Die gefährlichsten APTs im Visier: Bedrohungen für den Finanzsektor aufgedeckt

Verstärkung Ihrer Verteidigung mit der SOC Prime Plattform

Finanzorganisationen waren schon immer ein verlockendes Ziel für staatlich unterstützte Gegner, da sie ständig nach zusätzlichen Profitquellen suchen. Advanced Persistent Threats (APTs), die den Finanzsektor ins Visier nehmen, können verheerende Folgen haben, da sie darauf abzielen, Finanzinstitute zu kompromittieren, sensible Daten zu stehlen und Finanzsysteme zu stören. APTs führen anhaltende und methodische Kampagnen durch, die sich über Monate oder sogar Jahre erstrecken können. Sie verwenden fortschrittliche Taktiken, um einer Erkennung zu entgehen, indem sie Techniken wie Zero-Day-Exploits und Verschlüsselung verwenden, um ihre Aktivitäten zu verschleiern.

Es ist wichtig zu beachten, dass sich die Bedrohungslage ständig weiterentwickelt und neue APT-Gruppen entstehen können, während bestehende ihre Taktiken anpassen. Finanzinstitute müssen robuste Cybersicherheitsmaßnahmen aufrechterhalten, einschließlich Bedrohungserkennung, Mitarbeiterschulungen und Reaktionsplänen auf Vorfälle, um sich effektiv gegen diese APTs zu verteidigen. Darüber hinaus kann der Austausch von Bedrohungsinformationen innerhalb des Finanzsektors und mit Strafverfolgungsbehörden bei der frühzeitigen Erkennung und Abschwächung von APT-Angriffen helfen.

Unterstützt durch kollektive Cybersicherheitsexpertise bietet die SOC Prime Plattform fortschrittliche Tools zur Bedrohungserkennung und -jagd, die helfen, sich proaktiv gegen APT-Angriffe auf Finanzinstitute zu verteidigen.

Starten Sie mit SOC PrimeSprechen Sie mit Experten

APTs in diesem Sektor sind typischerweise hochentwickelt und gut finanziert, wodurch sie besonders gefährlich sind. Diese Cyber-Spionage-Gruppen umfassen Nationalstaaten, staatsgesponserte Gruppen und fortschrittliche Cyberkriminalitätsorganisationen. Lassen Sie uns tiefer in einige der gefährlichsten APTs eintauchen, die die Finanzbranche ins Visier nehmen, und die Liste der relevanten Erkennungsinhalte erkunden, die die von den jeweiligen Bedrohungsakteuren verwendeten Techniken ansprechen.

FIN7 (Carbanak-Gruppe)

FIN7, auch bekannt als Carbanak, unter anderem Namen, wird als eine der erfolgreichsten kriminellen Hackergruppen der Welt beschrieben. Der Hackergruppe wird nachgesagt, über 900 Millionen Dollar von Banken sowie von über tausend Privatkunden gestohlen zu haben.

FIN7 leitete seine Cyberangriffe typischerweise ein, indem es einem Unternehmensmitarbeiter eine „Phishing“-E-Mail zustellte. Jede E-Mail enthielt eine angehängte Datei, oft ein harmlos erscheinendes Microsoft Word-Dokument, mit eingebetteter Malware. Der Text in der E-Mail simulierte eine legitime, geschäftsbezogene Nachricht, um den Empfänger dazu zu bringen, den Anhang zu öffnen und die Malware zu aktivieren, die den Computer infizieren würde.

Die Kriminellen waren in der Lage, ihren Zugang zu den jeweiligen Bankennetzwerken so zu manipulieren, dass sie auf verschiedene Weise Geld stehlen konnten. In einigen Fällen wurden Geldautomaten angewiesen, Bargeld auszugeben, ohne lokal mit dem Terminal zu interagieren. Geldtransporter würden das Geld einsammeln und über das SWIFT-Netzwerk auf die Konten der Kriminellen überweisen.

Erkennen von TTPs durch FIN7 aka Carbanak-Gruppe

APT19 aka Deep Panda

APT19, auch bekannt als Deep Panda, ist eine staatlich gesponserte Bedrohungsgruppe, von der angenommen wird, dass sie in China ansässig ist. Diese Hackergruppe ist seit mindestens 2011 aktiv und berüchtigt für ihre gezielten Angriffe auf verschiedene Sektoren, mit starkem Fokus auf die Finanzindustrie. Im Jahr 2017 wurde eine Phishing-Kampagne gestartet, um sieben Anwalts- und Investmentfirmen ins Visier zu nehmen. Diese Kampagne wurde mit APT19 in Verbindung gebracht, das drei verschiedene Techniken einsetzte, um die Ziele zu kompromittieren:

1. Anfang Mai nutzten die Phishing-Köder RTF-Anhänge, die die Microsoft-Windows-Schwachstelle ausnutzten, die als CVE-2017-0199 beschrieben wird.
2. Gegen Ende Mai wechselte diese Hackergruppe zu Makros-fähigen Microsoft Excel (XLSM)-Dokumenten.
3. In den neuesten Versionen fügte APT19 den XLSM-Dokumenten einen Anwendungs-Whitelisting-Bypass hinzu. Mindestens ein beobachteter Phishing-Köder lieferte eine Cobalt Strike-Nutzlast.

Die Hauptziele von Deep Panda umfassen Datendiebstahl und das Erlangen eines Wettbewerbsvorteils durch Wirtschaftsspionage.

Erkennen von TTPs durch APT19 aka Deep Panda

Lazarus-Gruppe

Die Lazarus-Gruppe ist ein Team von Hackern, von dem angenommen wird, dass es mit Nordkorea in Verbindung steht, und das dem Reconnaissance General Bureau zugeschrieben wird. So arbeiten sie gegen Banken. Die von der Lazarus-Gruppe verwendete Malware korreliert mit anderen berichteten Kampagnen, einschließlich Operation Flame, Operation 1Mission, Operation Troy, DarkSeoul und Ten Days of Rain.

Die Lazarus-Gruppe gilt aus mehreren Gründen als gefährlich für die Bankenbranche:

• Sie setzen hochentwickelte Methoden und Werkzeuge ein, um in Bankensysteme einzudringen und bleiben oft über längere Zeiträume unentdeckt.
• Im Gegensatz zu anderen Cyber-Spionage-Gruppen, die sich möglicherweise mehr auf das Sammeln von Informationen konzentrieren, hat die Lazarus-Gruppe eine starke finanzielle Motivation. Sie wurden mit mehreren hochkarätigen Banküberfällen in Verbindung gebracht, bei dem Versuch, große Geldsummen zu transferieren, was ihren globalen Einfluss und ihr Verständnis verschiedener Bankensysteme zeigt.
• Einmal in ein System eingedrungen, bleiben sie oft lange Zeit darin, studieren die Umgebung, verstehen die Arbeitsabläufe und planen ihren Überfall sorgfältig.
• Ihre Operationen haben zu Diebstählen von Hunderten von Millionen Dollar von Banken geführt. Solche Verluste können verheerend sein, insbesondere für kleinere Finanzinstitute.

Erkennen von TTPs durch die Lazarus-Gruppe

Cobalt-Gruppe

Unter den vielen Bedrohungen, denen Finanzorganisationen ausgesetzt sind, sticht eine Gruppe durch ihre Raffinesse und Beharrlichkeit hervor: die Cobalt Advanced Persistent Threat (APT). Diese gut organisierte und dauerhafte Gruppe ist seit über einem Jahrzehnt aktiv und entwickelt kontinuierlich ihre Taktiken, Techniken und Verfahren (TTPs) weiter.

Cobalt APT zielt hauptsächlich auf Finanzinstitutionen und stellt ein erhebliches Risiko für Banken, Versicherungsgesellschaften und Investmentfirmen weltweit dar. Die Gruppe hat Einbrüche durchgeführt, um Geld zu stehlen, indem sie auf Geldautomatensysteme, Kartenverarbeitungssysteme, Zahlungssysteme und SWIFT-Systeme abzielt.
Die Cobalt-Gruppe hat hauptsächlich Banken in Osteuropa, Zentralasien und Südostasien ins Visier genommen. Einer der mutmaßlichen Anführer wurde Anfang 2018 in Spanien verhaftet, aber die Gruppe scheint weiterhin aktiv zu sein. Cobalt ist dafür bekannt, Organisationen anzugreifen, um deren Zugriff zu nutzen, um zusätzliche Opfer zu kompromittieren.

Was Cobalt APT so gefährlich macht, ist ihre Fähigkeit, hochkoordinierte und mehrstufige Angriffe auszuführen. Sie nutzen eine Vielzahl von Angriffspunkten, darunter Spear-Phishing-Kampagnen, Zero-Day-Exploits und dokumentengestützte Malware. Einmal in einer Zielorganisation, führen sie umfassende Aufklärung durch, bewegen sich lateral und eskalieren Privilegien, um Zugang zu wertvollen finanziellen Daten und Systemen zu erlangen.

Erkennen von TTPs durch die Cobalt-Gruppe

Cozy Bear

Cozy Bear, auch bekannt als APT29, ist eine Cyber-Spionage-Gruppe, die vermutlich mit einer oder mehreren russischen Geheimdienstbehörden verbunden ist. Cozy Bear ist bekannt für seine heimlichen Operationen mit dem Fokus auf das Eindringen in Systeme und das Stehlen von sensiblen Informationen, anstatt sofort Schaden zu verursachen.

Cozy Bear ist für die Bankenbranche gefährlich, weil sie über erhebliche Ressourcen und Motivation verfügen, die sich von anderen Cyberkriminalitätsgruppen unterscheiden könnten. Während ihr Hauptfokus möglicherweise auf Spionage liegt, können die Werkzeuge und der Zugriff, den sie erlangen, für finanziellen Diebstahl oder zur Störung von Bankoperationen genutzt werden. Da sie ihre Operationen nicht auf bestimmte Regionen oder Sektoren beschränken, bedeutet ihre Fähigkeit, weltweit Ziele ins Visier zu nehmen, dass Banken überall wachsam sein müssen. Die Operationen von APT29 sind oft komplex, was es schwierig macht, Angriffe ihnen zweifelsfrei zuzuschreiben.

Angesichts dieser Faktoren stellt Cozy Bear eine erhebliche Bedrohung für die Bankenbranche dar. Ihre Kombination aus staatlicher Unterstützung und Anpassungsfähigkeit macht sie zu einem gefürchteten Gegner im Cyberbereich. Banken und Finanzinstitutionen müssen sich der potenziellen Risiken bewusst sein, die von Gruppen wie Cozy Bear ausgehen, und geeignete Cybersicherheitsmaßnahmen ergreifen.

Erkennen von TTPs durch APT29 aka Cozy Bear

Fancy Bear

APT28 (auch bekannt als Fancy Bear) ist eine russlandunterstützte Hackergruppe mit einer langen Geschichte hochentwickelter und äußerst effektiver Cyberangriffe auf Finanzorganisationen. Fancy Bear ist nicht auf eine Region oder einen Sektor beschränkt, sie haben Organisationen in Europa, US-amerikanische Regierungsinstitutionen und eine alarmierende Anzahl ukrainischer Organisationen ins Visier genommen.

Diese Cyber-Spionage-Gruppe wurde mit mehreren hochkarätigen Cyberangriffen in Verbindung gebracht, darunter der angebliche Angriff auf die US-Präsidentschaftswahl 2016 und der 2017 NotPetya-Malware-Angriff und der Hack des Democratic National Committee (DNC) in den Vereinigten Staaten 2016.

APT28 erstellt hochüberzeugende Phishing-E-Mails, um Mitarbeiter dazu zu bringen, auf schädliche Links zu klicken oder mit Malware versehene Anhänge herunterzuladen. Einmal im Netzwerk, können sie sich lateral bewegen und Berechtigungen eskalieren.

Die Gruppe ist auch bekannt dafür, Software-Schwachstellen auszunutzen, die der Öffentlichkeit oder dem Softwareanbieter noch nicht bekannt sind. Dies ermöglicht es APT28, unerlaubten Zugriff auf die Zielsysteme zu erlangen. Ihr Ziel ist es, sensible finanzielle Daten zu stehlen, einschließlich Kundeninformationen, Transaktionsaufzeichnungen und geistigem Eigentum. Da sie hartnäckig und geduldig sind, können sie über längere Zeit unentdeckt in einem kompromittierten Netzwerk bleiben, kontinuierlich Daten extrahieren und ihren Zugriff erweitern.

Erkennen von TTPs durch APT28 aka Fancy Bear

Um die gesamte Sammlung von Sigma-Regeln zum Erkennen von bösartiger Aktivität im Zusammenhang mit prominenten APT-Akteuren zu erhalten, die den Finanzsektor ins Visier nehmen, klicken Sie auf den Detektionen erkunden -Button unten. Das Detektionsinhalts-Paket umfasst über 1600+ Sigma-Regeln, die mit 28 SIEM-, EDR-, XDR- und Data-Lake-Technologien kompatibel sind.

Detektionen erkunden

Angesichts der Tatsache, dass täglich neue bösartige Techniken auftauchen, die mit kuratierten Detektionsinhalten angesprochen werden müssen, könnte die umfangreiche Anzahl an Regeln herausfordernd sein, manuell zu verarbeiten. Um die Bedrohungsjagdverfahren zu optimieren, mögliche Angriffe in Echtzeit zu verfolgen und die Cyberverteidigungslücken der Organisationen, die auf ihren Branchen- und Bedrohungsprofil zugeschnitten sind, zu identifizieren, könnten Sicherheitsfachleute darüber nachdenken, SOC Prime’s Attack Detective zu verwenden. Versuchen Sie Attack Detective jetzt, um die sich ständig erweiternde Angriffsfläche dynamisch zu sichern, blinde Flecken in Ihrer Log-Quellen-Abdeckung rechtzeitig zu erkennen und intelligent anzugehen, um einen umfassenden Schutz Ihrer kritischen Datenassets zu gewährleisten und Vertrauen in Ihre Cybersicherheitslage zu gewinnen.

Darüber hinaus können die von SOC Prime Platform angebotenen Cybersicherheits-Lösungen im Jahr 2023 eine entscheidende Rolle beim Schutz des Finanzsektors spielen. Beginnen Sie mit dem Threat Detection Marketplace , um auf den weltweit größten Erkennungsregel-Feed zuzugreifen über die neuesten von Gegnern verwendeten TTPs, einschließlich der APTs, die die größte Herausforderung für den Finanzsektor darstellen, um die finanziellen Kosten von Datenverletzungen zu eliminieren. Verlassen Sie sich auf Uncoder AI , um Ihre Cyberverteidigungsfähigkeiten in großem Maßstab zu heben, während Sie Vendor-Lock-in mit optimiertem Sigma-Regel-Coding und bidirektionaler Abfrage-Übersetzung in 64 SIEM-, EDR-, XDR- und Data-Lake-Abfragesprachenformaten vermeiden.