Cyberangriff auf Ungarn: Hacker stürzt Finanzverwaltung ins IT-Chaos

Ein gezielter Schlag gegen die ungarische Behörden-IT

Ein schwerwiegender IT-Sicherheitsvorfall hat die ungarische Finanzverwaltung erschüttert. Wie aus Berichten hervorgeht, ist es einem Angreifer gelungen, tief in die internen Netzwerke einzudringen, Systeme zu verschlüsseln und sensible Daten zu entwenden. Der Vorfall konzentriert sich primär auf das ungarische Amt für Landwirtschaft und ländliche Entwicklung (MVH), dessen IT-Infrastruktur Ziel der Attacke wurde.

Das Finanzministerium in Ungarn bestätigte den Vorfall nach Medienberichten am vergangenen Wochenende. Der Angreifer, der in Sicherheitskreisen unter dem Pseudonym „ByteToBreach“ bekannt ist, konnte sich dabei weitreichende Befugnisse innerhalb der Behörden-IT verschaffen.

Die Ursache: Eine Sicherheitslücke mit langer Historie

Die technische Analyse des Vorfalls offenbart ein Versäumnis, das Experten als kritisch einstufen. Als Einfallstor diente eine Sicherheitslücke in der Software Oracle Weblogic. Das Besorgniserregende daran: Ein entsprechender Sicherheitspatch für diese Schwachstelle steht bereits seit Oktober 2017 zur Verfügung. Die ungarische Finanzverwaltung hat es demnach über einen Zeitraum von fast neun Jahren versäumt, das betroffene System auf den aktuellen Stand zu bringen.

Dieser Umstand ermöglichte es dem Angreifer, über den Weblogic-Server in das interne Netzwerk vorzudringen und dort systematisch nach weiteren Schwachstellen zu suchen. Laut Sicherheitsexperten konnte sich der Hacker dadurch nahezu ungehindert im gesamten System bewegen.

Ausmaß des Zugriffs und Datenabfluss

Der Angreifer agierte mit hoher Präzision. Berichten zufolge erlangte er in praktisch allen kritischen Systemen des MVH Administratorrechte. Zu den kompromittierten Bereichen gehören:

* Der Domaincontroller der Windows-Umgebung.

* Eine Datenbank mit sämtlichen Zugangsdaten der Behördenmitarbeiter.

* Die administrative Kontrolle über die gesamte Virtualisierungsumgebung.

* Zugriff auf 116 virtuelle Maschinen sowie alle zugehörigen Speichermedien und Back-ups, was ein Datenvolumen von insgesamt 229 Terabyte umfasst.

Im Gegensatz zu einem früheren Angriff auf die rumänische Katasterbehörde, bei dem Datenbestände vollständig gelöscht wurden, wählte der Hacker in Ungarn eine andere Strategie. Er verschlüsselte lediglich die Arbeitsplatzrechner einzelner Mitarbeiter. Parallel dazu wurden Daten exfiltriert, die ByteToBreach anschließend in einem Hackerforum zum Kauf anbot.

Hintergrund zum Angreifer: Finanzielles Motiv statt politischer Agenda

Analysen der Sicherheitsfirmen TLP Black und Kela deuten darauf hin, dass die Motivation hinter dem Angriff primär finanzieller Natur ist. Der Akteur ByteToBreach ist bereits in der Vergangenheit durch Attacken auf diverse Institutionen aufgefallen, darunter Universitäten, Banken, Fluggesellschaften und weitere Regierungsorganisationen.

Für seine Aktivitäten nutzt der Hacker eine eigens entwickelte Ransomware namens „ByteToCrypt“. Sicherheitsexperten weisen jedoch darauf hin, dass diese Software eine eher fragile Verschlüsselungsimplementierung aufweist. Dennoch unterstreicht der aktuelle Vorfall die Gefahr, die von veralteter Software in behördlichen Netzwerken ausgeht.

Implikationen für die IT-Sicherheit

Der Vorfall in Ungarn verdeutlicht die drastischen Folgen mangelhafter Patch-Management-Prozesse. Wenn kritische Sicherheitslücken über Jahre ignoriert werden, entstehen Einfallstore, die Angreifern den Zugriff auf sensible Infrastrukturen erleichtern. Die Tatsache, dass ein Angreifer Administratorrechte auf Domaincontrollern und Back-up-Systemen erlangen konnte, zeigt, wie wichtig eine strikte Segmentierung und Überwachung interner Netzwerke ist.

Für die betroffene Behörde dürften die nächsten Schritte in einer umfassenden forensischen Untersuchung sowie der Wiederherstellung der Systeme aus sauberen Back-ups bestehen. Zudem steht die Frage im Raum, wie die IT-Sicherheitsrichtlinien innerhalb der ungarischen Verwaltung angepasst werden müssen, um derartige Sicherheitslücken in Zukunft konsequenter zu schließen.