IT-Sicherheitsexperten von Proofpoint konnten beobachten, wie verschiedene staatlich unterstützte Hackergruppen Journalisten ins Visier nehmen, um Spionage zu betreiben, Malware zu verbreiten und Netzwerke von Medienorganisationen zu infiltrieren.
Journalisten und Medienorganisationen sind attraktive Ziele für Cyberkriminelle. Proofpoint-Forscher haben beobachtet, dass APT- Cyberkriminelle, insbesondere solche, die von einem Staat gesponsert werden oder mit einem Staat verbunden sind, sich routinemäßig als Journalisten oder Medienorganisationen ausgeben oder diese ins Visier nehmen. Der Mediensektor und die dort tätigen Personen können Türen öffnen, die anderen verschlossen bleiben.
Gezielte Angriffe auf Journalisten-Mail-Konten
Ein gut getimter, erfolgreicher Angriff auf das E-Mail-Konto eines Journalisten kann Einblicke in sensible, (noch) unveröffentlichte Geschichten und die Identifizierung von Quellen liefern. Ein kompromittiertes Konto kann dazu verwendet werden, Desinformationen oder staatsfreundliche Propaganda zu verbreiten, Desinformationen in Kriegs- oder Pandemiezeiten zu liefern oder eine politisch aufgeladene Atmosphäre zu beeinflussen. Am häufigsten werden Phishing-Angriffe, die auf Journalisten abzielen, für Spionagezwecke genutzt oder um wichtige Einblicke in das Innenleben einer anderen Regierung, eines Unternehmens oder eines anderen Bereichs von staatlicher Bedeutung zu erlangen.
Spionage, Desinformation, staatliche Interessen
Die Daten, die Proofpoint seit Anfang 2021 untersucht, zeigen, dass Cyberkriminelle weltweit versuchen, Journalisten und Medienpersönlichkeiten in einer Vielzahl von Kampagnen anzugreifen oder auszunutzen, darunter auch solche, die auf sensible politische Ereignisse in den Vereinigten Staaten abgestimmt sind. Einige Kampagnen zielten auf Medien ab, um einen nachrichtendienstlichen Wettbewerbsvorteil zu erlangen, während andere auf Journalisten abzielten, die mit ihrer Berichterstattung ein Regime in ein schlechtes Licht rückten, oder Desinformationen verbreiteten. In ihrem Bericht konzentrieren sich die Proofpoint-Experten auf die Aktivitäten einer Handvoll Advanced Persistent Threats (APT)-Akteure, die nach ihrer Einschätzung mit den staatlichen Interessen Chinas, Nordkoreas, des Irans und der Türkei verbunden sind.
Ergebnisse der Experten-Untersuchung
- Medienschaffende sind ein attraktives Ziel, weil sie exklusiven Zugriff auf Informationen und Einblicke in Themen haben, welche potenziell die Staatssicherheit beeinträchtigen können.
- APT-Akteure nehmen regelmäßig Journalisten und Medienorganisationen ins Visier oder geben sich als solche aus, um ihre staatlich unterstützten Kampagnen voranzubringen.
- Die identifizierten Kampagnen setzten eine Vielzahl von Techniken ein, von der Nutzung von Web Beacons bis hin zum Versand von Malware, um einen ersten Zugang zum Netzwerk der Zielperson oder -organisation zu erhalten.
- Der Fokus von APTs auf die Medien wird wahrscheinlich niemals nachlassen, weshalb es für Journalisten wichtig ist, sich selbst, ihre Quellen und die Integrität ihrer Informationen zu schützen.
- APT-Gruppen, die von China, Nordkorea, dem Iran und der Türkei unterstützt werden, haben es auf die beruflichen E-Mails und Social-Media-Konten von Journalisten abgesehen, um an sensible Informationen zu gelangen und sich weiteren Zugang zu deren Organisationen zu verschaffen.
- Verschiedene mit dem Iran verbündete Cyberkriminelle wie Charming Kitten (TA453) und Tortoiseshell (TA456) haben sich als Journalisten von Publikationen wie The Guardian, The Sun, Fox News und The Metro ausgegeben. Die Angriffe richteten sich auf Akademiker und Außenpolitikexperten weltweit, um Zugang zu sensiblen Informationen zu erhalten.
- Die mit China verbündete Gruppe TA412 verstärkte ihre Aktivitäten nur wenige Tage vor dem Angriff auf das US-Kapitol am 6. Januar 2021. Proofpoint-Forscher beobachteten in dieser Zeit eine Konzentration der Gruppe auf Washington DC und Korrespondenten des Weißen Hauses. Dieselbe Gruppe nahm Anfang 2022 ihre Angriffe wieder auf und konzentrierte sich auf Reporter, die über das Engagement der USA und Europas im Krieg Russlands gegen die Ukraine berichten.
- Die nordkoreanische Lazarus-Gruppe (TA404) griff ein US-Medienunternehmen mit einer Phishing-Kampagne an, die sich auf Stellenangebote bezog. Dieser Angriff erfolgte, nachdem die Organisation einen Artikel veröffentlicht hatte, in dem der nordkoreanische Führer Kim Jong Un kritisiert wurde – ein bekanntes Motiv für Aktionen von mit Nordkorea verbündeten APT-Akteuren.
- Cyberkriminelle, die mit dem türkischen Staat verbündet sind, haben ihre Bemühungen darauf konzentriert, sich Zugang zu den Social-Media-Konten von Journalisten zu verschaffen, wahrscheinlich mit dem Ziel, Pro-Erdogan-Propaganda zu verbreiten und weitere Kontakte zu knüpfen.
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.