Cyber-Angriffe ohne Zutun der Opfer – so funktionieren sie

Noch benötigen die meisten Cyberattacken eine Form der Interaktion mit dem Opfer, sei es, dass es auf einen Link klickt, ein Makro zugelassen oder ein Programm gestartet hat, sei es, dass ein Passwort auf einer manipulierten Webseite eingegeben wird. Doch in letzter Zeit werden vermehrt auch Angriffe beobachtet, die ganz auf dieses Mitwirken der Attackierten verzichten, was sie besonders bedrohlich macht. Es handelt sich dabei um klicklose Angriffe oder Zero-Click-Attacken.

«Wenn es keine Interaktion mit den Anwendern braucht, heisst das auch, dass es keine Möglichkeit gibt, die Anwender für diese Art der Angriffe zu sensibilisieren», betont etwa Aamir Lakhani, Cybersecurity-Analyst bei Fortinets Fortiguard Labs in einem Podcast des Unternehmens.

Wie bei Angriffen, die eine Interaktion des Opfers benötigen, ist das Ziel von Zero-Click-Attacken meistens die Installation von Malware auf einem System. Allerdings sind diese Angriffe sehr knifflig, benötigen sie doch eine Schwachstelle, die erstens noch nicht bekannt ist, also eine Zero-Day-Lücke. Zweitens muss diese auch die geplanten Automatismen auszuführen erlauben. Diese Kombination bedeutet, dass die Lücken sehr teuer sind – sie können Millionen-Dollar-Beträge erreichen – und daher auch meist nur von staatlichen Akteuren nachgefragt werden.

Folglich handelt es sich bei den meisten der bislang bekannt gewordenen Zero-Click-Angriffe um Spionageprogramme, die auf Smartphones von hochkarätigen Opfern installiert wurden. Bekanntestes Beispiel ist dabei Pegasus von der israelischen Firma NSO Group. Diese wurde in der Regel über entsprechende Exploits von passenden Zero-Day-Lücken ausgeliefert. Abnehmer waren Regierungen, welche die Spyware zur Strafverfolgung, für Spionagetätigkeit und in einigen Fällen auch zur Überwachung von Journalisten, Aktivisten und anderen relevanten Persönlichkeiten einsetzten.

Oft installieren sich solche Spionageprogramme über Messenger, da diese schon von ihrer Konzeption her Dinge ohne das Zutun der Anwender ausführen. So ist es denkbar, dass Angreifer eine präparierte Nachricht an das Smartphone schicken, die dann via Push- und Benachrichtigungs-Funktion selbsttätig geöffnet wird, dadurch Malware installiert sowie sich nach getaner Arbeit durch die Timer- und Selbstlöschfunktionalität wieder selbst vernichtet.