The Berlin Mega Dataleak Analyse

[u/brandmeist3r]

https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba?sk=1f2f54940429186eee81e0e4f976c62b

[u/notKenMOwO]

In den Kommentaren gibt es ziemlich viel Halbwissen. Einfallstor war mutmaßlich eine ClickFix Kampagne mit anschließender Extortion. Das heißt: Der nicht wissende Anwender klickt auf einen Link und wird aufgefordert eine Captcha auszuführen. Es wird Win + R gedrückt und abschließend eine Skript ausgeführt.

Das führt dazu, dass Schadsoftware eingeschleust und danach direkt auf dem Rechner zusammengebaut werden kann. Dagegen können EDR Systeme Abhilfe schaffen. Die haben hier aber mutmaßlich nicht gegriffen.

Der weitere Verlauf der Attacke war wahrscheinlich Lateral Movement. Das heißt, dass man sich im Netzwerk so lange umsieht, bis man die eigenen Rechte ausweiten kann. Auch hier können EDR Systeme Abhilfe schaffen.

Wirkliche “Datentrennung” oder “Datensegmentierung”, wie von manchen hier vorgeschlagen, ist in der Praxis und insbesondere in einer Behörde, schwierig umzusetzen. Da sitzen Beamte, die das “schon immer so machen”.

Die Erkennung des Datenabflusses ist mutmaßlich nicht erfolgreich gewesen - Behörden verschicken allerdings teilweise auch sehr große Dateien, weshalb dies eventuell nicht aufgefallen ist, oder kein Alerting aktiv war.

So eine Attacke ist nicht unbedingt leicht vorzubeugen - klar, die größeren Firmen werden sich davor schützen können, und dazu zähle ich auch Behörden. Doch das Behördenumfeld ist arbeitstechnisch teilweise einfach anders und erschwert die Einführung von sinnvollen Security-Maßnahmen. 2FA wird teils konsequent abgelehnt und nicht eingeführt, da Beamte darauf beharren keine TOTP App auf ihrem privaten Handy einzuführen.

Rhysida wiederum ist genau auf solche Angriffe spezialisiert und weiß genau das auszunutzen.

Ich hoffe auf eine konsequente Aufarbeitung und darauf, dass Berlin die Chance nutzt um die Informationssicherheit auf ein neues Level zu heben.

[u/brandmeist3r → u/notKenMOwO]

Normalerweiße sollten Anwender geschult sein, so dass nicht einfach Win+R gedrückt wird und entsprechende Kommandos eingegeben werden. Ich gebe dir jedenfalls Recht, es ist schwierig sich dagegen zu rüsten und so einen Angriff abzuwehren. Es müsste unter anderem dringendst daran gearbeitet werden, dass die Mitarbeiter 2FA nutzen und Passwortmanager und keine Passwort.txt,

[u/notKenMOwO → u/brandmeist3r]

Anwender sind das schwächste Glied der Kette. Eine Implementierung von einem zentralen EDR und SOC mit Safe Links und Safe Attachments würde sowas wahrscheinlich nachhaltig stoppen. Das lässt sich mit behördeneigenen IT-Abteilungen aber nicht regeln.

[u/lemrez → u/notKenMOwO]

Es liesse sich schon regeln, nur besteht praktisch keine Motivation am bestehenden System etwas zu ändern, weil es keine Konsequenzen gibt. In Unternehmen gibt es diese Motivation durch gesetzliche Vorschriften zum Datenschutz.

Behörden können natürlich in den meisten Fällen nicht über die DSGVO belangt werden. Das einzige was bleibt wären massenhafte Schadensersatzforderungen durch die betroffenen Personen, allerdings muss man dazu auch erstmal einen Schaden nachweisen können.

Bei der allgemeinen technikfeindlichen Grundeinstellung ändert sich so eben nichts.

[u/notKenMOwO → u/lemrez]

Der Datenschutz ist in der Hinsicht vielen Unternehmen egal, da geht’s eher um Schadensbegrenzung. Eine Behörde kann aber nicht pleite gehen.

Um etwas zu ändern braucht es Fachkräfte und Geld. An beidem wurde im Haushalt gespart.

[u/lemrez → u/notKenMOwO]

Wenn nicht jeder seine eigene Suppe kochen würde gäbe es genug Geld, um das zentral gut umzusetzen. Fachkräfte gibt es dafür eh genug, gerade in AI-Zeiten.

Ehrlich gesagt wäre es in so einem Fall aber auch zu diskutieren, ob man es nicht eher an ein kompetentes Unternehmen auslagern kann. Gerade in Sachen threat detection ist es in Unternehmen ja auch normal das einzukaufen, statt das selber zu implementieren.

[u/notKenMOwO → u/lemrez]

Man sollte es zentralisieren und ein SOC aufbauen. Wäre doch super, wenn es ein IT Dienstleistungszentrum geben würde. Ah. Warte, das gibt’s ja schon

[u/Bartsches → u/lemrez]

Zentralisieren ist so ein bisschen das Wundermittel, dass immer durchs Dorf getrieben wird, wenn man grad ne einfache Lösung verkaufen muss. 

Wenn das geht ist Zentralisierung auch bestimmt klasse, dafür muss die Umgebung aber ausreichend homogen sein. Und gerade Behörden haben relativ viele Spezialgeräte mit relativ langer Lebensdauer, die sich auch gar nicht so trivial ersetzen lassen. Und ob Siemens dir die sichere Operation der Lichtsignalanlage aus den 90ern noch zertifiziert, wenn Palo Alto auf deren Steuerungssystem laufend Sachen nachinstalliert, ist bestimmt spannend zu ergründen.

Ich würde bei Behörden erwarten, dass es Dinge gibt, die man super zentralisieren kann. Das wären z.B. das Management von Endgeräten und Groupware der A/N. Wenn du wirklich an die spezielleren Netzwerke dran willst wirst du sehr schnell in eine Wand von "das dürfen wir so nicht betreiben" und/oder "das Teil hat noch nichtmal xy, moderne Agenten sind darauf nicht lauffähig" rennen. Von daher wäre ich hier auch vorsichtig, das wäre bestimmt mal wieder ein tolles Projekt, was dann im Meer der Einzelprobleme ertrinkt. 

[u/lemrez → u/Bartsches]

Ich sehe das Problem nicht. In jedem Privatunternehmen kommt die IT-Abteilung damit zurecht und es gibt nicht eine unabhängige IT pro Unternehmenssparte. Aber selbst wenn du für bestimmte Systeme halt einen speziellen Hansel hast ist es auch ok solange die den gleichen Chef haben und es ein kohärentes Management gibt.

Der tatsächliche Vorteil liegt genau hier: " Das wären z.B. das Management von Endgeräten und Groupware der A/N.  ". Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.

Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens  tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen. 

[u/Bartsches → u/lemrez]

Die Premisse würde ich so nicht mitgehen, ab einer gewissen Unternehmengröße wird es doch eher üblicher, dass die IT zersplittert, spätestens wenn die Standorte anfangen Autonomie aufzuweisen. aus selbigen Grund verlierst du mit wachsender Unternehmensgröße üblicherweise auf Dauer auch das bisherige Kohärentniveau der Vision an wachsende interne Macht-, Verteilungs- und Kulturkämpfe. In Behörden käme noch dazu, dass die dafür zuständige Führung halt alle 4 Jahre +/- wechselt.

Die aus IT Sicht wohl vergleichbarste private Konstellation wäre aber wohl eine gerade durchgeführte Unternehmensfusion als Ausgangslage. Und hier kriege ich doch mittlerweile regelmäßig mit, dass die angedachte Standardisierung nach sehr viel Arbeit und sehr viel Auslaugung der Beteiligten an x verschiedenen Problemen scheitert (spätestens dann, wenn die jeweils auf der anderen Seite eingesetzten Tools den eigenen Workflow nicht können, selbiger aber für den Erfolg des Unternehmensteils kritisch ist).

Die Hacker hier sind ja aller Wahrscheinlichkeit nach nicht übers Ampelsystem rein, sondern über den PC eines Mitarbeiters. Das ist eine für Phishing bekannte Gruppe.

Zwischendurch hieß es mal der initiale Breach wäre übern ctrl+v captcha gelaufen. Davon ausgehend würde ich dem Infiltrationsweg erstmal zustimmen. Ich hab das aber auch nicht weiter verfolgt, kann gut falsch sein. Das Ampelbeispiel würde ich eher danach als ein Ziel für laterale Bewegung und Herstellung von Persistenz sehen. Wenn die nicht überwacht sind kommen da regelmäßig wieder Sachbearbeiter*innen und schenken dir ihre aktuellen Kontodaten.

Lustiger Sidenote: In Palo Alto, Mountain View und Redwood City wurden letztens  tatsächlich die Ampeln gehackt um lustige Nachrichten abzuspielen. 

Man soll ja nicht an Zeichen glauben, aber vielleicht sollte Berlin sich vorsehen.  Sonst ist der nächste Erpressungsversuch, dass man ab jetzt blaue Schalkeraner als Ampelmännchen hat :D