Cyberkriminelle machen mit gehackten Systemen Kasse

Wenn Cyberkriminelle in ein System eindringen, haben sie es nicht immer auf die dortigen Daten abgesehen. Oftmals nutzen die Gauner das gekaperte Gerät auch aus, um damit Profite zu erarbeiten, wie das Nationale Zentrum für Cybersicherheit (NCSC) in seinem Rückblick auf die 21. Kalenderwoche 2023 warnt.

Das NCSC berichtet von einem Fall, bei dem ein Linux-Server gehackt worden war. Nach dem Eintritt in das System hätten die Angreifer zunächst einige kleinere Hilfsprogramme installiert, schreibt das Zentrum. Anschliessend hätten sie die Virtualisierungs-Software Docker installiert. Diese ermögliche es, vorbereitete Programme als "Container" direkt auf einem System laufen zu lassen. Schliesslich hätten die Akteure weitere Software-Pakete von Github heruntergeladen und ausgeführt. 

Diese Programme nutzen die Angreifenden schliesslich, um Geld zu machen, wie das NCSC erklärt. Anbieter von Werbezwecken bieten demnach Geld dafür, Produkte wie Werbevideos oder Promo-Codes in allen Weltregionen und auf verschiedenen Geräten zu testen. Die Kriminellen im aktuellen Beispiel machen laut NCSC genau das, aber eben mit dem System ihrer Opfer. 

Auf den Testgeräten werde eine Software installiert, die unter anderem die genutzten Ressourcen misst, beispielsweise die Netzwerkkapazität. Anhand dessen werde die fällige Entschädigung errechnet, heisst es weiter. Die Angreifer installieren und konfigurieren die Software mit einem Script und lassen das Gerät des Opfers für sich arbeiten. Weitere Interaktionen seien nicht nötig, schreibt das NCSC. Die Bezahlung erfolge schlussendlich per Kryptowährung.

Der Meldende im aktuellen Fall habe die Veränderungen auf dem System selbst rückgängig machen und den Zugang auf das System absichern können. Das NCSC rät zu folgenden Massnahmen:

• Halten Sie alle Software immer aktuell;
• Sichern Sie alle Zugänge auf die Systeme, insbesondere die für die Fernwartung verwendeten;
• Kontrollieren Sie die Log-Daten – insbesondere die Logins – der Server regelmässig;
• Lassen Sie Zugriffe von Servern auf das Internet über einen authentisierten Proxyserver laufen;
• Verwenden Sie sichere Zugangsdaten – am besten eine Zwei-Faktor-Authentisierung – für die Fernwartung.

Übrigens: Im Rahmen einer nationalen Sensibilisierungskampagne erinnert das NCSC an die 2-Faktor- oder Multi-Faktor-Authentifizierung. Diese sollte man wann immer möglich, aber mindestens für alle sensiblen Konten, aktivieren. Mehr dazu erfahren Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.