IT-Sicherheitsberaterin @ Red Code Company

Ein führender Anbieter für Content Delivery Networks (CDN) wurde Ziel eines gezielten Cyberangriffs, der zu massiven Manipulationen von Webinhalten auf tausenden Kundenseiten führte. Die Angreifer nutzten eine kritische Schwachstelle in der Konfigurationsverwaltung aus und erlangten Zugriff auf einen signifikanten Teil der globalen Edge-Infrastruktur. Über kompromittierte Nodes wurde bösartiges JavaScript in den Webtraffic eingeschleust, was zu Cryptojacking, Credential Harvesting und Payment Redirects führte. Der Vorfall hatte gravierende Auswirkungen auf die Kundenbindung und führte zu Verstößen gegen PCI DSS und NIS2 (Artikel 23).
MITRE ATT&CK:

• Initial Access: Exploit Public-Facing Application
• Command & Control: Web Protocols
• Impact: Defacement
• Defense Evasion: Masquerading

Angriffsszenario:
Die Angreifer nutzten Schwächen in der Orchestrierung und fehlende Integritätskontrollen an den Edge-Standorten:

• CVE-2020-11651 in SaltStack wurde ausgenutzt – ein fehlerhaft konfiguriertes Infrastructure-as-Code-System.
• Dadurch erlangten sie Kontrolle über ca. 18 % der weltweiten Edge-Server.
• Über 4.200 Websites wurden manipuliert, u. a. durch:
  ▸ Browser-basiertes Cryptojacking
  ▸ Abgreifen von Anmeldedaten und Zahlungsinformationen
  ▸ Weiterleitung von Zahlungen an Angreiferdomains
• Erkennung: Erst nach 3 Tagen durch Traffic-Anomalien in Google Analytics und Heatmap-Abweichungen

Auswirkungen:

1. Finanziell: Rund 62 Mio. USD Schaden durch Vertragsverluste, SLA-Strafen und Kompensationen
2. Reputation: Verlust von 8 der 10 wichtigsten Unternehmenskunden
3. Regulatorisch: Verstoß gegen PCI DSS und Artikel 23 der NIS2-Richtlinie
4. Sicherheit: Kompromittierung von ca. 1,2 Mio. Benutzerkonten durch Formjacking

Red Teaming (Post-Breach-Simulation):
Ziel war die Bewertung der Sicherheitslage entlang der gesamten Content-Lieferkette sowie der Edge-Server:

• CI/CD-Angriffssimulation: Manipulation von Deployment-Ketten aufgrund fehlender Integritätsprüfungen
• Signatur-Bypass: Versuch, manipulierte Cache-Objekte einzuschleusen – fehlende Signaturprüfungen an der Edge
• BGP-Hijacking-Modellierung: Simulation von Routing-Manipulationen zur CDN-Traffic-Umleitung

Festgestellte Schwachstellen:

• Kein SBOM (Software Bill of Materials) zur Nachverfolgung von Edge-Komponenten
• Veraltete TLS-Zertifikate (1024-bit RSA) auf internationalen Servern
• Keine Echtzeit-Cache-Verifikation oder Signaturvalidierung

Empfehlungen:
Infrastructure Hardening:

• Einsatz von Hardware Security Modules (HSM) zur Inhalts-Signierung
• Durchsetzung von Zero-Trust-Prinzipien bei Konfigurationszugriffen
• Nutzung von mTLS für alle internen Node- und Control-Plane-Verbindungen

Monitoring & Validierung:

• Echtzeitprüfung der Cache-Integrität (alle 60 Sekunden per Hash-Check)
• SBOM-Tracking für alle Edge-Services und Regionen
• Vierteljährliche Red-Team-Simulationen zu Edge-Threat-Modellen und CI/CD-Angriffspfaden

Im Rahmen einer Sicherheitsbewertung in der Automobilindustrie wurde ein Sabotagefall in einer Steuergeräte-Firmware (ECU) identifiziert. Angreifer kompromittierten die Infrastruktur eines Tier-2-Zulieferers und injizierten Schadcode in Firmware-Images für Elektrofahrzeuge. Die manipulierte Software wurde als Teil regulärer Lieferungen weitergegeben und blieb über Monate unentdeckt – mit Auswirkungen auf zehntausende Einheiten.
Der Vorfall verdeutlicht die Relevanz ganzheitlicher Sicherheitsmaßnahmen entlang der gesamten Lieferkette, nicht nur auf OEM-Ebene – insbesondere im Kontext der neuen UN-Vorschrift UN R155 zur Fahrzeugsicherheit.
Angriffsvektor (MITRE ATT&CK):

• Initial Access: Spearphishing
• Persistence: Valid Accounts
• Defense Evasion: Obfuscated Files
• Impact: Inhibit System Recovery

Angriffsszenario:
Phishing auf einen Tier-2-Ingenieur ermöglichte Zugriff auf Build-Systeme. Während des Kompilierungsvorgangs wurde Schadcode eingebettet, u. a. zur Erzeugung falscher ABS/ESP-Fehler und zur Beschleunigung der Batteriealterung. Die kompromittierte Firmware wurde durch Tier-1 und OEM ohne Integritätsprüfung ausgeliefert.
Folgen:

• Finanziell: $23 Mio (Rückrufe, Strafen, Entschädigungen)
• Reputation: −15 % Umsatz im Quartal
• Regulatorisch: Verstoß gegen UN R155
• Sicherheit: 2 Vorfälle im Straßenverkehr aufgrund ABS-Fehlverhalten

Red Teaming (Threat Simulation):
Um ähnliche Risiken zu validieren, wurde ein Red-Teaming durchgeführt mit Fokus auf digitale Lieferketten:

• Initial Access Testing: Schwächen in VPN, Citrix und Lieferantenportalen
• Software-Lieferkette: Unsignierter Code, fehlende Zugriffstrennung, kein Versionstracking in Git/Artifactory
• Physischer Zugriff: Simulation von CAN-Bus-Angriffen über OBD-II im Werkstattprozess

Schwachstellen:

• Keine kryptografische Signatur der ECU-Firmware
• Unprotokollierter Zugriff auf CI/CD-Systeme mit 50+ Partnern
• Kein Threat Modeling in Lieferantenprozessen

Empfehlungen:

• Einführung von SBOM (Software Bill of Materials)
• Einsatz von Hardware Security Modules (HSM) zur Erzwingung digitaler Signatur
• Jährliche Audits für Tier-1/2-Zulieferer
• Integritätsprüfung vor OEM-Integration
• Threat Modeling als fester Bestandteil der Produktentwicklung
• Incident-Response-Szenarien für die digitale Lieferkette

Im Rahmen eines Vorfalls bei einem internationalen Finanzinstitut wurde ein gezielter Angriff auf die SWIFT-Zahlungsinfrastruktur durch Business Email Compromise (BEC) analysiert. Die Angreifer nutzten menschliches Versagen, veraltete Systeme und mangelhafte Freigabeprozesse aus, um betrügerische Transaktionen in Höhe von über 42 Mio. USD auszulösen.
MITRE ATT&CK:

• Initial Access: Phishing
• Credential Access: Credential Dumping
• Impact: Data Manipulation
• Command & Control: Application Layer Protocol

Angriffsszenario:
Ein Phishing-Mail mit manipuliertem PDF wurde an den CFO gesendet. Nach Öffnen aktivierte ein Makro Schadcode, der Zugangsdaten für SWIFT Alliance Access ausspähte. Die Angreifer erstellten daraufhin 17 gefälschte SWIFT-Nachrichten unter Nutzung legitimer Vorlagen. Über eine SIM-Swap-Technik wurden SMS-basierte Freigaben umgangen. Der Betrug wurde erst nach 9 Tagen durch manuelle Abstimmung mit einem Zahlungspartner entdeckt.
Auswirkungen:

• Finanziell: 13,4 Mio. USD irreversibler Schaden
• Reputation: Herabstufung der Moody’s-Bonität von A2 auf Baa1
• Regulatorisch: 5,8 Mio. USD Geldstrafen (inkl. NIS2-Verstoß)
• Operativ: 72 Stunden Aussetzung aller grenzüberschreitenden Zahlungen

Red Teaming (Post-Incident Simulation):
Ein Red-Teaming wurde durchgeführt, um den Angriffspfad zu rekonstruieren und weitere Schwachstellen im Zahlungsprozess aufzudecken:

• MFA-Umgehung durch veraltete Authentifizierungssessions
• Insider-Threat-Simulation im Backoffice (Seitwärtsbewegung & Rollenprüfung)
• SS7-Angriff auf SMS-Kommunikation zur Bestätigung von SIM-Swap-Risiken

Festgestellte Schwachstellen:

• Keine Voice-Bestätigung bei Transaktionen > 1 Mio. USD
• Veraltete SWIFT Alliance Version (7.1 statt 8.0+)
• Unzureichende Trennung von Funktionen im Treasury-System

Empfehlungen:

• Einführung von "Confirmation of Payee" für Hochrisiko-Transaktionen
• Makroblockierung in allen Finanzdokumenten
• Upgrade auf SWIFT Alliance v8.0+ mit aktuellen Sicherheitsfeatures
• Einführung von Voice-/Biometrie-Zweitfaktoren für hohe Zahlungen
• Quartalsweise Red-Team-Simulationen mit Treasury- und Compliance-Teams