Strukturierte Evasion als Standard
Cyberkriminelle haben ihre Operationen professionalisiert – nicht zuletzt durch dokumentierte OPSEC-Playbooks, die wie Handbücher funktionieren. Der Sicherheitsanbieter Flare hat diese Anleitungen analysiert und zeigt, wie Threat Actors ihre Aktivitäten systematisch verschleiern.
Die Architektur der Verschleierung
Die Playbooks folgen einem bewährten Schema: Layered Infrastructure steht dabei an erster Stelle. Statt direkter Verbindungen zwischen Command-and-Control-Servern und Zielsystemen nutzen Akteure mehrschichtige Proxy-Netzwerke. Diese Zwischenschichten machen es Security-Teams deutlich schwerer, die tatsächliche Quelle einer Attacke zu lokalisieren.
Identity Separation ist die zweite Säule. Hier werden mehrere Identitäten und Personas aufgebaut – jede mit eigenen Zugangsdaten, Email-Adressen und Kommunikationskanälen. Das verhindert, dass ein einzelner kompromittierter Account die gesamte Operation gefährdet.
Langfristige Strategien statt Quick Wins
Was die Playbooks besonders bemerkenswert macht: Sie beschreiben keine kurzfristigen Attacken, sondern Dauerpräsenz. Threat Actors planen ihre Operationen auf Monate oder Jahre aus. Sie verwenden legitimitime Tools und Dienste, um nicht aufzufallen – ein Ansatz namens Living off the Land.
Dazu gehört auch die sorgfältige Timing-Planung: Operationen werden zeitlich so gestreut, dass sie nicht im Muster-Erkennungssystem auffallen. Akteure wechseln regelmäßig zwischen Ruhepausen und Aktivität.
Was das für Unternehmen bedeutet
Die Existenz dieser strukturierten Playbooks signalisiert einen Wandel: Cybercrime wird immer mehr zur organisierten Aktivität mit definierten Standards. Das erschwert Abwehr. Gleichzeitig bietet es aber auch einen Vorteil: Wenn die Playbooks befolgt werden, entstehen erkennbare Muster.
Unternehmen sollten deshalb nicht nur auf einzelne Indikatoren (IOCs) fokussieren, sondern auf Verhaltensanalyse und anomale Aktivitäten achten – insbesondere:
- Unerwartete Proxy-Nutzung
- Mehrfach-Authentifizierungsanomalien
- Zeitlich ungewöhnliche Administratoraktivitäten
- Laterale Bewegung über längere Zeiträume
Die Publikation dieser Evasions-Playbooks zeigt auch, dass Cyberkriminelle ihre Methoden teilen und standardisieren. Das ist gleichzeitig ihre Stärke und ihre Schwäche – wer die Spielregeln kennt, kann sie auch antizipieren.