- Ein Cybervorfall, der Teile des Teile- und Distributionsgeschäfts von Boeing betraf, führte zur Veröffentlichung von 45 GB Daten und wurde damit zu einem Fall, in dem eine Ransomware-Erpressung in ein tatsächliches Leak mündete
- Die mit Russland in Verbindung gebrachte Hackergruppe LockBit reklamierte den Angriff am 27. Oktober für sich und warnte, sie werde sensible Daten veröffentlichen, falls Boeing nicht fristgerecht Kontakt aufnehme
- Boeing räumte den Vorfall ein, erklärte jedoch in einer E-Mail an Cybersecurity Dive vom 2. November, dass das Problem keine Auswirkungen auf die Flugsicherheit habe
- Zu den veröffentlichten Materialien gehörten Citrix-Dateien, Sicherheitskontrollen, E-Mail-Backups und mehr; der Sicherheitsanalyst Dominic Alvieri sagte, auch Unternehmens-E-Mails seien geleakt worden
- Das MalwareHunter Team geht davon aus, dass die Daten offenbar von Aviall stammen, einem Unternehmen, das Boeing 2006 übernommen hat; wie weit die Systeme beider Unternehmen in den vergangenen 17 Jahren integriert wurden, könnte den Umfang des Angriffs bestimmen
LockBits Veröffentlichung von Boeing-Daten
- Die Ransomware-Gruppe LockBit reklamierte am 27. Oktober die Verantwortung für den Angriff auf Boeing
- Auf ihrer Datenleak-Seite veröffentlichte sie die Drohung, sensible Daten offenzulegen, falls Boeing nicht innerhalb der Frist Kontakt aufnehme
- Nach Ablauf der Frist am 10. November veröffentlichte sie rund 45 GB Unternehmensdaten von Boeing online
- Boeing bestätigte den Hack am selben Tag
- In einer E-Mail an Cybersecurity Dive vom 2. November erklärte das Unternehmen, man sei über einen „Cybervorfall informiert, der Teile des Teile- und Distributionsgeschäfts betrifft“
- In derselben E-Mail erklärte Boeing, das Problem habe keine Auswirkungen auf die Flugsicherheit
- Zu den geleakten Materialien gehören Dateien des Cloud-Computing-Unternehmens Citrix, Sicherheitskontrollen, E-Mail-Backups und weitere Daten
- Der Sicherheitsanalyst Dominic Alvieri sagte The Register, Unternehmens-E-Mails seien Teil der geleakten Materialien
- Alvieri habe zwar nicht den gesamten Datensatz eingesehen, schätzte aber, dass Boeing-E-Mails und einige Materialien für bösartige Zwecke nützlich wirken
Möglichkeit Aviall und Umfang des Angriffs
- Nach Prüfung der geleakten Materialien bewertete das MalwareHunter Team, dass die Daten offenbar von Aviall stammen
- Aviall ist ein Teile-Distributor, den Boeing 2006 übernommen hat
- Die Schwere des Angriffs hängt davon ab, wie stark die Systeme von Aviall und Boeing in den vergangenen 17 Jahren integriert wurden
- Falls die Netzwerke der beiden Unternehmen nicht stark zusammengeführt wurden und LockBit nur das Aviall-Netzwerk unter Kontrolle brachte, sei das für Boeing ein Problem auf dem Niveau „einfach schlecht“
- Bei einem hohen Grad an Netzwerkintegration könnte die Schwere des Angriffs größer sein als bislang bekannt
1 Kommentare
Hacker-News-Kommentare
Aus Sicht von jemandem, der in der Rüstungsindustrie arbeitet, sind 45 GB unverschlüsselte E-Mails aus kommerzieller Sicht kaum etwas wert und auch aus Sicht der nationalen Sicherheit kein großes Ereignis.
Eher könnten sie für einzelne Mitarbeiter gefährlicher sein als für das Unternehmen oder den Staat.
Anders gesagt: Wenn diese Daten wirklich wertvoll gewesen wären, hätte die Ransomware-Gruppe sie nicht kostenlos veröffentlicht.
Der plausibelste Grund, warum nicht gezahlt wurde, ist, dass Strafverfolgungsbehörden eingeschaltet waren und diese Lösegeldzahlungen ablehnen oder sogar ein Verbot prüfen.
Das bedeutet überhaupt nicht, dass die Daten wertlos sind; sie enthalten Zugangsdaten für Citrix-Geräte, was zu weiteren Kompromittierungen führen könnte, wenn Boeing seine Sicherheitslage nicht verbessert.
Wer sich jedoch auf den eigenen Beruf beruft und dann so spricht, als seien Einzelpersonen unwichtig und nur kommerzielle Akteure relevant, liegt je nach Verteidigungsfunktion womöglich daneben.
Obwohl ich nur ein einfacher Ingenieur im Unternehmen bin, erzeugen Automatisierungssysteme und E-Mails aus Confluence eine riesige Menge an Massenbenachrichtigungen, die fast nie Spam sind, aber nur manchmal nützlich.
Wenn es 500 TB E-Mails wären, wäre das besorgniserregend, aber 45 GB wirken eher wie die Kompromittierung eines einzelnen Kontos.
Es könnte ein paar interessante vertrauliche E-Mails geben, die unternehmensweit oder an ganze Abteilungen gingen, aber insgesamt scheint das wenig Wert zu haben, und deshalb war Boeings Entscheidung, nicht zu zahlen, meiner Meinung nach richtig.
Selbst Kriminelle, die Passwörter stehlen, durchforsten Konten manchmal nicht auf der Suche nach maximalem Gewinn, sondern verkaufen sie lieber in großen Mengen billig weiter und waschen ihre Hände in Unschuld.
Auch hier könnte es darum gehen, anderen hochwertigen Zielen zu zeigen, dass sie es ernst meinen.
Für Außenstehende ist der Zugriff auf 45 GB der einfache Teil; um das nun auszunutzen, müsste man erst einmal ein Unternehmen und eine Lieferantenbasis in der Größenordnung von Boeing aufbauen.
Es könnte etwa genutzt werden für Aussagen wie: „Es ist dasselbe Teil, aber Sie zahlen 50 Dollar mehr pro Stück.“
Selbst wenn man ein Teil kopiert, dürfte der Export wohl nur erlaubt sein, wenn man Teil der ursprünglichen Lieferkette und Zertifizierungsstruktur ist.
Ich erinnere mich nicht mehr genau daran, und eine schnelle Google-Suche ergibt auch nicht viel, aber ich frage mich, ob solche Leaks dem betroffenen Unternehmen jemals wirklich massive Probleme bereitet haben.
In den letzten zwei Jahren gab es ziemlich viele ähnliche Leaks, aber Markt und Öffentlichkeit wirkten meist recht gleichgültig.
Natürlich sind 45 GB eine Menge, und wenn wirklich furchtbare Dinge darin gewesen wären, hätte Boeing vermutlich das Lösegeld gezahlt und niemandem etwas davon erzählt.
Wird Boeing tatsächlich negative Folgen spüren? Dass es verwundbar war, ist ein Makel, aber dass nicht gezahlt wurde, könnten viele auch positiv sehen.
Welche Folgen dieser Leak danach hatte, weiß ich allerdings nicht genau.
https://slate.com/human-interest/2014/12/sony-pictures-hack-...
Selbst wenn Airbus eines Tages vor Boeing ein neues Flugzeug baut oder einen lukrativen Vertrag gewinnt, werden wir vielleicht nie wissen, ob das einfach so passiert ist oder ob Wissen aus diesen Daten dabei geholfen hat.
45 GB können gewaltig viel sein oder auch nur die Marketing-Präsentationen einiger weniger Leute.
Ich würde gern sehen, was die letzte verantwortliche Person tatsächlich gesagt hat, als man ihr mitteilte, dass MCAS nicht funktioniert.
Es wäre auch Popcorn wert zu sehen, mit welchen Formulierungen nach den ersten rund 150 Todesopfern Schadensbegrenzung betrieben wurde und wie man auf den nächsten Vorfall reagierte.
Ich habe den Eindruck, dass es gerade erst einen Fall gab, in dem eine Ransomware-Gruppe die Vereinbarung gebrochen und die Daten einfach veröffentlicht hat.
Damit zerstören sie im Grunde ihr eigenes Geschäftsmodell.
Wenn Unternehmen X nicht darauf vertrauen kann, dass eine kriminelle Organisation ihr Wort hält, warum sollte es dann überhaupt zahlen?
Boeing muss die Folgekosten der Datenschutzverletzung ohnehin tragen; es gibt also keinen Grund, zusätzlich auch noch Kriminelle zu bezahlen.
Dadurch würde die Glaubwürdigkeit echter Ransomware-Gruppen massiv sinken.
Ethischer wäre es, wenn die Daten unwichtig oder verschlüsselt wären.
Die Medien würden trotzdem berichten, und die öffentliche Wahrnehmung könnte sich ändern.
Noch besser wäre es, sich heimlich mit dem „Ziel“ des Hacks abzustimmen, damit der ganze Vorfall zu einem harmlosen Schauspiel wird und zugleich der Anreiz für Datenerpressung sinkt.
Man müsste ein zentrales Justizsystem aufbauen, um schlechte Ransomware-Akteure zu identifizieren und auszuschließen.
Das erste Lösegeld dient dazu, den Entschlüsselungsschlüssel für die Zieldaten zu bekommen, und das zweite Lösegeld dazu, die Veröffentlichung der entschlüsselten Daten zu verhindern.
Gibt es in diesem Dump irgendetwas „Brauchbares“?
Im Artikel werden Citrix und E-Mails erwähnt, aber das kann alles Mögliche bedeuten.
Ein E-Mail-Dump und andere Daten können für weitere Angriffe oder Attacken auf Mitarbeitende nützlich sein.
Das interne Security-Team wird zwar alles durchsehen, könnte aber etwas übersehen, und personenbezogene Daten können selbst dann für Betrug missbraucht werden, wenn man sich ihrer bewusst ist.
Für Regierungen wie China oder für Boeings Luftfahrt- und Rüstungswettbewerber wäre es eine Goldgrube, falls sie nicht ohnehin schon Zugriff hatten.
Boeing arbeitet viel in den Bereichen nationale Sicherheit und Raumfahrt.
Was einmal im Internet ist, verschwindet fast nie wieder.
Die USA sollten Lösegeldzahlungen verbieten und gegen Personen, die solche Zahlungen leisten oder genehmigen, Haftstrafen verhängen.
Mit einem solchen Gesetz würden Unternehmen das Risiko einer Zahlung nicht eingehen, und Ransomware-Gruppen würden US-Unternehmen vermutlich seltener ins Visier nehmen.
Trotzdem hält das Unternehmen nicht davon ab, zu zahlen.
Ein Krankenhaus würde dann zwischen dem Verstoß gegen den Gesetzestext und dem Inkaufnehmen vieler Todesfälle abwägen müssen.
[1] https://www.gma-cpa.com/technology-blog/paying-ransom-on-a-r...
[2] https://cbs12.com/news/cbs12-news-i-team/hospital-ransomware...
„Schon gut, hier ist das Geld.“
„Danke. Wenn du mir nicht noch einmal 10.000 Dollar gibst, melde ich den Behörden die Transaktion von gerade eben.“
Eine vor ein paar Wochen gehackte Schönheitsklinik könnte zum Beispiel zu dem Schluss kommen, dass sie zumindest versuchen sollte zu verhindern, dass die Krankenakten und Vorher-Nachher-Fotos von Operationen ihrer Patienten veröffentlicht werden.
Wenn Lösegeldzahlungen illegal wären, könnten die medizinischen Daten und Fotos aller Patienten offengelegt werden, und das wäre ein Albtraum.
Ich frage mich, ob das auf Seiten von Boeing als ITAR-Verstoß gewertet werden würde.
Die Regierung müsste Zahlungen von Unternehmen an Ransomware-Gruppen einfach verbieten.
Dann würde das Geschäftsmodell von Ransomware verschwinden, und Unternehmen müssten sich auf echte Sicherheit konzentrieren, statt darauf zu hoffen, potenzielle Probleme mit Geld lösen zu können.
Die Gesellschaft würde kurzfristigen Schmerz in Kauf nehmen und langfristig eine bessere Lösung bekommen.
Unternehmen engagieren teure „Spezialisten“ und „Berater“, die dann stillschweigend die Ransomware-Gruppe bezahlen.
Wenn es sich um eine mit Russland verbundene Cybergruppe handelt, sollte man die darin enthaltenen sensiblen Informationen ohnehin bereits als öffentlich bekannt betrachten.
Warum also bezahlen?