RATS, Bots und Reverse-Proxy-Phishing: Warum Cyberkriminelle die Schifffahrt im Visier haben

Cyberrisiken werden von vielen als unvermeidbar angesehen, doch lange Zeit war die relative Isolation der Schifffahrtsbranche gegenüber Bedrohungen ihr größter Vorteil. Aufgrund des geringen Datenvolumens und der niedrigen Bandbreite stellte die Schifffahrt ein bewegliches Ziel von vergleichsweise geringem Wert dar.

Das Aufkommen von LEO-Diensten mit hoher Durchsatzrate und geringer Latenz sowie VSAT- und 4/5G-Konnektivität hat die Schifffahrt in den Mainstream der Digitalisierung gebracht. Das Bedrohungsniveau ist entsprechend gestiegen, ebenso wie der Bedarf an Vorschriften, die zur Bewältigung des Risikos beitragen.

Bislang handelte es sich bei solchen Vorschriften um einen Flickenteppich, doch sie werden zunehmend zu einem einheitlichen Ganzen, da gesetzliche Leitlinien, freiwillige Systeme und Branchenstandards durch EU-Vorschriften ergänzt werden, die bei Nichteinhaltung mit hohen Geldstrafen drohen.

Der verstärkte Einsatz der Regulierungsbehörden kommt zum richtigen Zeitpunkt, da die Bedrohungen durch Cyberkriminelle weiter zunehmen und sowohl an Umfang als auch an Raffinesse gewinnen.

Der jüngste globale Bericht über Cyberbedrohungen in der Schifffahrt, erstellt vom Marlink Security Operations Centre (SOC), verdeutlicht die sich wandelnden Taktiken von Cyberkriminellen, die zunehmend versuchen, bisher wirksame Sicherheitskontrollen mit neuen Tools zu umgehen.

Das einzigartige maritime SOC von Marlink überwachte in der ersten Hälfte des Jahres 2024 aktiv mehr als 1.800 Schiffe, und die Daten zeigen, dass böswillige Aktivitäten in diesem Zeitraum im Vergleich zum Vorjahr deutlich zugenommen haben.

Analysten beobachteten einen anhaltenden Anstieg gängiger Bedrohungen wie Command-and-Control-Angriffe (C&C) sowie eine Weiterentwicklung von Botnetz-Angriffen, die sowohl an Zahl als auch an Komplexität zunehmen.

Phishing ist nach wie vor die führende Taktik, mit der Angreifer sich Zugang zu Unternehmensnetzwerken verschaffen, obwohl das SOC auch einen Anstieg des auf der Blacklist stehenden bösartigen Datenverkehrs feststellte. Dies unterstreicht, wie wichtig es ist, aktuelle Bedrohungsinformationen zu pflegen und strenge Sicherheitsrichtlinien anzuwenden, um unbefugte Verbindungen zu risikoreichen Websites zu verhindern.

Eine verbesserte Transparenz bei Ereignissen aus Endpoint-Protection-Lösungen (EDR), Firewalls und E-Mail-Sicherheit sowie der Kontext, den Intelligence-Funktionen liefern, haben es SOC-Analysten ermöglicht, tiefere Einblicke in die sich wandelnde Bedrohungslandschaft zu gewinnen.

Böswillige Akteure entwickeln ihre Angriffsmuster weiter und starten betrügerische Kampagnen, die bisher wirksame Sicherheitskontrollen wie die Zwei-Faktor-Authentifizierung umgehen, was die Verteidiger dazu zwingt, zu reagieren und das Sicherheitsniveau anzuheben, um den Betrieb zu schützen.

In der ersten Hälfte des Jahres 2024 folgte ein erheblicher Teil der vom SOC neutralisierten Bedrohungen weiterhin dem seit 2022 am häufigsten beobachteten Angriffsvektor: Phishing. In diesem Zeitraum war jedoch ein deutlicher Anstieg einer fortgeschritteneren Form zu verzeichnen, die als „Reverse-Proxy-Phishing“ bekannt ist.

Phishing ist eine klassische Methode für Cyberangriffe, bei der Angreifer sich als legitime Einrichtungen (wie Banken oder Dienstleister) ausgeben, um Nutzer dazu zu verleiten, sensible Informationen wie Anmeldedaten oder Finanzdaten preiszugeben. Traditionelles Phishing stützt sich oft auf gefälschte Websites oder betrügerische E-Mails, um Nutzerdaten zu erfassen.

„Reverse-Proxy-Phishing“ hingegen ist eine ausgefeiltere Variante. Anstatt einfach nur eine gefälschte Website zu erstellen, richtet der Angreifer einen „Proxy“ ein, der sich zwischen der legitimen Website und dem Opfer befindet. Dieser Proxy erfasst die Anmeldedaten des Nutzers und leitet sie in Echtzeit an die eigentliche Website weiter, sodass das Opfer den Eindruck hat, alles sei normal. Die Gefahr dieser Methode liegt darin, dass sie die Multi-Faktor-Authentifizierung (MFA) umgehen kann, die üblicherweise zum Schutz sensibler Systeme eingesetzt wird.

Reverse-Proxy-Phishing öffnet die Tür für schwerwiegende Cybersicherheitsbedrohungen wie C&C-Systeme, Botnets und Remote-Access-Trojaner (RATs). Sobald Angreifer Zugriff auf ein Netzwerk erlangt haben, können sie eine C&C-Infrastruktur einsetzen, um kompromittierte Systeme fernzusteuern. Dies könnte die Bildung von Botnets ermöglichen – große Netzwerke infizierter Geräte, die für böswillige Aktivitäten wie Distributed-Denial-of-Service-Angriffe (DDoS) genutzt werden.

Daten des Marlink SOC deuten auf eine zunehmende Raffinesse von Cyberbedrohungen hin, die auf den Schiffsbetrieb abzielen, die Grenzen bestehender Sicherheitsmaßnahmen ausreizen und einen proaktiven Ansatz von maritimen Unternehmen erfordern.

Für den maritimen Sektor können diese Angriffe erhebliche Auswirkungen auf den Betrieb haben, von der Störung der Schifffahrtslogistik bis hin zur Manipulation sensibler Kommunikationssysteme. Verzögerungen, Reputationsverlust und kostspielige Wiederherstellungsmaßnahmen sind nur einige der möglichen Folgen.

Als Reaktion darauf ist das Marlink SOC bestrebt, seine Überwachungsfähigkeiten durch den verstärkten Einsatz von Echtzeit-Bedrohungserkennung, KI-gestützter Verhaltensanalyse, Bedrohungsinformationen und stärkeren MFA-Lösungen zu verbessern.

Die Entwicklung der Bedrohungslage in den ersten sechs Monaten des Jahres 2024 hat weiterhin für Überraschungen gesorgt. Es ist klar, dass selbst Schiffsbetreiber, die bereits zuvor gegen Cyberbedrohungen vorgegangen sind, dies als einen kontinuierlichen Prozess betrachten müssen. Durch die Konzentration auf die Kombination aus Personal, Verfahren und Vorsichtsmaßnahmen können diese Unternehmen sich selbst und ihre Stakeholder besser schützen und so einen sichereren und widerstandsfähigeren Betrieb gewährleisten.