer dann sagen, okay, jetzt schauen wiruns mal hier um auf dem Rechner, schauen wir uns mal um im Netzwerk.Ja, und was sie da dann vorgefunden haben, war dann, dass sie relativ schnell,Dateien mit Passwörtern in Plaintext finden.Andere Pfade, die du dann gehst, ist, du willst ja quasi von diesem einen Rechner,den du da jetzt hast, auf, du willst eigentlich die ganze Flotte übernehmen.Dein Ziel ist, die Backups zu zerstören.Dein Ziel ist, potenziell die administrative Kontrolle über die Serverlandschaftzu bekommen oder über das gesamte Environment.Und den meisten derartiger Netzwerke wird dazu eben Microsoft Active Directory genutzt.Das ist also im weitesten Sinne so ein flotten Management-System,kann man sich vorstellen.Wenn du jetzt ein Unternehmen bist mit, keine Ahnung, zehn, hundert oder tausendenRechnern, dann willst du ja nicht Turnschuh-Administration betreiben,wo du zu jedem einzelnen Rechner gehst, sondern du willst quasi Konfigurationsänderungenan einer zentralen Stelle machen.Und dafür ist Microsoft Active Directory eben das zur Verfügung stehende Tool, um das zu tun.Deswegen meldet man sich eben in den Unternehmensnetzwerken in der Regel nichtan dem lokalen Rechner an, sondern an der Domäne.Ja, weil die Domäne eben der zentrale Punkt ist, der sagt, du bist ein Userin dieser Firma oder nicht.Und das hat eine ganze Reihe an unglaublichen Vorteilen, so ein System.Aber ist eben auch ein zentraler Angriffspunkt und ist leider aufgrund seinerKomplexität relativ schwierig abzudichten.Deswegen findest du in der Regel irgendeinen Weg auf Tausenden,manche sehr einfache, manche etwas kompliziertere Wege, Administrationsrechtein diesem Active Directory zu bekommen und dann gehört dir eben die ganze Flotte.Dann kannst du halt den daran anhängenden Servern zum Beispiel sagen,verschlüsselt mal bitte,die Festplatten der virtuellen Server, die da liegen oder rollt doch mal bittediesen Trojaner aus oder richtet doch mal hier noch einen Nutzeraccount ein,damit ich einfacher die Daten runterladen kann und so weiter und so fort. Und.Es ist ja jetzt etwas, was mich halt auch, dadurch, dass ich mich da sehr vielimmer mit auseinandersetze, immer in so vielen Schadenfällendas Gleiche sehe oder in so vielen Red Teams in unterschiedlichen Organisationendie gleichen Fehler sehe, ist es halt wirklich auf eine Weise faszinierend,dass diese Angreifergruppen letztendlich so,ja, man könnte fast sagen, One-Trick-Ponys sind. Die kennen bestimmte Wege,die sie gehen. Und die funktionieren einfach auch.Als Conti sich zerlegt hat, weil Russland die Ukraine angegriffen hat und dadurchdie Mitglieder von Conti auf einmal,starke Ansichten hatten,was diese Situation anging und sich die ukrainischen Mitglieder und die russischenMitglieder nicht mehr, die konnten einfach keine Arbeitsebene mehr.Und dann wurden halt auch so Manuale geleakt, wo du dann wirklich so,weißt du, wie du dir das so vorstellst und jetzt klicke darauf und jetzt klickedarauf, weil es so verhältnismäßig immer gleich ist, dass du das eben überall machen kannst.Und was mich natürlich schon auch sehr fasziniert ist, dass wir nicht daraus lernen,als ITler, als Organisationen, als Unternehmen oder Sonstiges und ich habe langedarüber nachgedacht, warum das so ist und meine Erklärung ist eigentlich,dass diese ganzen IT-Sachen eben nicht,für die Menschen gemacht sind.Also die ITler bauen die pflegen halt eine IT, aber die wissen ja gar nicht,oder die versuchen natürlich auch aus gutem Grund sich nicht damit auseinanderzusetzen,was die Menschen mit dieser IT machen.Welche Prozesse sich darauf abbilden. Weißt du? Die sagen dann,nee, nee, hier nicht auf Link klicken, nicht auf Link klicken.Haben aber natürlich eine Infrastruktur dahin gebaut, die letztendlich abschmiert,wenn einer auf Link klickt.Statt sich, und wollen lieber natürlich gar nicht wissen, was die anderen Menschen,die arbeiten mit dieser IT machen.Und deswegen leben wir halt an so vielen Stellen in einer Welt,wo die Menschen unzufrieden sind mit der IT, die IT-Systeme.Vielleicht sicher ist, aber eben nicht gegen die Angriffsszenarien,die sie tatsächlich zu erwarten hat.Weil die Prozesse, die sich darauf abbilden, eben auch nicht geeignet sind fürdas, was die Menschen eigentlich erreichen wollen.Einige erinnern sich sicherlich an meine kleine Einlassung vor einiger Zeit,als es um KI ging, wo ich gesagt habe, keiner wollte jemals ein Programm oderein Tool haben. Die Leute wollen eine Lösung haben.Und alles, was wir denen hinstellen, sind irgendwelche komplexen,historisch gewachsenen Scheiß-Interfaces.Und dann kommt einer und sagt, hier nicht drücken, hier nicht drücken.Nee, das darfst du nicht.Und das ist, glaube ich, mein aktueller Erklärungsansatz dafür,warum das in so gut wie jeder Organisation ab einer gewissen Größe so einfach funktioniert.Weil wir das nicht holistisch und vernünftig zusammendenken.Das war jetzt so ein bisschen der philosophische Gedanke.Das grundlegende Problem bleibt eine Komplexität und diese Komplexität kriegstdu nicht gemeistert und nicht abgesichert, wenn du nicht verstehst,was die Menschen damit machen.Weil wenn du sagst, du machst hier Checklisten-Security, dann heißt das nicht,dass du dich gezielt auf das Angriffsszenario, was dir blüht,konzentrierst und das priorisierst.Zum Beispiel, einer unserer Clients ist infiziert und fängt auf einmal an,im internen Netz zu hacken.Wenn man weiß, dass das, wenn man auf dem Schirm hat, dass das ein Szenarioist, gegen das man sich schützen muss, dann könnte man so einfache Dinge machen,wie, hör mal, sobald ein Terabyte von uns ins Internet geschickt wurde,gucken wir mal, was da los ist.Um nicht irgendwie fünf Wochen später zu sagen, scheiße, jetzt haben wir es veröffentlicht.Das sind so einfache Dinge, die könnte man in den letzten Jahren mal gelernt haben.Klar, da musst du aber verstehen, wenn du jetzt, wenn du sagst,ich ziehe eine arbitriere Grenze, wie viele Daten jemand zugreifen darf,dann kann es eben sein, dass du bestimmte Prozesse störst. Deswegen brauchstdu Kenntnis von den Prozessen, um zu sagen, alles klar, der darf das,der darf das nicht, wir cashen, wie auch immer.Aber du musst halt verstehen, was da abgeht. Und der Case, der Fileserver oderein User schickt auf einmal 5,8 Terabyte irgendwo hin,der sollte irgendwo so eine kleine, sollte man sagen, da haben wir so eine kleineda haben wir so eine Detection, das würden wir dann wohl zumindest nach einem Terabyte mehr.Ja, und diese.