Bedrohung durch russische Akteure (FSB Center 16)

• Zielgruppe: Kritische Infrastrukturen weltweit, darunter Sektoren wie Energie, Kommunikation, Finanzen, Verteidigung, Regierung und das Gesundheitswesen.
• Akteure: Dem russischen Inlandsgeheimdienst (FSB Center 16) zugeordnete Gruppen wie Berserk Bear, Energetic Bear, Ghost Blizzard, Crouching Yeti, Dragonfly und Static Tundra.
• Vorgehensweise (Angriffsvektoren):
  • Schwachstellen-Scans: Das Internet wird systematisch nach schlecht gesicherten Netzwerkgeräten – vor allem Routern – abgesucht.
  • SNMP-Ausnutzung: Es wird gezielt nach aktiven Protokollen zur Netzwerkverwaltung (Simple Network Management Protocol / SNMP) gesucht, die schwache oder standardmäßig voreingestellte Zugangsdaten nutzen.
  • Diebstahl von Konfigurationen: Angreifer senden gefälschte Anfragen, um die Gerätekonfigurationen auszulesen und über Dateiübertragungsprotokolle (TFTP oder FTP) auf eigene Server zu übertragen.
  • Bekannte Sicherheitslücken: Es werden gezielt bekannte Schwachstellen in Netzwerkgeräten (z. B. von Cisco wie CVE-2018-0171, CVE-2008-4128) sowie Funktionen wie Cisco Smart Install (SMI) ausgenutzt.

Empfohlene Schutzmaßnahmen

Um Netzwerke und Router effektiv gegen diese und ähnliche staatliche Bedrohungen (wie z. B. Salt Typhoon) zu schützen, werden folgende Maßnahmen dringend empfohlen:

• Gerätehärtung:
  • Die Funktion Cisco Smart Install (SMI) deaktivieren.
  • Veraltete Protokolle (SNMPv1/v2) durch das sicherere SNMPv3 mit starker Verschlüsselung ersetzen.
  • Strenge Passwortrichtlinien durchsetzen (einzigartige Passwörter und sichere Speicherung).
• Netzwerkschutz & Zugriffskontrolle:
  • Unnötige und riskante Ports (wie für TFTP, SMI und SNMP) nach außen hin sperren.
  • Den administrativen Zugriff auf Geräte über Zugriffssteuerungslisten (Access Control Lists / ACLs) strikt einschränken.
• Überwachung & Wartung:
  • SNMP-Aktivitäten fortlaufend überwachen und auf verdächtige Änderungen an den Gerätekonfigurationen achten.
  • Firmware stets aktuell halten und nicht mehr unterstützte Geräte (End-of-Life) zeitnah ersetzen.
  • Werkzeuge zur Analyse der Angriffsfläche (Attack Surface Management) einsetzen, um offenliegende Systeme und Fehlkonfigurationen frühzeitig zu erkennen.

Quelle:
US and allies warn of Russian APT groups targeting routers and network devices to compromise critical infrastructure worldwide.