Ransomware-Angriff auf ICBC, die größte Geschäftsbank der Welt

Chinas größte Bank, die Industrial and Commercial Bank of China (ICBC), ist offenbar Opfer eines Ransomware-Angriffs durch die berüchtigte, aus Russland stammende LockBit-Ransomware-Gang geworden. Die ICBC ist gemessen an ihrem Vermögen die größte Bank der Welt, die sich damit in die Gruppe der hochkarätigen LockBit-Opfer einreiht. Die Malware wird als Ransomware-as-a-Service angeboten und war bereits an vielen Vorfällen beteiligt, die sich gegen hochrangige Unternehmen richteten, darunter der IT-Riese Accenture, Boeing, Bangkok Airways, die britische Royal Mail oder das deutsche Unternehmen Continental.

Hauptsächlich betroffen von der Attacke war der US-Arm der Bank, die ICBC Financial Services. Offenbar gelang es den IT-Verantwortlichen jedoch, befallene Systeme schnell genug vom Netzwerk zu trennen, um so ein Übergreifen zu verhindern. Trotzdem blieb der Angriff nicht ohne Folgen, denn um arbeitsfähig zu bleiben, musste die ICBC auf Kuriere zurückgreifen, die mit USB-Speichern durch Manhattan fuhren, um Transaktionen auf den Weg zu bringen.

Auf der Webseite der ICBC Financial Services wurde eine Nachricht veröffentlicht, aus der hervorgeht, dass die Systeme der Bank am 8. November 2023 gestört waren. Die Bank beabsichtigt, eine gründliche Untersuchung durchzuführen, um die Ursache für den Sicherheitsvorfall zu ermitteln. Die zuständigen Behörden sind ebenfalls informiert worden. Es wird vermutet, dass die Angreifer die Citrix Bleed-Schwachstelle (CVE-2023-4966) ausgenutzt haben könnten. Möglicherweise hatte die ICBC die Schwachstelle in ihrer Citrix NetScaler Gateway-Appliance nicht gepatcht, wie Sicherheitsforscher Kevin Beaumont feststellte. Über diese Sicherheitslücke können Hacker die Authentifizierung umgehen und in Unternehmenssysteme eindringen. In letzter Zeit wurde sie bereits mehrfach bei Angriffen auf nicht gepatchte Regierungs- und Unternehmensnetze ausgenutzt.

Einem Bericht von Bloomberg zufolge hatte der Angriff nicht nur Auswirkungen auf die Arbeitsfähigkeit der ICBC. Offenbar konnten offene Transaktionen mit US-Staatsanleihen nicht wie vorgesehen abgewickelt werden, da die entsprechenden Schnittstellen nicht mehr verbunden waren. Die Dringlichkeit dieser Transaktionen führte dann schließlich zu dem ungewöhnlichen Schritt, Kuriere mit USB-Laufwerken einzusetzen. Trotz aller Bemühungen hatte der Zwischenfall scheinbar Auswirkungen auf den Markt für US-Staatsanleihen, da zwischenzeitlich die Liquidität beeinträchtigt war. Das wiederum wirft die Frage auf, warum die LockBit-Gang diesen Angriff überhaupt durchführte. Denn bei Auswirkungen dieses Ausmaßes, kann man mit einiger Sicherheit davon ausgehen, dass die Sicherheitsbehörden sowohl auf chinesischer als auch auf amerikanischer Seite aktiv werden.

Ob die finanzielle Ausbeute dieses Risiko wert war, ist fraglich. Trotzdem verdeutlicht der Vorfall das wachsende Risiko von Cyberangriffen auf Finanzinstitute und die Bedeutung robuster Cybersicherheitsmaßnahmen.

‍

‍

Bild (c) moerschy / Pixabay