«Klicklose» Angriffe – so funktionieren sie

Noch benötigen die meisten Cyberattacken irgendeine Form der Interaktion mit dem Opfer, sei es, dass es auf einen Link klickt, ein Makro zugelassen oder ein Programm gestartet wird, sei es, dass ein Passwort in eine manipulierte Webseite eingefügt wird. Doch in letzter Zeit werden vermehrt auch Angriffe beobachtet, die ganz auf dieses Mitwirken der Attackierten verzichten, was sie natürlich besonders bedrohlich macht. Es handelt sich dabei um «klicklose» Angriffe oder Zero-Click-Attacken.

«Wenn es keine Interaktion mit den Anwendern braucht, heisst das auch, dass es keine Möglichkeit gibt, die Anwender auf diese Art der Angriffe zu sensibilisieren», betont etwa Aamir Lakhani, Cybersecurity-Analyst bei Fortinets Fortiguard Labs in einem Podcast des Unternehmens.

Wie bei Angriffen, die eine Interaktion des Opfers benötigen, ist das Ziel von Zero-Click-Attacken meistens die Installation von Malware auf einem System. Allerdings sind diese Angriffe sehr knifflig, benötigen sie doch eine Schwachstelle, die erstens noch nicht bekannt ist, also eine Zero-Day-Lücke. Andererseits muss diese auch die geplanten Automatismen auszuführen erlauben. Diese Kombination bedeutet, dass die Lücken sehr teuer sind – sie können Millionen-Dollar-Beträge erreichen – und daher auch meist nur von staatlichen Akteuren nachgefragt werden.

Folglich handelt es sich bei den meisten der bislang bekannt gewordenen Zero-Click-Angriffen um Spionageprogramme, die auf Smartphones von hochkarätigen Opfern installiert wurden. Bekanntestes Beispiel ist dabei Pegasus der israelischen Firma NSO Group. Diese wurde in der Regel über entsprechende Exploits von passenden Zero-Day-Lücken ausgeliefert. Abnehmer waren Regierungen, welche die Spyware zur Strafverfolgung, für Spionagetätigkeit und in einigen Fällen auch zur Überwachung von Journalisten, Aktivisten und anderen interessanten Persönlichkeiten einsetzten.

Oft installieren sich diese Spionageprogramme über Messenger, da diese schon von ihrer Konzeption her, Dinge ohne das Zutun der Anwender ausführen. So ist es denkbar, dass Angreifer eine präparierte Nachricht an das Smartphone schicken, die dann via Push- und Benachrichtigungs-Funktion selbsttätig geöffnet wird, dadurch Malware installiert sowie sich nach getaner Arbeit durch die Timer- und Selbstlöschfunktionalität wieder selbst vernichtet.