News Fancy Bear: Microsoft stoppt Hacker-Angriff auf US‑Republikaner

[GGG107]

Digital Crimes Unit (DCU) erfolgreich einen Hacker-Angriff gestoppt, der republikanische Gruppen in den USA zum Ziel hatte, die mit Donald Trump gebrochen haben. Laut Microsoft soll die verantwortliche Gruppe Beziehungen zur russischen Regierung haben.

Allein der erste Absatz gibt schon wieder sämtlichen Anlass loszulachen... herrlich

 

[Goodplayer]

Egentlich ist es mittlerweile egal wie Russland reagiert, wenn sie die Schuld von sich weißen, war es der Russe, wenn sie keine Reaktion zeigen, war es der Russe.

- "Auf der Krim operieren keine russischen Soldaten, sondern 'örtliche Selbstverteidigungskräfte'" – Wladimir Putin; 4. März 2014

- "Wir haben keine Befehlsgewalt über sie. Sie erhalten keine Befehle von uns." – Sergej Lawrow; 5. März 2014

- "Ja, natürlich standen dort auch unsere Truppen." – Wladimir Putin; 17. April 2014

- "Im Osten der Ukraine gibt es keine russischen Truppen, keinen Geheimdienst, keine Militärberater. Die Bewegung geht von der Bevölkerung vor Ort aus." – Wladimir Putin; 16. April 2014

- "Den Anstoß für den Krieg [in der Ostukraine], der bis heute in Gang ist, hat unsere Einheit gegeben." – Igor Girkin, russischer Staatsbürger und Militärgeheimdienster (GRU); 20. November 2014

 

[blöderidiot]

- "Auf der Krim operieren keine russischen Soldaten, sondern 'örtliche Selbstverteidigungskräfte'" – Wladimir Putin; 4. März 2014

Warum die Aufzählung? Gönnst Du den Krim-Ukrainern, die freiwillig und eilig alle Krim-Russen werden wollten, ihr friedliches Leben nicht? Klar muß man in der internationalen Politik möglichst nach eigenen Interessen handeln und ggf. etwas anderes "offiziell" sagen. Wer das nicht versteht, gehört mit dem Klammerbeutel gepudert. USA/NATO sind kein einfacher Gegner, da muß man immer wachsam sein. Frag Saddam Hussein, Gaddafi und Assad, welche Erfahrungen sie mit dem westlichen Wertesystem gemacht haben.

Interessant: http://www.stalkerzone.org/ignoring-poroshenkos-propaganda-why-ukrainians-go-on-holiday-in-crimea/
"The flow of Ukrainian tourists to Crimea increases, and even Kiev recognises this. The peninsula expects that during the current season the Crimean resorts will be visited by one million citizens of the neighboring country. The Kiev authorities took restrictive measures, but, as it became clear, there are serious problems with vacation spots in Ukraine"

 

[cryoman]

@cryoman
Selbst gemacht? Liest sich gut.

Moin,
nee, ich hab rezitiert.

 

[cc0dykid]

Liegt da jedesmal ein Bekennerschreiben bei

Die Forensiker untersuchen Muster im Code und die Methoden, die verwendet wurden, um eben diese Codes zu verschleiern. Außerdem sagt der verwendete Compiler häufig sehr viel darüber aus, woher eine Hacker-Gruppe kommt. Zum Beispiel die verwendete Sprache: Deutsche neigen dazu, ein deutsches Userinterface/Compiler zu benutzen. Russen eben die russiche Sprache. Ich kann mir auch vorstellen, dass die Compiler Zeit auch Rückschlüsse gibt, wo der Hacker sitzt (Zeitzonen).
Wenn eben mehrere Viren mit der gleichen "Signatur" auftauchen, dann kann man sagen, dass eine gewisse Gruppe für gewisse Hacks verantwortlich sind. 100 Prozent sicher kann man da natürlich nicht sein, aber manchmal reichen auch schon 80 Prozent. Und come on: Bekennerschreiben ist sowas von 2010.
Außerdem: Die Hacker-Gruppe hat sich nicht selbst Fancy Bear oder APT28 genannt, sondern die Namen kommen von unterschiedlichen Forensikern. Und da Indizien sich überschneiden, wird angenommen, dass Fancy Bear und APT28 die gleiche Gruppe darstellt.
Und warum wird diese Gruppe mit einer Regierung in Verbindung gebracht? Weil sie unter Anderen mehrere Zero-Day-Lücken ausgenutzt/gefunden haben. Diese Ressourcen hat ein einzelner Hacker nicht; eine kleine Gruppe ist daher auch ausgeschlossen. Von irgendwo muss für die Lücken ja eine Menge Geld fließen und Regierungen haben meistens das nötige Kleingeld.

Solche Meldungen kannst du natürlich nicht immer auf die Goldwaage legen. Und manchmal sogar muss man selbst nachdenken und eventuell recherchieren, ob eine Meldung wahr sein kann oder nicht - ein Bekennerschreiben braucht es also nicht immer.



EDIT: Nicht falsch verstehen. Ich unterstelle hier keiner Regierung irgendetwas. Ich wollte nur ausführen, warum gewisse Hypothesen angenommen werden und woher Informationen abgeleitet werden.

 

[areiland]

@cc0dykid
Eben, es gibt einen Modus Operandi, es gibt so etwas wie eine Handschrift und es gibt noch andere Kriterien, mit denen sich Angriffe recht gut bestimmten Gruppen oder sogar einzelnen Personen zuordnen lassen können. Dazu kommen dann noch die eingesetzten Ressourcen. Man ist also durchaus in der Lage zu bestimmen, wer einen Angriff zu verantworten haben muss und ob dahinter gegebenenfalls auch Regierungsorganisationen stehen können. Bei einem äusserst ressourcenintensiven Angriff kann man davon ausgehen, dass der Initiator entweder ein unbegrenztes Vermögen besitzt, oder dass dahinter eine Regierung stehen muss.

 

[GGG107]

Außerdem sagt der verwendete Compiler häufig sehr viel darüber aus, woher eine Hacker-Gruppe kommt. Zum Beispiel die verwendete Sprache: Deutsche neigen dazu, ein deutsches Userinterface/Compiler zu benutzen. Russen eben die russiche Sprache. Ich kann mir auch vorstellen, dass die Compiler Zeit auch Rückschlüsse gibt, wo der Hacker sitzt (Zeitzonen).

Und die tun auch nichts um das zu verschleiern z.B absichtlich andere Compiler/Sprachen/Zeitzonen usw einstellen/nutzen? Wenn irgendwo irgendwas Rückschlüssen lässt dann weil es denen egal war, schlicht schlampige Arbeit oder weil sie es eben selber wollten. Meist dann auch in ganz andere Richtungen. Da wird ein Codeschnipsel irgendwo runter geladen der von Russen vorprogrammiert wurde und im Angriff mitverwendet, schon steht für viele fest: Die Russen waren es.. *facepalm

 

[MajesticXII]

Mein Gedanke hierbei ist, dass es mittlerweile eine ganze Latte von Angriffen gibt, die dieser speziellen Gruppe zugeschrieben werden, die Meldungen kommen aber meist von unterschiedlichen Firmen/Experten und die Angriffsvektoren scheinen mir durchaus verschieden gewesen zu sein, damit wäre die digitale Beweisführung mindestens schwierig. Trotzdem steht schon immer direkt bei der ersten Newsmeldung drin, wen man da im Visier hat und es ist eben sehr oft diese APT28 und wie die sich sonst noch nennen.
Ich habe im Bereich von Security und Datenforensik genau 0 Ahnung, vielleicht kann ich es mir daher recht schwer vorstellen, aber dieses schnelle zeigen a'la "der wars" scheint mir problematisch. Auch weil eben oft zu diesen Themen Experten vom CCC befragt werden, die dann sinngemäß sagen "eine grobe Attribuierung ist zwar möglich, aber letztlich kann hierbei ALLES gezielt manipuliert werden".
Damit wäre man eigentlich immer wieder bei 0. Oder sehe ich das falsch?

 

[GGG107]

So sieht es aus, dein CCC Zitat bringt es auf den Punkt.

 

[cc0dykid]

Und die tun auch nichts um das zu verschleiern z.B absichtlich andere Compiler/Sprachen/Zeitzonen usw einstellen/nutzen?

Doch, natürlich tun sie das. Und das sehr gründlich sogar. Dadurch entstehen "Fußabdrücke" und Signaturen, die Hinweise liefern. Die Leute in der Forensik haben schon ihre Mittel und Wege - gerade Regierungsbehörden.

Letztendlich geht es mir auch nicht genau darum, WER es gewesen ist, sondern die Tatsache, dass Hacker/Hackergruppen zugeordnet werden können, sobald sie online gehen. Das gilt für Jeden von uns.

Ergänzung (22. August 2018)

Und für alle, die es vielleicht interessieren könnte: Ein Paper von der Cybersecurity Firma FireEye über APT28

 

[GGG107]

Und das sehr gründlich sogar. Dadurch entstehen "Fußabdrücke" und Signaturen, die Hinweise liefern.

Also Rückschlüsse von etwas ziehen das entfernt oder gefälscht wurde?

Wir haben 2018, wenn Derjenige nur halbwegs Ahnung hat von dem was er da macht und es nicht drauf anlegt bekannt zu werden, lässt sich da nichts weiter als aus dem Bauch heraus Mutmaßen wer es gewesen sein könnte. Eine Chance da einen wirklich zu ertappen besteht entweder live oder wenn bei Verdächtigen noch was verwertbares zu finden gäbe. Selbst das lässt ließe sich sogar fälschen, aber reicht für die meisten Gerichte schon aus den offiziellen Sündenbock zu prangern.

Wenn Otto-normal mit Edge seine Emails checkt, gibt es selbstverständlich 1000 Wege die auf die und die Person schließen lassen. Aber selbst da lässt sich schon mit sehr einfachen Mitteln entgegenwirken um seine Interessen zu schützen. Ich wette ich könnte spontan auf jeder dieser "Fußabdrücke" eine kostenlose und schnell eingestellte Maßnahme nennen die jene verschleiern.

Ergänzung (22. August 2018)

Nicht falsch verstehen, mir geht es nicht darum aufzuzeigen Hacker wären so unantastbar oder sogar irgendwas gut zu heißen. In erster Linie sollte es darum gehen, lernen kritisch zu denken und seinen Gegner nicht zu unterschätzen. Diese ganzen Spuren werden größtenteils eher gegen Jeden verwendet, die ganze Werbe-Industrie z.B. nutzt es. Also ist es nicht ganz falsch zu wissen wie man es umgeht.

Wenn Sicherheitsleute etwas vor böswilligen Hackern schützen wollen, sollten sie mit gutwilligen zusammen arbeiten. Aber man sieht ja selbst an unserer Regierung dass das nicht passiert. Die scheißen ja auf sämtliche Ratschläge des CCCs. Stattdessen werden da irgendwelche Schein-"Units" mit Studienabbrechern zum Hungerlohn gegründet, um sagen zu können "wir kümmern uns doch".

Ist doch ein Witz alles...

 

[.Snoopy.]

@GGG107
Du glaubst doch nicht, dass die Gegenseite, in dem Fall die US-Regierung und MS, nicht auch längst in 2018 angekommen sind. Für jede Aktion gibt es sehr oft Möglichkeiten nachzuvollziehen wie was wo gemacht wurde. 100% verschleiern ist nicht drin. Dies ist maximal bis zum gewissen Grad nur möglich. Die CyberCrime Behörden haben doch nicht umsonst weltweit "ihr Ohr auf der Leitung".

Du glaubst doch nicht wirklich, dass diese nicht die Möglichkeit haben zu sehen woher der Angriff kam.

 

[GGG107]

Die größte Sicherheitslücke ist der Mensch, also wenn da z.B. irgendwer plaudert haben die natürlich weit größere Chancen. Von der ganzen Total-Überwachung (auf die du wohl anspielst) mal ganz von ab. Aber eine magische Glaskugel haben die auch nicht.

Viel wichtiger als die Frage wer es in Wahrheit war wird für die eher sein - wer es am besten gewesen sein soll.

 

[.Snoopy.]

Naja, wer hat den besten Schutz wird wohl in Zukunft immer wichtiger werden. CyberKrieg ist die nächste Stufe, in der wir uns mehr oder weniger schon befinden.
Derzeit kann man sicherlich nur ca. nachverfolgen wo die Spur hin verläuft. Welche Personen, oder gar Organisationen lassen sich sicherlich nicht direkt ausmachen, sondern nur mehr oder weniger vermuten. Da wird sicherlich mehr oder minder ein Ausschlussverfahren genommen aufgrund der ermittelten Eckdaten.

Das der Mensch die größte Sicherheitslücke ist wissen wir. Snowden ist hierfür das populärste Beispiel.

 

[Wiggum]

Auch wenn das niemand hören will: Der Ami ist kein Demokrat und Weltverbesserer, sondern ein hinterhältiges, verschlagenes Subjekt, das nur seinen eigenen Vorteil sucht - und das um "jeden" Preis... also dann, mögen die Spiele beginnen

Unerträglich diese Aussage. Ich hoffe solche unsäglichen Aussagen werden hier moderiert.