APT Angriffe erkennen ist für viele Sysadmins im Microsoft-Umfeld noch immer eine Blackbox. Der aktuelle Fall CHOSEN BRICK zeigt allerdings, wie konkret diese Bedrohung inzwischen geworden ist. FBI, NCSC und weitere Behörden warnen aktuell vor einer iranischen Hackergruppe, die gezielt Journalisten, Aktivisten und Dissidenten mit Windows-Malware angreift.
Der Fall CHOSEN BRICK: Wie iranische Hacker gezielt Windows-Systeme kompromittieren
Laut der gemeinsamen Sicherheitswarnung starten die Angreifer über Social Engineering per WhatsApp oder Telegram. Sie geben sich als Support-Mitarbeiter oder Kontakte aus und schicken präparierte Dateien, die als Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player oder KeePass getarnt sind.
Manche Köder nutzen sogar medizinische Dokumente wie angebliche MRT-Befunde, um Vertrauen zu schaffen. Die Opfer werden dazu gedrängt, die Datei auf privaten Geräten zu öffnen, um Unternehmensschutz zu umgehen. Im Hintergrund installiert sich CHOSEN BRICK still, trägt sich in die Registry Run Keys ein und legt eigene Defender-Ausnahmen an.
Die Steuerung läuft anschließend über einen individuellen Telegram-Bot, der zur jeweiligen Opfer-ID passt. Zusätzlich nutzt die Malware Cloud-Dienste wie VultrObjects oder StorjShare zur Exfiltration, neuere Varianten verschleiern den Traffic zudem über SOCKS5-Proxys.
Warum APT Angriffe erkennen anders funktioniert als bei gewöhnlicher Malware
Klassische Malware setzt auf Masse und schnellen Profit, staatliche Akteure dagegen auf Geduld. Ein Rechner bleibt oft monatelang unauffällig kompromittiert, bevor überhaupt Daten abfließen. Genau deshalb ist es so wichtig, APT Angriffe erkennen als eigenen Prozess zu begreifen und nicht nur auf Signaturen zu vertrauen.
Die Ziele sind zudem meist handverlesen: einzelne Personen, nicht ganze Netzwerke. Wer als Unternehmen Aktivisten, Journalisten oder Regimekritiker beschäftigt oder mit ihnen zusammenarbeitet, gerät dadurch schnell mit ins Visier.
Typische Angriffskette staatlicher Akteure
- Erstzugriff über Social Engineering per Messenger
- Persistenz via Registry Run Keys und Defender-Ausnahmen
- Rechteausweitung und Enumeration laufender Prozesse
- Laterale Bewegung im Netzwerk, sofern das Ziel dies zulässt
- Exfiltration über Telegram, Cloud-Speicher oder Proxy-Dienste
Warum klassischer Virenschutz gegen diese Angriffe oft blind ist
CHOSEN BRICK trägt sich selbst in die Defender-Ausnahmeliste ein, sobald es aktiv ist. Ein klassischer signaturbasierter Scan läuft dadurch ins Leere, weil der Agent den relevanten Pfad gar nicht mehr prüft.
Deshalb reicht Antivirus allein nicht aus, um APT Angriffe erkennen zu können. Nötig ist Verhaltensanalyse, die verdächtige Prozessketten, Netzwerkverbindungen und Registry-Änderungen zusammen betrachtet statt einzelne Dateien isoliert zu bewerten.
Microsoft Defender for Endpoint richtig konfigurieren
Attack Surface Reduction Regeln blockieren viele der Techniken, die CHOSEN BRICK nutzt, etwa das Nachladen von Payloads aus ungewöhnlichen Pfaden. Aktiviere sie testweise im Audit-Modus, bevor du sie erzwingst:
Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions AuditMode
Prüfe zudem regelmäßig, ob sich unbekannte Defender-Ausnahmen eingeschlichen haben, genau das ist bei CHOSEN BRICK ein zentrales Indiz:
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Mit Advanced Hunting im Defender-Portal lassen sich verdächtige Registry-Einträge gezielt suchen, was hilft, APT Angriffe erkennen im laufenden Betrieb zu automatisieren. Details zu den einzelnen Regeln findest du in der offiziellen Microsoft-Dokumentation.
Advanced Hunting Query gegen Persistenz-Techniken
DeviceRegistryEvents
| where RegistryKey has "CurrentVersion\\Run"
| where InitiatingProcessFileName !in ("explorer.exe")
| project Timestamp, DeviceName, RegistryKey, RegistryValueData
Sysmon als Ergänzung für erweiterte Protokollierung
Sysmon liefert deutlich mehr Kontext als Windows-Bordmittel, etwa Prozess-Hashes, Netzwerkverbindungen und Registry-Änderungen in einem Log. Wichtig ist eine schlanke, aber gezielte Konfiguration, die Rauschen vermeidet und die relevanten Events wie Process Creation (Event ID 1) und Network Connection (Event ID 3) erfasst.
Eine bewährte Basis liefert die SwiftOnSecurity-Konfiguration, die du an eure Umgebung anpassen solltest. Kombiniert mit Defender for Endpoint ergibt sich so ein deutlich klareres Bild, wenn du APT Angriffe erkennen willst, bevor Daten abfließen.
C2-Kommunikation im Netzwerk aufspüren
CHOSEN BRICK kommuniziert über die Telegram-API, teils über eigene Proxy-Dienste wie IPRoyal oder LightningProxies. Genau solche Verbindungen solltest du in Firewall- und Proxy-Logs gezielt filtern, auch wenn sie auf den ersten Blick harmlos wirken.
Mehr zu diesem konkreten Muster liest du im Artikel Malware per Telegram gesteuert. Achte zudem auf ungewöhnliche DNS-Anfragen zu Cloud-Speichern wie VultrObjects oder StorjShare, die im normalen Unternehmensalltag selten vorkommen.
Threat-Hunting-Checkliste: Worauf du konkret achten solltest
- Neue oder unbekannte Einträge in Registry Run Keys
- Frisch angelegte Defender-Ausnahmen ohne dokumentierten Grund
- Ausgehende Verbindungen zur Telegram-API von Nicht-Messenger-Prozessen
- Verbindungen zu VultrObjects, StorjShare, IPRoyal oder LightningProxies
- Neue Dateien unter C:\Windows\SysWOW64 ohne Signatur eines vertrauenswürdigen Herstellers
- Plötzliche Screenshot- oder Audioaufnahme-Aktivität ohne Nutzerinteraktion
Diese Checkliste hilft dir dabei, APT Angriffe erkennen als festen Bestandteil deines Monitorings zu etablieren, statt nur reaktiv zu handeln.
Härtungsmaßnahmen gegen gezielte Spionageangriffe
Conditional Access reduziert das Risiko, dass gestohlene Zugangsdaten sofort nutzbar sind, gerade wenn Angreifer versuchen, Sitzungen zu übernehmen. Wie du deine Entra ID Umgebung dagegen absicherst, erklärt der Beitrag Session-Token-Diebstahl: Wie Malware MFA aushebelt.
AppLocker oder WDAC verhindern zudem, dass als legitime Software getarnte Dateien überhaupt ausgeführt werden dürfen. Netzwerksegmentierung begrenzt außerdem den Schaden, falls ein einzelnes Endgerät kompromittiert wird, weil laterale Bewegung dadurch deutlich erschwert wird.
Reaktionsplan: Erste Schritte bei Verdacht auf eine APT-Kompromittierung
- Betroffenes Gerät vom Netzwerk isolieren, aber nicht sofort herunterfahren
- Registry Run Keys und Defender-Ausnahmen sichern und dokumentieren
- Netzwerkverbindungen zu bekannten IoCs aus der Behördenwarnung prüfen
- Betroffene Konten zurücksetzen und Sitzungen widerrufen
- Incident Response Prozess gemäß Plan starten
Wie so ein Prozess strukturiert abläuft, beschreibt der Artikel Incident Response Plan für Sysadmins im Detail. Beachte zudem, dass CHOSEN BRICK auch Dateien komplett löschen oder den gesamten Host wipen kann, ähnlich wie in unserem Beitrag zu Wiper-Malware beschrieben.
Fazit: APT Angriffe erkennen betrifft nicht nur Aktivisten und Journalisten
CHOSEN BRICK zielt zwar primär auf Einzelpersonen, doch sobald diese in Unternehmensnetzwerken arbeiten, ist die gesamte Infrastruktur mit betroffen. Wer APT Angriffe erkennen will, braucht daher eine Kombination aus Defender for Endpoint, Sysmon-Protokollierung und klaren Härtungsmaßnahmen.
Am Ende zählt vor allem eines: nicht auf den einen auffälligen Alarm warten, sondern die kleinen, unauffälligen Indizien konsequent zusammenführen.
FAQ
Wie kann man einen APT Angriff erkennen?
Achte auf unauffällige, aber dauerhafte Persistenz wie Registry Run Keys, neue Defender-Ausnahmen und ungewöhnliche Verbindungen zu Messenger-APIs oder Cloud-Speichern. Genau diese Kombination aus mehreren kleinen Auffälligkeiten hilft dabei, APT Angriffe erkennen zuverlässig umzusetzen.
Was macht die Malware CHOSEN BRICK genau?
CHOSEN BRICK sammelt Systeminformationen, macht Screenshots, zeichnet Audio auf und stiehlt Inhalte aus E-Mail, Telegram und WhatsApp. Zudem kann sie weitere Payloads nachladen oder im Extremfall den kompletten Host löschen.
Reicht klassischer Virenschutz gegen APT Angriffe aus?
Nein, da sich Malware wie CHOSEN BRICK selbst in die Defender-Ausnahmeliste einträgt und dadurch unsichtbar für signaturbasierte Scans wird. Verhaltensbasierte Erkennung über Defender for Endpoint und Sysmon ist deshalb zwingend nötig.
Sind nur Aktivisten und Journalisten von solchen Angriffen betroffen?
Primär zielen die Angreifer auf Einzelpersonen wie Dissidenten, Journalisten und Aktivisten ab. Sobald diese jedoch in Unternehmen arbeiten oder mit ihnen kommunizieren, gerät auch die Firmen-IT ins Visier.