Lösungsübersicht:

• Der Flughafen implementierte die IBM Security® QRadar® EDR-Software, welche die NanoOS-Technologie für eine herausragend transparente Übersicht über Endpunkte und Infrastruktur einsetzt.       
                
• Die Behavioral Engines von QRadar EDR arbeiten ohne Einschränkungen in isolierten Netzwerken.
  
  
• Mithilfe leistungsstarker Funktionen zur Bedrohungssuche kann der Flughafen Vorfälle rekonstruieren und analysieren.

Der Flughafen nutzte die IBM Security QRadar EDR-Software, um einen Hygienecheck des Air-Gap-Netzes durchzuführen, da manche Endpunkte langsam erschienen. Nach dem Einsatz von QRadar EDR in einem ersten Segment entdeckten die Engines potenziell bösartige Aktivitäten, die von einer kleinen Anzahl von Geräten ausgingen. Die erste Analyse deutete auf einen öffentlichen Kiosk als ersten Eingangspunkt hin. Eine weitere Analyse legte jedoch einen zweiten Eingangspunkt offen: ein Gerät im Check-in-Bereich. Diese beiden Malware-Vektoren konnten sich auf eine beschränkte Anzahl von Geräten in verschiedenen Netzwerksegmenten ausbreiten.

Die durch die von der QRadar EDR-Plattform geschaffene Transparenz ermöglichte die Rekonstruktion des Vorfalls von Anfang an. So konnte die Infektion sicher behoben werden, ohne die Business-Continuity des Flughafens zu beeinträchtigen.

Ursachenanalyse

Im Rahmen der ersten Bereitstellung wurden mehrere Verhaltensanomalien erkannt. So installierte eine Anwendung einen Keylogger im Speicher, indem sie ihn in eine versteckte Instanz des Standardbrowsers einfügte. Danach konnte ein anderer Thread die Festplatte nach Microsoft Word-Dateien, PDF-Dateien, Cookies und Browser-Datenbanken durchsuchen. Diese Informationen wurden in einem versteckten Verzeichnis gesammelt, wonach der Versuch unternommen wurde, sie in regelmäßigen Abständen an einen Command-and-Control-Server (C2) zu senden. Diese Versuche waren jedoch nicht erfolgreich, da das Netzwerk vollständig von der Außenwelt isoliert war.

Eine eingehendere Untersuchung des Infektionsvektors führte zu interessanten Ergebnissen: Der Vektor war ungewöhnlich groß und enthielt eine Reihe von Mechanismen, die nicht nur die lokale Antivirus-Software, sondern auch eine Sandbox-Analyse umgehen sollten. Die große Größe war höchstwahrscheinlich Teil eines Versuchs, eine Antiviren-Emulations-Engine zu umgehen, da derartige Systeme normalerweise einen kleinen Teil der gesamten Binärdatei emulieren.

Am Ende konnten zwei verschiedene Vektoren erkannt werden: einer, der in einem öffentlichen Kiosk installiert war, und ein anderer, der sich auf einem Gerät befand, das zum Sensor des Check-in-Managementnetzwerks gehörte. Obwohl beide Vektoren ein unterschiedliches Erscheinungsbild hatten – hauptsächlich aufgrund einer großen Menge von Junk-Anweisungen, die eine Erkennung verhindern sollten – handelte es sich anscheinend um dieselbe Malware. Sie versuchte in beiden Fällen, denselben C2-Server zu kontaktieren, und wies dieselben Verhaltensweisen auf.

Rekonstruktion des Angriffs

Wenn QRadar EDR erst nach einem Verstoß implementiert wird, sind nicht alle Informationen verfügbar. Die native Infrastruktur nimmt nur minimale Protokollierung auf Betriebssystemebene vor. Trotz der geringen Informationsmenge konnte eine Folgeanalyse zeigen, dass die Infektion fünf Monate zuvor erfolgt war. Die beiden Endpunkte wurden im Abstand von wenigen Tagen von zwei verschiedenen USB-Laufwerken infiziert. Andere Endpunkte wurden von einem dieser Vektoren hauptsächlich aufgrund schwacher Passwörter infiziert, die die Malware auf jedem Gerät, mit dem sie sich verbinden konnte, abzugleichen versuchte. Die Malware konnte durchgehend Informationen sammeln und schien nicht über eine Aufbewahrungssteuerung oder Speicherbeschränkungen zu verfügen. Alle acht Stunden erfolgte der Versuch, eine Verbindung zu dem C2-Server herzustellen. Dies war aufgrund des Air-Gap-Netzes jedoch nicht erfolgreich.

Die abschließende Analyse zeigte, dass die Malware zwar über die Fähigkeit zur Selbstreplikation verfügte und ihren Speicher automatisch auf ein externes USB-Laufwerk kopieren konnte, diese Funktion jedoch nicht aktiviert war. Vermutlich sollte die Exfiltration manuell eingeleitet werden.

Reaktion und Korrektur

Der Flughafen nutzte das Korrekturmodul in QRadar EDR, um die infizierten Geräte zu bereinigen und die erkannten Sammelordner löschen, um so ein Datenleck zu verhindern. Die Threat-Hunting-Schnittstelle der Lösung spielte eine entscheidende Rolle dabei, die Abwesenheit desselben Vektors in der gesamten Infrastruktur zu bestätigen, mit Ausnahme der bereits identifizierten infizierten Geräte. Der Flughafen führte zudem eine verhaltensorientierte Suche durch, um sicherzustellen, dass keine weiteren Instanzen der Malware unerkannt auf anderen Geräten aktiv waren. Man verfolgte alle erkannten Verhaltensweisen, permanenten Bedrohungen und Datenerfassungsmethoden so lange, bis bestätigt werden konnte, dass dieser Vektor und seine Varianten nicht mehr in der Infrastruktur vorhanden waren.

Schließlich etablierte das lokale Sicherheitsteam strengere Regeln für die Kontrolle von internem Datenverkehr. Der öffentliche Teil des Netzwerks wurde vom operativen Teil getrennt und das lokale Sicherheitsteam führte eine kontinuierliche Überwachung der Endpunkte und regelmäßige Kampagnen zur Verfolgung von Bedrohungen ein.

Air-Gap-Netze können hohe Sicherheit bieten, allerdings auch ein falsches Sicherheitsgefühl vermitteln, wenn sie nicht auf strenge Weise implementiert sind. Obwohl die Motivation hinter dem Angriff unklar bleibt, da Daten erfasst, aber nie ausgelesen wurden, können wir mit großer Sicherheit annehmen, dass den Angreifern die Tür zur Infrastruktur offen stand. Nicht nur, um Informationen zu erhalten, sondern auch, um den Betrieb des Flughafens aktiv zu schädigen. Ein einfacher Ransomware-Angriff auf den Check-in-Bereich hätte unweigerlich zu Verzögerungen geführt. Derselbe Angriff auf den Sicherheitsbereich hätte es ermöglicht, Flüge vollständig zu blockieren und schwerwiegende Folgen zu verursachen. 

Dieser große internationale Flughafen ist einer der größten Verkehrsknotenpunkte der Welt. Mit 70 Millionen Passagieren pro Jahr und über 1.000 Flügen pro Tag gilt die Einrichtung als kritische Infrastruktur.