Das Cybersicherheitsteam von T-Mobile griff im Kampf gegen die von China unterstützte Hackergruppe Salt Typhoon Berichten zufolge zu einer ungewöhnlich einfachen Maßnahme zur Eindämmung des Angriffs.
Das Team physisch ein Netzwerkkabel durchtrennt, um den Zugriff des Angreifers zu unterbinden.
Wichtigste Erkenntnisse
- T-Mobile hat physisch ein Netzwerkkabel durchtrennt , um den Zugriff von Salt Typhoon zu unterbinden, nachdem verdächtige Aktivitäten auf eine Infrastruktur zurückverfolgt worden waren, die mit einem anderen Telekommunikationsanbieter verbunden war.
- Die Kampagne von Salt Typhoon hat Berichten zufolge mindestens 200 Organisationen in 80 Ländern kompromittiert, wobei die Telekommunikationsinfrastruktur zu ihren wichtigsten Zielen gehörte.
- Vertrauensbeziehungen zwischen Netzwerken können Angriffspfade schaffen , über die Angreifer kompromittierte Anbieter und miteinander verbundene Infrastrukturen nutzen können, um auf andere Umgebungen zuzugreifen.
- Organisationen sollten ihre Fähigkeiten zur Eindämmung von Angriffen überprüfen , indem sie die Netzwerksegmentierung verbessern, Verbindungen zu Drittanbietern überwachen, Netzwerkgeräte härten und ihre Pläne zur Reaktion auf Sicherheitsvorfälle regelmäßig testen.
Der Angriff von Salt Typhoon auf T-Mobile
Dieser Vorfall war Teil der umfassenderen Spionagekampagne Salt Typhoon , die sich gegen die Telekommunikations- und Internetinfrastruktur in den USA und anderen Ländern richtete.
Berichten zufolge kompromittierte die mit der chinesischen Regierung verbundene Gruppe mindestens 200 Organisationen in 80 Ländern. Dabei zielte sie auf Kommunikationsdaten und Metadaten von Regierungsvertretern und anderen sensiblen Zielen.
T-Mobile wurde erstmals im November 2024 öffentlich mit der Kampagne in Verbindung gebracht, als Telekommunikationsanbieter in den gesamten USA ähnliche Kompromittierungen untersuchten.
Der Anbieter erklärte damals, es gebe keine Hinweise darauf, dass Kundendaten betroffen seien.
Zu den anderen Organisationen, die mit der umfassenderen Kampagne von Salt Typhoon in Verbindung gebracht wurden, gehören AT&T, Verizon, Lumen, Charter Communications und Windstream.
Wie Salt Typhoon vertrauenswürdige Netzwerke ausnutzte
Die Angreifer konzentrierten sich stark auf die Telekommunikationsinfrastruktur, darunter Router und andere Netzwerkgeräte, die Zugriff auf sensiblen Datenverkehr oder vertrauenswürdige Verbindungen zwischen Anbietern ermöglichen können.
Miteinander verbundene Umgebungen können das Risiko erhöhen, da Angreifer die vertrauenswürdigen Netzwerkbeziehungen eines kompromittierten Anbieters nutzen können, um sich lateral durch andere verbundene Systeme zu bewegen.
Das scheint ein entscheidender Faktor bei der Untersuchung durch T-Mobile gewesen zu sein.
Laut Bloombergs Berichterstattung suchte das Sicherheitsteam des Unternehmens monatelang nach Anzeichen für die Eindringlinge, bevor es ungewöhnliche Aktivitäten auf einem internen System entdeckte.
Die Ermittler konnten den verdächtigen Datenverkehr schließlich zu einem Router eines nicht namentlich genannten Telekommunikationsanbieters zurückverfolgen, der mit dem Netzwerk von T-Mobile verbunden war.
Wie T-Mobile Salt Typhoon eindämmte
Die Entdeckung eröffnete dem Sicherheitsteam von T-Mobile einen klareren Weg zur Eindämmung des Angriffs.
Statt sich auf eine Fernbehebung zu verlassen, begab sich das Team in ein nahe gelegenes Rechenzentrum und durchtrennte physisch das Kabel, das die kompromittierte Hardware mit dem externen Netzwerk verband.
Der Vorfall verdeutlicht, wie vertrauenswürdige Verbindungen zu Drittanbietern und zwischen Netzbetreibern Organisationen Bedrohungen aussetzen können, selbst wenn möglicherweise starke interne Sicherheitskontrollen vorhanden sind.
Wie Organisationen das Risiko ähnlicher Vorfälle verringern können
Die Kampagne von Salt Typhoon unterstreicht, wie wichtig es ist, kritische Netzwerkinfrastrukturen vor ausgeklügelten und hartnäckigen Bedrohungen zu schützen.
Organisationen sollten einen mehrschichtigen Ansatz verfolgen, der starke Zugriffskontrollen, kontinuierliche Überwachung, die Härtung von Netzwerken und eine wirksame Reaktion auf Sicherheitsvorfälle kombiniert.
Sicherheitsteams sollten auch Risiken berücksichtigen, die durch vertrauenswürdige Dritte und miteinander verbundene Umgebungen entstehen.
- Kritische Infrastruktur segmentieren , indem die Kommunikation zwischen sensiblen Systemen, Netzwerkgeräten und Umgebungen von Drittanbietern eingeschränkt wird, um laterale Bewegungen zu reduzieren.
- Netzwerkgeräte härten und patchen , indem Router, Firewalls, VPN -Appliances und andere Geräte am Netzwerkrand zeitnah aktualisiert und unnötige Verwaltungsschnittstellen eingeschränkt werden.
- Privilegierte Zugriffe stärken , indem eine starke Authentifizierung verlangt wird, einschließlich einer gegen Phishing resistenten MFA , sofern unterstützt, und Administratorkonten sowie Berechtigungen regelmäßig überprüft werden.
- Netzwerk aktivität und Konfigurationsänderungen überwachen , indem Datenverkehrs-Baselines erstellt und ungewöhnliche Verbindungen, Routingänderungen sowie nicht autorisierte Modifikationen gemeldet werden.
- Umfassende Protokollierung aufrechterhalten , indem Netzwerk-, Authentifizierungs- und Administrationsprotokolle zentralisiert werden, um die Erkennung von Bedrohungen, Untersuchungen und forensische Analysen zu unterstützen.
- Verbindungen zu Drittanbietern überprüfen , indem vertrauenswürdige Partner, Dienstanbieter und miteinander verbundene Netzwerke kontinuierlich auf unnötige Zugriffe und Sicherheitsrisiken geprüft werden.
- Incident-Response-Pläne testen durch regelmäßige Planspiele und den Einsatz von Tools zur Angriffssimulation.
In ihrer Gesamtheit können diese Maßnahmen Organisationen dabei helfen, ihre allgemeine Angriffsfläche zu verringern und ihre Widerstandsfähigkeit zu stärken.
Fazit
Der Vorfall bei T-Mobile ist weniger eine Lektion in grundlegender Netzwerkabwehr als vielmehr eine Erinnerung daran, zu überprüfen, ob bestehende Kontrollen einen Angriff eindämmen können, der über eine vertrauenswürdige Infrastruktur erfolgt.
Salt Typhoon zeigt, wie wichtig es ist, Annahmen zu Verbindungspunkten, Abhängigkeiten von Drittanbietern und Isolierungsfähigkeiten zu überprüfen, bevor diese Teil eines aktiven Vorfalls werden.
Die Nutzung von Zero Trust kann Organisationen dabei helfen, Risiken zu verringern, indem der Zugriff von Benutzern, Geräten, Anwendungen und miteinander verbundenen Umgebungen kontinuierlich validiert wird.