Der schnelle Einsatz des 24/7-SOC von Cyberlys bei einem Kunden führte zur Identifizierung eines Hackers, der Unternehmensaccounts zahlreicher Firmen in ganz Triveneto ins Visier genommen hatte.
Im aktuellen Cybersecurity-Umfeld gehören die Kompromittierung von Unternehmensaccounts zu den häufigsten und gefährlichsten Bedrohungen. Ein einziges kompromittiertes Konto kann eine Kette kritischer Ereignisse auslösen, die sensible Daten und Unternehmensabläufe gefährden.
Dieses Problem traf kürzlich mehrere Unternehmen in der Region Triveneto, wo ein einzelner Angreifer gezielt die E-Mail-Accounts bestimmter Mitarbeiter ins Visier nahm. Er nutzte dabei das Fehlen geeigneter präventiver Maßnahmen und das geringe Sicherheitsbewusstsein des Personals aus.
Im Folgenden wird ein exemplarischer Fall analysiert, um zu verdeutlichen, wie das rund um die Uhr aktive Security Operations Center (SOC) von Cyberlys in solchen, zunehmend häufig auftretenden Situationen vorgeht.
Von der Kompromittierung zur Meldung: Wie ein Incident beginnt
Am Anfang steht meist der Diebstahl von Zugangsdaten eines ahnungslosen Nutzers. Häufige Methoden der Kompromittierung sind Data-Breaches mit im Klartext gespeicherten Passwörtern, die der Angreifer im Dark Web erwirbt, oder Phishing-Angriffe, bei denen Passwörter über gefälschte Login-Seiten gestohlen werden, die über E-Mails oder infizierte Dateien verteilt werden.
Sobald der Angreifer die Zugangsdaten besitzt, kann er diese sofort nutzen oder auf den geeigneten Zeitpunkt für den Angriff warten. Oft wird der Vorfall nicht vom betroffenen Unternehmen, sondern von dessen Geschäftspartnern bemerkt, wenn diese verdächtige E-Mails vom kompromittierten Account erhalten. Der Mitarbeiter selbst erfährt meist erst durch Kollegen oder Partner, dass sein Postfach für illegale Aktivitäten missbraucht wurde.
Im hier beschriebenen Fall wurde das betroffene Unternehmen von einem Lieferanten informiert, der in der täglichen Korrespondenz mit einem Mitarbeiter ungewöhnliche E-Mail-Aktivitäten feststellte. Solche verdächtigen Nachrichten enthalten oft untypische Aufforderungen wie Überweisungen oder Geldtransfers auf ausländische Konten.
Das Eingreifen des SOC: Analyse und Eindämmung der Bedrohung
Nach Eingang der Meldung kontaktierte das Unternehmen den technischen Support von Cyberlys. Das Professional-Services-Team führte eine erste Diagnose gemäß den SOC-Protokollen durch. Dabei wird das Postfach auf verdächtige Weiterleitungsregeln und unregelmäßige Zugriffe überprüft. Werden Auffälligkeiten festgestellt, erfolgt umgehend ein Zurücksetzen der Zugangsdaten und die Aktivierung der Multi-Faktor-Authentifizierung (MFA), sofern diese nicht bereits aktiv war.
Der Vorgang wird anschließend an das SOC weitergeleitet, wo auf Level 1 die Microsoft-365-Protokolle und die Angriffskette geprüft werden. Bei kritischen Funden, wie der Kompromittierung eines Administratorkontos, erfolgt eine Eskalation auf Level 2, um Berechtigungen, Sicherheitsrichtlinien und mögliche laterale Bewegungen im Unternehmensnetzwerk genauer zu analysieren.
Fortgeschrittene Persistenztechniken: Wie sich der Angreifer versteckt
Nach dem Erlangen des Zugriffs setzt der Angreifer oft fortgeschrittene Techniken ein, um seine Präsenz im System aufrechtzuerhalten. Häufig werden nicht autorisierte Anwendungen in Azure/M365 installiert, um das Postfach des Opfers zu duplizieren, sowie Regeln erstellt, die E-Mails automatisch in versteckte Ordner verschieben. So bleibt die Kompromittierung lange unbemerkt.
Da die E-Mails über die legitimen Microsoft-Server versendet werden, wirken sie für den Empfänger authentisch. Manche Angreifer richten zudem eine eigene MFA ein, um auch dann im System zu bleiben, wenn der ursprüngliche Nutzer versucht, den Zugang wiederzuerlangen.
Bereinigung und Wiederherstellung: Der vollständige SOC-Einsatz
Nach der Identifizierung der Anomalien entfernt das SOC nicht autorisierte Anwendungen und betrügerische Weiterleitungsregeln. Anschließend werden alle aktiven Sitzungen beendet und die letzten Zugriffe geprüft, um sicherzustellen, dass der Angreifer keine Hintertüren hinterlassen hat.
Parallel dazu werden die Sicherheitsrichtlinien überprüft und angepasst, um künftige Kompromittierungen zu verhindern. Besonders Unternehmen aus kritischen Branchen – wie die jüngst betroffenen in Trivenetien – werden von Cyberlys ermutigt, fortschrittliche Überwachungslösungen wie Managed Detection & Response (MDR) oder Managed Extended Detection & Response (MXDR) einzusetzen.
Die MXDR-Lösung integriert ein SIEM, das Sicherheitsprotokolle aus verschiedenen Unternehmensquellen sammelt und korreliert. Dadurch lassen sich Anomalien und verdächtige Aktivitäten frühzeitig erkennen und eindämmen.
Nachverfolgung und Präventionsstrategien
In den 48 Stunden nach einem Vorfall überwacht das SOC das kompromittierte Konto besonders genau, um erneute Zugriffsversuche zu erkennen. Angreifer versuchen oft, die Kontrolle zurückzuerlangen, scheitern jedoch an den implementierten Gegenmaßnahmen.
Cyberlys bietet zudem einen detaillierten Incident-Report mit einer vollständigen Analyse der Kill Chain, der Identifizierung der Angriffsquelle und strategischen Empfehlungen zur Stärkung der Unternehmenssicherheit.
Der Wert eines SOC und proaktiver Sicherheitslösungen
Cybersecurity-Management darf sich nicht auf die Reaktion nach Vorfällen beschränken, sondern muss proaktiv Risiken minimieren. Die kontinuierliche Überwachung verdächtiger Aktivitäten, die Verwaltung von Sicherheitseinstellungen und die Umsetzung wirksamer Richtlinien sind entscheidend, um IT-Infrastrukturen zu schützen.
Der Einsatz fortschrittlicher Tools wie MDR und MXDR, kombiniert mit guter digitaler Hygiene und Mitarbeiterschulungen, ermöglicht es, Bedrohungen frühzeitig zu stoppen. Ein integriertes SIEM – wie es im MXDR von Cyberlys enthalten ist – sammelt und korreliert Sicherheitsereignisse in Echtzeit, um einen klaren Überblick über laufende Angriffe und bestehende Schwachstellen zu bieten.
Die Bedeutung von Awareness
Cybersecurity ist kein einmaliger Eingriff, sondern ein fortlaufender Prozess, der Technologie, Prozesse und Menschen einbezieht. Um das eigene Unternehmen zu schützen, ist es entscheidend:
- einen proaktiven Sicherheitsansatz mit Monitoring- und Analysewerkzeugen zu verfolgen,
- MFA und strikte Zugangsdatenverwaltung zu implementieren,
- in Mitarbeiterschulungen zu investieren, damit Nutzer als erste Verteidigungslinie gegen Phishing und Social Engineering agieren.
Die jüngste Welle an Account-Kompromittierungen in der Region zeigt deutlich: Cybersicherheit ist keine Option, sondern eine Notwendigkeit. Jedes Unternehmen muss seine Sicherheitslage kritisch bewerten und konkrete Maßnahmen ergreifen. Ein gut aufgestelltes SOC ist dabei nicht nur ein Helfer in der Incident Response, sondern ein grundlegender Pfeiler langfristiger Cyber-Resilienz.
