MalwareLieferkette

MalwareLieferkette bezeichnet Angriffe, bei denen schädliche Software über die Vertrauensmechanismen der Lieferkette in Computersysteme eindringt. Ziel sind meist Unternehmen, Organisationen oder Endnutzer, die auf Drittanbieterprodukte, Bibliotheken oder automatische Updateprozesse angewiesen sind. Durch die Kompromittierung der Lieferkette kann Schadcode in legitime, signierte Software eingeschleust werden, wodurch er schwerer zu erkennen ist und sich breit verteilen kann.

Ablauf und Techniken umfassen das Abgreifen oder Missbrauchen von Softwarelieferanten, Open-Source-Komponenten oder Update-Servern. Angreifer infiltrieren Build-Pipelines, Paketdepots oder Signaturprozesse, modifizieren Updates oder Bibliotheken und verteilen dadurch Malware an zahlende Kunden. Opfer installieren die vermeintlich sicheren Updates oder Abhängigkeiten, wodurch der schädliche Code auf vielen Systemen aktiv wird, oft ohne sofortige Erkennung.

Berühmte Beispiele sind der SolarWinds-Orion-Vorfall von 2020, bei dem kompromittierte Updates zur Verbreitung von Sunburst führten und Tausende von Organisationen betrafen. Weitere Fälle betreffen eingeschleppte Malware über gefälschte oder kompromittierte Softwarepakete, wie der CCleaner-Hack 2017 und nachfolgende Angriffe über Managed-Service-Provider oder Verteilerketten.

Auswirkungen umfassen weitreichende Infektionen, verdeckte Persistenz, gelieferte Backdoors oder Ransomware sowie erhebliche Kosten für Reputationsschaden, forensische Aufklärung und Wiederherstellung. Die Erkennung gestaltet sich oft schwierig, da der Malwarecode als legitime Software erscheint.

Schutzmaßnahmen konzentrieren sich auf die Stärkung der Lieferketten-Sicherheit: ein aktualisiertes Software Bill of Materials (SBOM), Code-Signierung, sichere Update-Ketten, Vendor-Risk-Management, streng kontrollierte Build-Pipelines, Minimierung von Berechtigungen, Segmentierung und kontinuierliche Überwachung sowie regelmäßige Audits und Incident-Response-Planungen.