FireEye-Verletzung: Erkennung des durchgesickerten Red Team-Toolkits

Diese Woche wurde die Cybersicherheitsgemeinschaft von der Nachricht erschüttert, dass eines der führenden Sicherheitsunternehmen kompromittiert wurde von einer ungenannten, hoch entwickelten APT-Gruppe. Die Gegner waren an Red-Team-Tools interessiert, die von FireEye verwendet werden, um die Sicherheit ihrer Kunden zu testen, und suchten nach Informationen zu Regierungskunden. Eine Untersuchung läuft und die F.B.I. Cyber Division ist beteiligt. Obwohl keine offiziellen Informationen über die verdächtigten Hacker gemeldet wurden, sind laut The New York Times, die beteiligten F.B.I.-Agenten spezialisiert auf die Untersuchung von Russland-bezogenen Angelegenheiten, sodass es keine Frage ist, wer der Hauptverdächtige ist.

Es wird sehr interessant sein, die Details und Ergebnisse dieser Untersuchung zu erfahren, da es nicht oft vorkommt, dass es Hackern gelingt, so gut geschützte Organisationen zu kompromittieren. Florian Roth postete in seinem Twitter-Account: „Der FireEye-Einbruch dreht sich nicht wirklich um Red-Team-Tools oder Kundendaten. Es geht um möglicherweise gestohlene vertrauliche Daten über hochkarätige Bedrohungsgruppen. Ich meine, sie wissen mehr über einige Akteure als die meisten staatlichen Geheimdiensteinrichtungen. “ Und es könnte wirklich so sein. Mit erhaltenen geheimdienstlichen Daten über andere Bedrohungsgruppen werden Hacker nicht nur in der Lage sein, ihre Aktionen zu tarnen oder effektiv „fremde“ Tools zu nutzen, sondern sogar „übernehmen“ jemandes Infrastruktur oder sie für ihre Kampagnen nutzen.

FireEye vermutet, dass die gestohlenen Tools bei Cyberangriffen eingesetzt werden, deshalb teilten sie Gegenmaßnahmen und IOCs auf ihrem GitHub-Account. Snort-, Yara-, ClamAV- und HXIOC-Regeln wurden veröffentlicht, und unser Content-Team konvertierte die konvertierbaren HXIOC-Regeln in das Sigma-Format, sodass sie in Regeln für mehrere Sicherheitsplattformen übersetzt werden können. Community-Regeln zur Erkennung des möglichen Missbrauchs von FireEye Red Team-Tools sind verfügbar auf dem Threat Detection Marketplace.

Vielen Dank an Sittikorn Sangrattanapitak, Emir Erdoganund Osman Demir, aktive Teilnehmer des Threat Bounty Programms, die ihre Regeln zur Erkennung geleakter Red Team Tools veröffentlichten.