Die Streaming-Plattform Twitch ist offenbar zum Opfer eines umfassenden Hacks geworden. Unter anderem sollen der komplette Quellcode sowie auch einige Nutzerdaten betroffen sein. Twitch-Nutzer sollten sicherheitshalber sofort ihre Passwörter ändern und eine Zweifaktor-Authentifizierung aktivieren.

In einem Internetforum ist eine mehr als 120 Gigabyte große Datei aufgetaucht, die dem Anschein nach dem kompletten Quellcode der zu Amazon gehörenden Streaming-Plattform enthält, sowie auch einige interne Daten. Für einige prominente Streamer besonders pikant: auch sämtliche Umsätze, die sie zwischen August 2019 und September 2021 in ihren Twitch-Streams generiert haben sowie die ausgezahlten Beträge, sind in den geleakten Daten enthalten.

"Die veröffentlichten Daten scheinen aktuell zu sein - das macht das Leak besonders brisant. Wer auf Twitch aktiv ist, sollte die Situation genau beobachten und seinen Account absichern. Dafür empfiehlt sich insbesondere die Nutzung von Zwei-Faktor-Authentifizierung und die Änderung des Passwortes", sagt Tim Berghoff, Security Evangelist bei G DATA CyberDefense.

Ursprung des Leaks zurzeit unbekannt
Der Ursprung des Leaks ist bislang nicht bekannt. In den vergangenen Monaten sind bekannte Ransomware-Gruppen jedoch dazu übergangen Daten ihrer Opfer zu veröffentlichen, wenn diese sich weigern das Lösegeld zu zahlen oder die Anweisungen der Kriminellen missachten. Ob hinter dem Leak ein Ransomware-Angriff steckt, lässt sich zum jetzigen Zeitpunkt allerdings nicht bestätigen.

Der Leak könnte auch politische Gründe haben. Denn innerhalb der Twitch-Community gab es in den vergangenen Monaten Auseinandersetzungen über sogenannte Hate Raids. Kritiker werfen der Plattform vor, nicht entschieden genug gegen rechtsextreme Hassbotschaften vorzugehen.

Ersten Gerüchten zufolge sollen sich auch gehashte Passwörter in der Datensammlung befinden. Verbindlich bestätigt ist das allerdings zum Zeitpunkt dieser Meldung noch nicht. Twitch selbst hat sich zu dem Vorfall bislang nicht geäußert.

Android-Nutzer sollten eingehende SMS-Nachrichten derzeit besonders genau prüfen. Mit Hilfe einer vermeintlichen Sendungs-Benachrichtigung versuchen Kriminelle, Smartphones mit dem Banking-Trojaner FluBot zu infizieren. Als Absender werden die Namen großer Logistikunternehmen, wie DHL oder FedEx, missbraucht. In der SMS-Spam werden Empfänger dazu aufgefordert, auf einen Link zu klicken und eine App zu installieren, um so den Sendungsstatus des angeblichen Pakets einzusehen. Mit dieser Anwendung gelangt jedoch der Trojaner auf das Gerät. FluBot erlangt dabei wichtige Berechtigungen, wie das Einsehen von Benachrichtigungen, das Lesen und Schreiben von SMS-Nachrichten, das Abrufen der Kontaktliste sowie das Durchführen von Anrufen. ESET Mobile Security erkennt den Schädling und verhindert eine Infektion des Geräts.

"Der Banking-Trojaner FluBot verbreitet sich derzeit rasant in Deutschland und stellt ein ernsthaftes Sicherheitsproblem dar. Einmal auf dem Gerät, stiehlt das Schadprogramm Kontaktdaten und sensible Informationen", erklärt Lukas Stefanko, Malware Researcher bei ESET. "Anwender sollten mit vermeintlichen Zustellbenachrichtigungen derzeit sehr vorsichtig umgehen. Wir empfehlen dringend, diese Nachrichten genau zu prüfen und eine Sicherheitslösung zu installieren."

Malware-Kampagne verbreitet sich rasant
Seit Dezember treibt das Schadprogramm FluBot sein Unwesen. Die Aktivitäten waren bisher weitestgehend auf Spanien und Polen beschränkt. Mit ihrer aktuellen Kampagne zielen Cyberkriminelle jedoch auf Android-Nutzer in Deutschland ab. Durch die weitgehenden Rechte auf den Geräten verbreitet sich der Trojaner rasant.

So schützen Sie sich vor den dreisten Betrügern
- Im Zweifel die Nachricht löschen: Nachrichten von unbekannten Absendern, SMS oder E-Mails mit seltsamen Inhalten sollten im Zweifel gelöscht werden. - Nicht auf Links klicken: Auf gar keinen Fall sollte in diesen dubiosen Nachrichten auf Links geklickt werden.

- Sicherheitslösung einsetzen: Anwender sollten eine Sicherheitslösung nutzen, die zuverlässig Schädlinge abwehrt und einen umfassenden Phishing- Schutz bietet - Immer auf dem neuesten Stand sein: Das Betriebssystem und die installierten Apps sollten stets auf dem neuesten Stand sein. Verfügbare Updates sollten umgehend eingespielt werden.

- Apps nur aus vertrauenswürdigen Quellen: Logistikunternehmen bieten Apps an, um den Sendungsstatus zu verfolgen. Anwender sollten die Verlinkungen auf deren offiziellen Webseiten verwenden, um zum App-Store zu gelangen und diese dort herunterladen.

Die kürzlich publik gemachten Sicherheitslücken in Microsoft Exchange schlagen immer höhere Wellen. So entdeckten die Forscher des IT-Sicherheits-Herstellers ESET mehr als zehn verschiedene APT-Gruppen (Advanced Persistent Threats), welche die Schwachstellen derzeit verstärkt ausnutzen, um E-Mail-Server zu kompromittieren und an Unternehmensdaten zu gelangen. Die Bedrohung ist also nicht auf die chinesische Hafnium-Gruppe beschränkt, wie bislang vermutet wurde. ESET identifizierte weltweit rund 5.000 E-Mail-Server von Unternehmen und Regierungseinrichtungen, die kompromittiert wurden. Die meisten Ziele der Hackergruppen liegen in Deutschland. Die Telemetrie der Security-Experten zeigte das Vorhandensein von sogenannten Webshells. Diese bösartigen Programme oder Skripte ermöglichen die Fernsteuerung eines Servers über einen Webbrowser.

Einsatz von Frühwarnsystemen empfehlenswert
Der Einsatz sogenannter "Endpoint Detection und Response"-Lösungen (EDR-Lösungen) hätte in vielen Fällen den Diebstahl von Unternehmensdaten eingrenzen bzw. verhindern können. "Mit Hilfe von EDR-Lösungen, wie beispielsweise ESET Enterprise Inspector, wären Administratoren frühzeitig auf verdächtige Aktivitäten aufmerksam gemacht worden. So hätte der Abfluss von Unternehmensdaten trotz Ausnutzung des Sicherheitslücke frühzeitig registriert werden können, um diesen durch entsprechende Maßnahmen zu unterbinden", erklärt Michael Schröder, Security Business Strategy Manager bei ESET Deutschland.

Um den Sicherheitsstatus beurteilen zu können, sollten Exchange-Server auf die folgenden Erkennungen überprüft werden: * JS/Exploit.CVE-2021-26855.Webshell.A * JS/Exploit.CVE-2021-26855.Webshell.B * ASP/Webshell * ASP/ReGeorg

ESET-Analysen zeigen Cyberspionage-Gruppen auf
"Seit dem Tag der Veröffentlichung der Patches durch Microsoft beobachteten wir, dass immer mehr Hacker massenhaft Exchange-Server scannen und kompromittieren. Interessanterweise handelt es sich dabei durchweg um APT-Gruppen, die für Spionagetätigkeiten berüchtigt sind. Wir sind uns sicher, dass auch andere Gruppen, beispielsweise Ransomware-Betreiber, diese Exploits für ihre Zwecke ausnutzen und auf den Zug aufspringen werden", sagt Matthieu Faou, der die Forschungsarbeiten von ESET zu diesem Thema leitet. Die ESET-Forscher stellten ebenfalls fest, dass einige APT-Gruppen die Schwachstellen bereits ausnutzten, bevor die Patches zur Verfügung gestellt wurden. "Wir können daher ausschließen, dass diese Gruppen einen Exploit durch Reverse Engineering von Microsoft-Updates erstellt haben", fügt Faou hinzu.

Drei schnelle Tipps für Administratoren
- Exchange-Server sollten so schnell es geht gepatcht werden. Dies gilt auch dann, wenn sie nicht direkt mit dem Internet verbunden sind. - Administratoren wird geraten, nach Webshells und weiteren bösartigen Aktivitäten zu suchen und diese umgehend zu entfernen. - Anmeldedaten sollten umgehend geändert werden. "Der Vorfall ist eine sehr gute Erinnerung daran, dass komplexe Anwendungen wie Microsoft Exchange oder SharePoint nicht zum Internet hin offen sein sollten", rät Matthieu Faou.

APT-Gruppen und ihre Verhaltensmuster
Tick - kompromittierte den Webserver eines Unternehmens mit Sitz in Ostasien, das IT-Dienstleistungen anbietet. Wie im Fall von LuckyMouse und Calypso hatte die Gruppe wahrscheinlich schon vor Veröffentlichung der Patches Zugang zu einem Exploit. LuckyMouse - infizierte den E-Mail-Server einer Regierungsbehörde im Nahen Osten. Diese APT-Gruppe verfügte wahrscheinlich mindestens einen Tag vor Veröffentlichung der Patches über einen Exploit, als dieser noch ein Zero-Day war. Calypso - griff die E-Mail-Server von Regierungsstellen im Nahen Osten und in Südamerika an. Die Gruppe hatte wahrscheinlich Zugang zu dem Exploit als Zero-Day. In den folgenden Tagen griffen die Calypso-Betreiber weitere Server von Regierungsstellen und Unternehmen in Afrika, Asien und Europa an. Websiic - zielte auf sieben E-Mail-Server ab, die Unternehmen (in den Bereichen IT, Telekommunikation und Technik) in Asien und einer staatlichen Einrichtung in Osteuropa gehören. Winnti Group - kompromittierte die E-Mail-Server eines Ölunternehmens und einer Firma für Baumaschinen in Asien. Die Gruppe hatte wahrscheinlich schon vor Veröffentlichung der Patches Zugang zu einem Exploit. Tonto Team - attackierte die E-Mail-Server eines Beschaffungsunternehmens und eines auf Softwareentwicklung und Cybersicherheit spezialisierten Beratungsunternehmens, beide mit Sitz in Osteuropa. ShadowPad activity - infizierte die E-Mail-Server eines Softwareentwicklungsunternehmens mit Sitz in Asien und eines Immobilienunternehmens mit Sitz im Nahen Osten. ESET entdeckte eine Variante der ShadowPad-Backdoor, die von einer unbekannten Gruppe eingeschleust wurde. "Operation" Cobalt Strike - zielte auf rund 650 Server, hauptsächlich in den USA, Deutschland, Großbritannien und anderen europäischen Ländern, nur wenige Stunden nach Veröffentlichung der Patches. IIS-Backdoors - ESET beobachtete IIS-Backdoors, die über die bei diesen Kompromittierungen verwendeten Webshells auf vier E-Mail-Servern in Asien und Südamerika installiert wurden. Eine der Backdoors ist öffentlich als Owlproxy bekannt. Mikroceen - kompromittierte den Exchange-Server eines Versorgungsunternehmens in Zentralasien, einer Region, die typischerweise Ziel dieser Gruppe ist. DLTMiner - ESET entdeckte den Einsatz von PowerShell-Downloadern auf mehreren E-Mail-Servern, die zuvor über die Exchange-Schwachstellen angegriffen wurden. Die Netzwerkinfrastruktur, die bei diesem Angriff verwendet wurde, steht in Verbindung mit einer zuvor gemeldeten Coin-Mining-Kampagne.

Eine detaillierte Analyse veröffentlichen die IT-Experten auf dem ESET Security Blog:

Mit der steigenden Bedrohungslandschaft und erhöhten Anforderungen an die Datensicherheit hat das Zero-Trust-Security-Modell bei Unternehmen deutlich an Popularität gewonnen. Die meisten traditionellen Ansätze der Netzwerksicherheit konzentrieren sich auf starke Schutzmaßnahmen gegen unerlaubten Zugang. Deren tendenzielle Schwäche ist jedoch das Vertrauen, welches User und Entitäten automatisch genießen, sobald sie sich im Netzwerk befinden. Denn gelingt es Cyberkriminellen, sich Zugang zum Netzwerk zu verschaffen, gibt es oft sehr wenig, was sie daran hindert, sich dort frei zu bewegen und sensible Daten hinauszuschleusen. Das Zero-Trust-Konzept schlägt deshalb vor, dass der gesamte Zugriff blockiert bleiben sollte, bis das Netzwerk den Benutzer verifiziert und den Grund für seinen Aufenthalt im Netzwerk bestätigt hat.

Hackern das Leben schwer machen: Umsetzung des Zero-Trust-Modells
Viele Unternehmen haben heute kritische Daten in der Cloud gespeichert. Deshalb ist es umso wichtiger, Benutzer ordnungsgemäß zu verifizieren und zu autorisieren, bevor sie Zugang erhalten. Darüber hinaus ist es aufgrund des enormen Anstiegs mobiler Geräte für Mitarbeiter einfacher denn je, von überall und jederzeit auf sensible Daten zuzugreifen, was die Regelung des Zugriffs auf allen Ebenen mit einer Zero-Trust-Richtlinie zusätzlich erforderlich macht. Zero Trust basiert darauf, eine sichere Umgebung durch eine kontinuierliche Infrastruktur-Transformation zu schaffen. Das Security-Team sollte eine Multi-Faktor-Authentifizierung für den Zugriff auf verschiedene Mikrosegmente des Netzwerks einführen. Dies gewährleistet eine hohe Sicherheit und erschwert es Hackern effektiv, all die Informationen zu erhalten, die sie für den Zugriff auf das Konto eines Nutzers benötigen.

Das Konzept legt zudem den Fokus auf ein ausgeprägtes Risikomanagement, das auf Anomalie-Erkennung und Datenanalyse fußt. Technologien zur Analyse des Nutzerverhaltens, Endpoint Detection and Response (EDR) sowie Data Loss Prevention (DLP) unterstützen bei der Erkennung von verdächtigem Verhalten oder blockieren unautorisierten Zugriff auf sensible Daten. Dies hilft bei der Eindämmung von Sicherheitsbedrohungen und ermöglicht deren schnelle Entdeckung und Abwehr.

Granularer Schutz vor Insider-Bedrohungen: Zero Trust Networking
Zero Trust Networking ist ein zusätzlicher Teil des Zero-Trust-Modells, das darauf ausgelegt ist, laterale Bewegungen innerhalb des Unternehmensnetzwerks zu stoppen. Hierdurch kann der Zugriff eines Benutzers verhindert werden, auch wenn er sich auf der gleichen Unternehmensebene wie ein Kollege befindet, der legitimen Zugriff besitzt. Dies geschieht durch Hinzufügen von Perimetern zur Überprüfung bei jedem Schritt innerhalb des Netzwerks. Hierbei wird die Mikrosegmentierung genutzt und granulare Perimeter an kritischen Stellen im Netzwerk hinzugefügt, um zu verhindern, dass ein böswilliger Insider auf die sensibelsten Daten und Systemprozesse des Unternehmens zugreifen kann. Zero Trust Networking beseitigt damit den Nachteil des traditionellen perimeterbasierten Sicherheitsmodells, indem es das generelle Vertrauen gegenüber internen Nutzern vollständig abschafft, und stattdessen die Sicherheit rund um sensible Daten und kritische Prozesse eines Unternehmens erhöht.

Effektives Zero Trust: Sicherheit aus dem Inneren heraus
Zero Trust beginnt mit der Gewährung des Benutzerzugriffs nur für die Zeit, die Mitarbeiter zur Erfüllung einer bestimmten Aufgabe benötigen, entsprechend den geltenden Richtlinien des Unternehmens. Dies erfordert die Implementierung verschiedener Technologien, einschließlich Multifaktor-Authentifizierung, Scoring, Analytik, Dateisystemberechtigungen und Orchestrierung. Bei Zero Trust geht es jedoch um mehr als nur den Einsatz der richtigen Technologien. Das Modell entwickelt auch Sicherheitsparameter durch das Verständnis, wie wichtige Geschäftsprozesse eines Unternehmens mit den jeweiligen Mitarbeitern und deren Arbeits- und Denkweisen verknüpft sind und bietet damit Sicherheit, die aus dem Inneren heraus konzipiert ist.

Der Hauptvorteil des Zero-Trust-Sicherheitsmodells besteht darin, dass es Unternehmen hilft, die Beschränkungen der perimeterbasierten Sicherheit zu überwinden. Durch regelmäßige Überprüfung der Benutzerzugriffe wird eine wirksame neue Barriere geschaffen, um Anwendungen, Prozesse und Daten sowohl gegen böswillige Insider als auch gegen externe Angreifer zu schützen.

Die Cyberkriminalität hat sich 2020 spezialisiert. Das ist ein Fazit des Threat Reports für das vierte Quartal 2020, den ESET jetzt veröffentlicht hat. Den letzten Bericht des abgelaufenen Jahres nutzen die Experten des europäischen IT-Sicherheitsherstellers auch für einen Rückblick auf das Gesamtjahr sowie einen Ausblick auf 2021. Ein Ergebnis des Reports: Ransomware wird immer stärker für gezielte Angriffen gegen Unternehmen eingesetzt. Hacker setzen hingegen bei breitgefächerten Massen-Attacken immer seltener auf Verschlüsselungstrojaner. Zudem rutschten sogenannte Banking-Malware weiter ins Rampenlicht. Immer mehr Anwender tätigen Finanzgeschäfte vom Smartphone oder Tablet. Kriminelle folgen dem Trend und setzen gerade beim beliebten Android-Betriebssystem verstärkt auf diese Schädlinge. Auch im vierten Quartal gab es zahlreiche Spam- und Phishing-Mails mit Bezug zur Corona-Pandemie und den startenden Impfungen. Der ESET Threat Report ist auf WeliveSecurity verfügbar.

"Cyberkriminalität hat sich 2020, auch beeinflusst durch die Corona-Pandemie, stark gewandelt. Die rasant digitalisierte Arbeits- und Alltagswelt hat auch das Vorgehen vieler Hacker verändert", erklärt Thomas Uhlemann, ESET Security Specialist. "Die großen Malware-Kampagnen waren 2020 seltener. Vielmehr setzte eine Spezialisierung auf gezielte Angriffe ein, was sonst eher APT-Gruppen ausgezeichnet hat. Wir erwarten, dass sich diese Entwicklung 2021 fortsetzt."

Gezielte Angriffe mit Ransomware
Vom dritten zum vierten Quartal nahm die Erkennung von Ransomware in der ESET-Telemetrie um 3,9 Prozent ab. Cyberkriminelle nutzen Verschlüsselungstrojaner immer weniger für große Massenangriffe und sind stärker dazu übergegangen, diese für gezielte Attacken zu nutzen. Insbesondere Unternehmen war hier betroffen. Ein prominenter Fall war der erfolgreiche Angriff auf ein deutsches Medienhaus Ende letzten Jahres.

Banking-Malware wird mobil
Digitale Bankgeschäfte und Shopping erfreut sich auf Smartphones und Tablets großer Beliebtheit. Laut einer aktuellen Bitkom-Umfrage nutzen 58 Prozent der Privatanwender ihr Smartphone für das Online-Banking - Tendenz steigend. Während Banking-Malware für das Windows-Betriebssystem nachlässt, haben Cyberkriminelle seit dem dritten Quartal ihre Aktivitäten mit Schadcodefür das Android-Betriebssystem deutlich gesteigert.

Betrüger versprechen Impfmöglichkeit
Das Jahr 2020 war von der Corona-Pandemie geprägt. Kriminelle haben massenhaft Spam- und Phishing-Mails mit Bezug zum grassierenden Virusverschickt. Ging es bis zur Mitte des Jahres zunächst um vermeintliche Angebote über Mund-Nasen-Bedeckungen, waren es im vierten Quartal betrügerische Impfversprechen. Dieses Thema stieg in den E-Mails um rund 50 Prozent an. Ebenfalls fiel in diesem Zusammenhang der Name des Impfstoffherstellers Pfizer-BioNTech mit Betreffzeilen, wie "Pfizers Covid Vaccine: 11 Things you need to know".

Der ESET Threat Report für das vierte Quartal 2020 ist auf WeliveSecurity erhältlich. Neben zahlreichen Statistiken zu aktuellen Cyberbedrohungen berichten die Forscher des europäischen IT-Sicherheitsherstellers über die Aktivitäten verschiedener APT-Gruppen wie Lazarus oder Winnti: