Thought Leadership
Die US-Regierung hat Informationen zu einer Malware-Variante veröffentlicht, die von durch die chinesische Regierung unterstützten Hackern in Cyberspionage-Kampagnen gegen Regierungen, Unternehmen und Think Tanks verwendet wird.
Bei der neuen Malware handelt es sich um einen RAT (Remote Access Trojaner) namens TAIDOOR, der von Cyber-Angreifern der chinesischen Regierung aktiv genutzt wird.
Andreas Müller (im Bild), Director DACH bei Vectra AI, einem Anbieter von Cybersicherheit auf Basis künstlicher Intelligenz erläutert:
„Remote-Access-Trojaner (RATs) sind eine heimtückische Kategorie von Angriffstools, die Systeme, Daten und Privatsphäre gefährden. Angesichts so vieler legitimer Fernzugriffe, die über Netzwerke und Hosts erfolgen, gibt es für RATs reichlich Gelegenheit, über längere Zeit unentdeckt zu operieren, da sie sich im regulären Datenverkehr gut verstecken können. Sie sind ein besonders nützliches Instrument für Angreifer auf nationalstaatlicher Ebene, die eine ausgedehnte Auskundschaftung durchführen wollen und innerhalb der Angriffsziele Persistenz anstreben. Dies scheint hier mit Sicherheit der Fall zu sein, da die Aktivitäten seit 2008 mit China in Zusammenhang stehen.
Es ist zwar gut zu sehen, dass Regierungsbehörden vor RATs wie TAIDOOR warnen und Orientierungshilfen und Identifizierungsmöglichkeiten bieten. Die Wege und Dienste, die RATs nutzen, sind jedoch in vielen Unternehmen nach wie vor offen und schwer zu überwachen. Für die gängigsten RATs gibt es Signaturen, aber geschickte Angreifer können ihre eigenen RATs leicht anpassen oder erstellen, indem sie gängige Remote-Desktop-Tools wie RDP für den Fernzugriff verwenden.
Dies wird durch einige kürzlich durchgeführte Live-Analysen von Unternehmensnetzwerken bestätigt, wonach 90 Prozent der untersuchten Unternehmen eine Form von bösartigem RDP-Verhalten aufwiesen. Diese Art der Verhaltenserkennung kann mit Modellen des maschinellen Lernens (ML) realisiert werden, die darauf ausgelegt sind, das einzigartige Verhalten der RATs zu identifizieren. Durch die Analyse einer großen Anzahl von RATs kann ein überwachtes ML-Modell lernen, wie sich der Datenverkehr dieser Tools vom normalen, legitimen Fernzugriffsverkehr unterscheidet. So lässt sich „RAT-artiges“ Verhalten ohne vorherige Kenntnis des Angriffs oder des individuellen RAT-Codes erkennen.“
