ShinyHunters

Überblick

ShinyHunters ist eine finanziell motivierte Gruppierung, die sich auf Datendiebstahl und Erpressung spezialisiert hat. Im Mittelpunkt ihres Vorgehens steht das Entwenden großer Datenbestände, die anschließend zur Erpressung der betroffenen Organisationen genutzt werden. Bekanntheit erlangte die Gruppe durch eine Reihe schwerwiegender Sicherheitsvorfälle, bei denen umfangreiche Datenmengen abgeflossen sind, unter anderem über Zugänge zu cloudbasierten Datenplattformen. Im weiteren Verlauf erweiterte die Gruppe ihr Tätigkeitsfeld und brachte ein eigenes Ransomware-as-a-Service-Angebot unter der Bezeichnung „shinysp1d3r“ auf den Markt, mit dem auch Dritte für Angriffe ausgestattet werden können. Gegen mehrere mutmaßliche Mitglieder gingen Strafverfolgungsbehörden vor und nahmen sie fest. Charakteristisch für ShinyHunters ist die konsequente Ausrichtung auf den Diebstahl verwertbarer Unternehmensdaten sowie die Bereitschaft, das erbeutete Material als Druckmittel einzusetzen und über die Bereitstellung von Werkzeugen weitere Akteure einzubinden.

Taktiken & Vorgehen

Für den Erstzugang durchsucht die Gruppe Code-Repositories wie GitHub und Bitbucket gezielt nach offengelegten API-Schlüsseln und OAuth-Tokens (Secret Hunting). Ergänzend kommt Spearphishing per Sprachanruf (Vishing) zum Einsatz: Anrufer geben sich gegenüber dem Helpdesk als Beschäftigte aus, um Passwort-Rücksetzungen oder eine Umgehung der Mehr-Faktor-Authentisierung zu erwirken. Zur dauerhaften Präsenz nutzt ShinyHunters bösartige „Connected“-OAuth-Anwendungen, um ohne Passwörter Zugriff auf Salesforce- und Microsoft-365-Umgebungen zu behalten. Aus Informationsspeichern wie Confluence, Jira und SharePoint werden interne Dokumentation und im Klartext abgelegte Zugangsdaten gesammelt. Die Exfiltration erfolgt über legitime Cloud-Werkzeuge und native APIs, mit denen Daten aus CRM-Systemen wie Salesforce zu C2-Servern abgezogen werden. Daneben werden Spearphishing-Anhänge zur Informationsgewinnung sowie die Verschlüsselung von Daten genutzt.

Schutzmaßnahmen

Code-Repositories wie GitHub und Bitbucket sollten kontinuierlich auf offengelegte API-Schlüssel und OAuth-Tokens überwacht und kompromittierte Geheimnisse umgehend rotiert werden. Helpdesk-Prozesse sollten gegen Vishing gehärtet werden, indem Passwort-Rücksetzungen und Änderungen an der Mehr-Faktor-Authentisierung nur nach gesicherter Identitätsprüfung erfolgen. Angebundene OAuth-Anwendungen in Salesforce- und Microsoft-365-Umgebungen sollten regelmäßig überprüft, eingeschränkt und nicht benötigte Verbindungen entzogen werden. Der Zugriff auf Informationsspeicher wie Confluence, Jira und SharePoint sollte protokolliert und im Klartext abgelegte Zugangsdaten beseitigt werden. Zudem sollte der Datenabfluss aus CRM-Systemen über native APIs durch Überwachung ungewöhnlicher Exfiltrationsmuster erkannt werden.