Cybersicherheit in der Halbleiterbranche Wie NXP jahrelang unbemerkt ausspioniert wurde

Anbieter zum Thema

Foxit Europe GmbH

NXP Semiconductors

ALE Deutschland GmbH

Vitel GmbH

Wie wichtig Cybersicherheit zum Schutz von Geschäftsgeheimnissen und geistigem Eigentum in aktuellen Zeiten ist, wird oft betont, aber vielleicht nicht ganz so oft ernst genommen. Als ein Mahnbeispiel dient der Hack von NXP. Der Halbleiter-Hersteller wurde jahrelang unbemerkt ausspioniert.

Die Redakteure des niederländischen Mediums NRC Handelsblad haben in einem umfangreichen und lesenswerten Bericht detaillierte Infos rund um einen großangelegten Hack des niederländischen Halbleiter-Entwicklers und -Herstellers NXP Semiconductors veröffentlicht. Die Infiltration des Firmennetzwerks und der Klau der Daten von NXP dauerte etwa zweieinhalb Jahre an – von 2017 bis zum Frühjahr 2020 – bis er entdeckt wurde.

Ähnlich wie bei der jüngst bekannt gewordenen Geschäftsgeheimnissache von Valeo und Nvidia spielte der Zufall wieder eine Rolle bei der Entdeckung. Denn erst durch einen Angriff auf das Reservierungssystem der Air-France-KLM-Tochtergesellschaft Transavia fanden Ermittler einen Hinweis darauf, dass Hacker auch in Eindhoven Schindluder trieben – in Eindhoven befindet sich der Hauptsitz von NXP.

Wie sind die Hacker in die Systeme von NXP eingedrungen? Und konnte herausgefunden werden, wer für die Angriffe verantwortlich war? Wir fassen Ihnen die interessantesten Details zusammen – den originalen Bericht finden Sie bei NRC Handelsblad (hinter der Paywall).

Wie Cyberspione bei NXP einbrachen

Laut der Recherche von NRC kam es also zu folgenden Geschehnissen: Im Oktober 2017 drangen die Hacker über reguläre Konten von NXP-Mitarbeitenden in das Unternehmensnetzwerk ein, um erst einmal einen Fuß in die Tür zu bekommen. Die Daten stammten aus früheren Lecks anderer Online-Webdienste, wie etwa LinkedIn und Facebook.

Mittels jeder Menge Rechenleistung wurden die Passwörter erraten (Brute-Force-Angriff), die den Zugang zum VPN schützten. Die zweifache Authentifizierung des Zugangs via Telefonnummern hebelten die Angreifer aus, indem sie die Telefonnummern für den Vorgang änderten.

Sobald sich die Unbefugten auf einem ersten Rechner einnisten konnten, erweiterten sie ihre Zugriffsrechte und verwischten dabei kontinuierlich ihre Spuren, um sich zu den sensiblen Daten vorzuarbeiten. Diese Daten wiederum wurden über Cloud-Speicherdienste entwendet. Alle paar Wochen sollen die Hacker vorbeigeschaut haben, um zu sehen, ob es neue, interessante NXP-Daten gab oder ob sie in weitere Benutzerkonten oder Teile des Netzwerks eindringen konnten.

Der Hack von Transavia

Im September 2019 verschafften sich Hacker Zugang zum Reservierungssystem der Fluggesellschaft Transavia. Es dauert über einen Monat, bis dieser Angriff bemerkt und Sicherheitsexperten der FoxIT-Gruppe für Untersuchungen hinzugezogen wurden. Wiederum ein Monat verging, bis die Sicherheitslücke gestopft worden war; 83.000 Passagierdaten inklusive Adressen und Telefonnummern waren dabei gestohlen worden.

Bei den Untersuchungen der Netzwerkdaten wurde dann offensichtlich, dass die Hacker Verbindungen zu IP-Adressen in Eindhoven hergestellt haben. Im Januar 2020 erfuhren die Verantwortlichen von NXP davon, die umgehend die Leute von FoxIT zurate zogen. Der Hack wurde im Jahresbericht von NXP für 2019 erwähnt, doch es ließ sich zu diesem Zeitpunkt, und auch in den beiden Folgejahren, weiterhin nicht abschätzen, wie groß der Schaden nach dem Diebstahl der sensiblen Daten sein würde. Denn wie viele Daten gestohlen wurden, konnte nicht herausgefunden werden.

Dagegen stellte es weniger ein Problem dar, die Vorgehensweise der Hacker herauszufinden. Die Daten wurden über Cloudservices entwendet. Der Ablauf eines solchen Vorgangs hielten die Mitarbeitenden von FoxIT in einem Beitrag (Abusing cloud services to fly unter the radar) fest, der mittlerweile gelöscht wurde, allerdings noch über das Web-Archiv aufrufbar ist.

Spur nach Asien

Anhand der vorliegenden Vorgehensweisen schließen die Sicherheitsexperten, dass es sich bei den Angreifern um eine Gruppe handelt, die in den Jahren 2018 und 2019 in die Systeme von wenigstens sieben Chipherstellern in Taiwan eingedrungen sind. Diese Angriffe wurden vom Sicherheitsunternehmen CyCraft untersucht und die Ergebnisse legen nahe, dass es sich um einen umfangreichen und koordinierten Angriff auf den Hsinchu Science Park gehandelt hat. An diesem Standort befindet sich unter anderem der Hauptsitz des Chipherstellers TSMC.

Die Angreifergruppe wurde aufgrund der Nutzung einer modifizierten Version eines Datenkompressionsprogramms, ChimeRAR, Chimera getauft. CyCraft bezeichnete Chimera als professionell agierende und fortschrittliche Bedrohung, die chinesischen Interessen dienen soll. Ziel sei es, Dokumente über Chips, Designs und Software für Halbleiter sowie Quellcodes zu stehlen. „Als die niederländischen und taiwanesischen Sicherheitsexperten 2021 ihre Daten miteinander verglichen, stellten sie fest, dass von den insgesamt 67 verwendeten Angriffstechniken 42 identisch sind mit den Cyberangriffen auf NXP. Genug Beweise, um die Hand von Chimera zu erkennen“, so halten die Autoren von NRC fest.

Schlussendlich ließ sich der Aufenthaltsort der Hacker auch an ihrem Verhalten ablesen: Anhand der Protokolldateien des über nahezu zweieinhalb Jahre andauernden Angriffs auf NXP konnte erkannt werden, dass die „Arbeitszeiten“ der Angreifer mit Bürozeiten in chinesischen Zeitzonen übereinstimmten, einschließlich der Mittagspause und einem längeren „Urlaub“ zu Zeiten der Goldenen Woche.

Und wie schaut es inzwischen bei NXP aus?

Die Sicherheitsexperten von NXP verschärften nach 2020 das Netzwerk-Monitoring und beschränkten die Mitarbeiterzugriffe, um den Spielraum beim Herunterladen und Kopieren der Daten zu verringern. Im September 2023 gab das Unternehmen ein Datenleck bei einer Datenbank bekannt, die Daten von Besuchern der NXP-Webseite speichert.

Die Sicherheitslücke wurde innerhalb von drei Tagen entdeckt und geschlossen. Dass Einbrecher zuvor jahrelang unentdeckt blieben, gilt hingegen als außergewöhnlich, schreiben die Autoren von NRC. Nach Meinung einige Experten der asiatischen Sicherheitsindustrie blieben Hackergruppen wie Chimera (inzwischen als G0114 bekannt) in der Regel einige Monate unentdeckt.

Dieser Beitrag stammt von unserem Schwesterportal Elektronikpraxis.

(ID:49829106)