D1R

Überblick

D1R tritt als Erpressergruppe auf, die öffentlich Einbrüche bei international tätigen Technologie- und Industriekonzernen für sich beansprucht. Kennzeichnend für das Vorgehen ist die medienwirksame Behauptung erfolgreicher Kompromittierungen, verbunden mit dem Druck, gestohlene Daten zu veröffentlichen. Bemerkenswert ist, dass mindestens eines der öffentlich benannten Unternehmen einen Einbruch in die eigenen Systeme ausdrücklich bestreitet und die Darstellung der Gruppe zurückweist. Damit reiht sich D1R in jene Akteure ein, deren Angaben zu Umfang und Herkunft der angeblich entwendeten Datensätze nicht unabhängig bestätigt sind und bei denen zumindest teilweise eine Übertreibung oder eine Neuverwertung fremder Datenbestände in Betracht kommt. Der thematische Schwerpunkt der beanspruchten Vorfälle liegt bei Anbietern aus dem Bereich Halbleiter- und Entwicklungssoftware sowie bei Unternehmen der Industrie- und Zulieferbranche, deren Datenbestände sowohl technisch als auch wirtschaftlich von hohem Wert sind.

Taktiken & Vorgehen

Der Erstzugang erfolgt laut Quellenlage über gültige Zugangsdaten legitimer Konten sowie über die Ausnutzung von aus dem Internet erreichbaren Anwendungen. Dieselben gültigen Konten dienen anschließend der Persistenz, der Rechteausweitung und der Tarnung, da sich die Aktivität kaum von regulärer Nutzung unterscheidet. Beim Zugriff auf Zugangsdaten werden das Abfangen von Mehr-Faktor-Authentisierung sowie das Stehlen oder Fälschen von Authentisierungszertifikaten eingesetzt. Gesammelt werden Daten aus Informationsablagen und Cloud-Speichern. Die Exfiltration läuft automatisiert und nutzt sowohl den Command-and-Control-Kanal als auch alternative Protokolle und Web-Dienste. Zur Wirkung setzt die Gruppe auf Datenverschlüsselung sowie auf finanziell motivierten Diebstahl.

Schutzmaßnahmen

Da gültige Konten den zentralen Zugangsweg bilden, sollten privilegierte Zugänge streng verwaltet, ungenutzte Konten entfernt und Anmeldungen auf ungewöhnliche Quellen und Zeiten überwacht werden. Mehr-Faktor-Authentisierung sollte phishing-resistent ausgestaltet werden, um Abfangversuche zu vereiteln; die Ausstellung und Nutzung von Authentisierungszertifikaten sollte protokolliert und eingeschränkt werden. Internetseitig erreichbare Anwendungen sollten inventarisiert, gehärtet und zeitnah gepatcht werden. Zugriffe auf Dokumentenablagen und Cloud-Speicher sollten nach dem Prinzip der minimalen Rechte begrenzt und auf Massenabrufe hin überwacht werden. Ausgehender Datenverkehr über untypische Protokolle und Web-Dienste sollte gefiltert und alarmiert werden.