Wie mit China verbundene Bedrohungsakteure Zero-Day-Schwachstellen ausfindig machen

Was Sicherheitsverantwortliche über Zero-Day-Beschaffung, Exploit-Lieferketten und staatlich gelenkte Cyber-Bedrohungen wissen müssen

Die wichtigsten Erkenntnisse

• Mit China verbundene Bedrohungsakteure nutzen nicht nur einzelne Entdeckungen, sondern ein koordiniertes Ökosystem, um Zero-Day-Schwachstellen ausfindig zu machen.
• Nationale Vorschriften können vorschreiben, dass Schwachstellen an die Regierung gemeldet werden müssen, bevor Anbieter oder die Öffentlichkeit benachrichtigt werden.
• Ein großes Netzwerk von Forschern, privaten Unternehmen und Auftragnehmern unterstützt die Entdeckung von Schwachstellen und die Entwicklung von Exploits.
• Viele Angriffe beruhen nicht nur von echten Zero-Days, sondern auf der schnellen Ausnutzung von neu entdeckten oder nachgebauten Schwachstellen.
• Die Abwehr von Zero-Day-Angriffen hängt weniger von der Prävention als vielmehr von der Erkennung, Sichtbarkeit und Eindämmung ab.

Was ist eine Zero-Day-Schwachstelle?

Eine Zero-Day-Schwachstelle ist ein zuvor unbekannter Softwarefehler, für den zum Zeitpunkt seiner Ausnutzung kein Patch verfügbar ist.

Genau das macht Zero-Day-Angriffe so effektiv. Es gibt keine Signatur zu erkennen und keine Korrekturmöglichkeit. Angreifer können schnell agieren und sich oft Zugang verschaffen, bevor man die Schwachstelle überhaupt bemerkt.

Mit China verbundene Bedrohungsakteure gehören durchweg zu den aktivsten Nutzern von Zero-Day-Exploits in Spionagekampagnen, insbesondere solchen gegen Unternehmenssoftware und Netzwerkinfrastruktur. Laut Berichten , die auf Google Threat Intelligence-Daten basieren, sind diese Gruppen nach wie vor eine bedeutende Präsenz bei staatlich geförderten Zero-Day-Aktivitäten.

In diesem Beitrag konzentrieren wir uns weniger darauf, wie diese Bedrohungsakteure Schwachstellen ausnutzen, sondern vielmehr darauf, wie sie diese überhaupt erst an ausfindig machen.

So funktioniert Chinas Schwachstelle-Pipeline

Chinas Vorgehen bei Schwachstellen ist strukturiert und zentral gesteuert. Forschung deuten darauf hin, dass Schwachstellen als strategische Ressourcen behandelt werden, wobei Gesetze, Institutionen und Anreize darauf abzielen, die gemachten Entdeckungen dann in staatlich kontrollierte Systeme einzuspeisen.

Dadurch entsteht eine Pipeline mit drei wesentlichen Merkmalen:

• Kontinuierlicher Input von Forschern und Organisationen
• Zentralisierte Erfassung und Priorisierung
• Schneller Übergang von der Entdeckung zur operativen Nutzung

Für Angreifer verkürzt diese Pipeline die Lücke zwischen dem Auffinden eines Fehlers und dessen Ausnutzung. Und für IT-Security-Experten wie Sie steigt dadurch das Risiko.

Die verpflichtende Meldung von Schwachstellen ermöglicht eine frühzeitige Erkennung

Einer der wichtigsten Faktoren in diesem Prozess ist die Regulierung. Gemäß den chinesischen Vorschriften zur Offenlegung von Schwachstellen müssen Organisationen und Forscher neu entdeckte Schwachstellen umgehend den Regierungsbehörden melden.

Die öffentliche Bekanntgabe ist eingeschränkt, bis eine Lösung verfügbar ist oder eine Genehmigung erteilt wurde. Und in diesem Fall kann der Begriff „öffentlich“ auch die Anbieter der anfälligen Software meinen.

Dadurch entsteht eine Asymmetrie, die staatsnahen Akteuren zugutekommt:

• Regierungsbehörden können frühzeitig Einblick in kritische Schwachstellen erhalten
• Anbieter und globale Verteidiger sind sich der Schwachstellen möglicherweise noch gar nicht bewusst
• Die Ausnutzung kann so beginnen, bevor Patches überhaupt flächendeckend vorhanden sind.

Laut einer Analyse dieses Vorgehens werden Schwachstellendaten über staatliche Kanäle geleitet, die sowohl defensive als auch offensive Operationen unterstützen.

Ein großes Ökosystem von Forschern und Auftragnehmern

Die Pipeline ist nicht auf Regierungsbehörden beschränkt. Sie erstreckt sich auch auf den Privatsektor und die Wissenschaft.

Chinas Cyberstrategie basiert auf der Zusammenarbeit zwischen staatlichen Stellen, Forschungseinrichtungen und privaten Unternehmen. Analysten beschreiben dies als ein koordiniertes Ökosystem, in dem verschiedene Akteure unter staatlicher Leitung zu Cyberoperationen beitragen.

Dieses Ökosystem umfasst:

• Uni-Forscher entdecken neue Fehler
• Private Cybersicherheitsfirmen, die Schwachstellen melden
• Auftragnehmer, die Exploits und Werkzeuge entwickeln

Zahlreiche Organisationen und Forscher tragen jedes Jahr zur Entdeckung von Schwachstellen bei und sorgen so für einen stetigen Strom potenzieller Angriffe.

Diese Größenordnung erklärt unter anderem, wie mit China verbundene Akteure ein gleichbleibendes Tempo an Zero-Day- und Near-Zero-Day-Aktivitäten aufrechterhalten können. Und es zeigt, warum es für Sie von entscheidender Bedeutung ist, dem wachsenden Risiko von Exploits mit fortschrittlichen Überwachungs- und Reaktionsmöglichkeiten zu begegnen.

Die Rolle der Exploit-Lieferkette

Ein weiterer wichtiger Faktor ist das Outsourcing. Bei Cyberoperationen mit Verbindungen zu China greifen die Angreifer häufig auf private Auftragnehmer und „Hack-for-Hire“ -Unternehmen zurück, um Angriffe durchzuführen oder zu unterstützen.

Ganz allgemein haben Analysten beschrieben, wie die Volksrepublik China die regionalen Märkte für Schwachstellen in einen Trichter verwandelt hat, der die Bedürfnisse der Regierung unterstützt.

Diese Schwachstellen-Lieferkette ermöglicht:

• Schnellere Entwicklung von funktionierenden Exploits
• Spezialisierung auf verschiedene Plattformen und Technologien
• Die glaubhafte Leugnung staatlicher Verantwortlichkeit

De facto ist die Fähigkeit, Zero-Day-Angriffe durchzuführen, mittlerweile eine dezentralisierte Aufgabe und nicht mehr die alleinige Zuständigkeit eines einzelnen Teams.

Warum viele Angriffe nicht als echte Zero-Day-Schwachstellen beginnen

Nicht jeder erfolgreiche Angriff beruht tatsächlich auf einer zuvor unbekannten Schwachstelle. In vielen Fällen stützen sich die mit China verbundenen Bedrohungsakteure auf Folgendes:

• Die schnelle Ausnutzung neu aufgedeckter Schwachstellen
• Reverse Engineering von Patches zur Identifizierung von Schwachstellen in früheren Versionen
• Scannen nach ungeschützten und ungepatchten Systemen im großen Maßstab

Sicherheitsforscher haben beobachtet, wie Akteure Hersteller-Patches untersuchen, um Wege zu finden, wie sich ältere Softwareversionen ausnutzen lassen. Aus Ihrer Sicht als Verteidiger ist der Unterschied zwischen einem Zero-Day-Angriff und einer schnell ausgenutzten bekannten Sicherheitslücke oft rein theoretischer Natur. Das Ergebnis ist weiterhin eine anfängliche Sicherheitsverletzung, die den Grundstein für eine potenziell sehr kostspielige Datenpanne legt.

Warum Edge-Geräte und kritische Infrastruktur die häufigen Ziele sind

China-nahe Bedrohungsakteure konzentrieren sich tendenziell auf Systeme, die einen breiten Zugang bieten und schwer zu überwachen sind. Dazu gehören:

• Firewalls
• VPNs und Fernzugriffssysteme
• Netzwerkgeräte und Edge-Geräte

Laut mehreren Bedrohung-Berichten hilft dieser Fokus dem Angreifer, dauerhaften Zugriff zu erlangen und sich lateral in Netzwerken zu bewegen, insbesondere in kritischen Infrastrukturumgebungen.

Diese Systeme sind aus folgenden Gründen attraktive Ziele:

• Sie sitzen oft am Rand.
• Sie haben möglicherweise keine gute Sicht auf die Endpunkte.
• Sie bieten hochwertigen Zugriff, wenn sie einmal kompromittiert sind.

Wie man sich gegen Zero-Day-Angriffe verteidigt, die von staatlich bedrohten Akteuren ausgehen

Wenn mit China verbundene Bedrohungsakteure in der Lage sind, Schwachstellen in großem Umfang zu erlangen und als Waffe einzusetzen, was können Verteidiger wie Sie realistischerweise noch tun? Auch wenn es unrealistisch ist, jeden Angriff zu verhindern, gibt es Maßnahmen, die Sie ergreifen können, um die Gefährdung Ihres Unternehmens zu verringern, Ihre Fähigkeit zur Erkennung von Eindringversuchen zu verbessern und die Auswirkungen eines Sicherheitsvorfalls zu begrenzen.

In der Praxis bedeutet das, sich auf Folgendes zu konzentrieren:

• Transparenz der gesamten Umgebung , damit ungewöhnliche Aktivitäten frühzeitig auffallen
• Schnelle Erkennung und Reaktion, um Angriffe zu stoppen, bevor sie sich ausbreiten
• Eindämmung und Segmentierung zur Einschränkung lateraler Bewegung
• Mehrschichtige Sicherheitskontrollen, die nicht von einem einzelnen Verteidigungspunkt abhängen

Letztendlich ist für den Erfolg eines Angriffs nicht nur die Ausnutzung einer unbekannten Schwachstelle entscheidend, sondern auch die Zeit, die Sie benötigen, um den Angriff zu erkennen und effektiv darauf zu reagieren.

Die Rolle moderner Sicherheitsplattformen

Security , die Erkennung, Reaktion und kontinuierliche Überwachung kombinieren, können dazu beitragen, diese Lücken zu schließen.

Extended Detection and Response (XDR)-Plattformen und verwaltete Erkennungsdienste wurden entwickelt, um:

• Verdächtiges Verhalten auch ohne bekannte Signaturen erkennen
• Aktivitäten über mehrere Endpunkte, Netzwerke und Cloud-Umgebungen hinweg zu korrelieren
• Schnell zu reagieren, um die Verweildauer des Angreifers zu reduzieren

Dienste wie Barracuda Managed XDR führen diesen Ansatz weiter, indem sie automatisierte Reaktionen mit menschlicher Analyse kombinieren. Das Ziel ist es, frühe Indikatoren für Kompromittierungen zu erkennen, effizient zu untersuchen und Bedrohungen einzudämmen, bevor sie eskalieren.

Das ist wichtig, denn wenn Angreifer eine Pipeline für das Auffinden von Schwachstellen haben, geht es bei der Verteidigung weniger darum, jeden Eintrittspunkt zu verschließen, sondern vielmehr darum, das Zeitfenster des Angriffs zu verkleinern.