Brute-Force-Angriff – was sich hinter der Methode von Hackern verbirgt

Brute-Force-Angriff – was sich hinter der Methode von Hackern verbirgt

Hacker verwenden die verschiedensten Methoden, um Daten zu stehlen und mit den erlangten Informationen einen finanziellen Vorteil zu erhalten. Neben Viren gehören Würmer zu den großen Gefahren, die glücklicherweise mit einer Antivirensoftware neutralisiert werden können. Eine besondere Methode ist der Brute-Force-Angriff, auf den einige Cyberkriminelle spezialisiert sind. Doch was ist ein Brute-Force-Angriff und welche Arten sind am häufigsten anzutreffen? In diesem Blogbeitrag schauen wir uns die Angriffsmethode etwas genauer an.

Was ist ein Brute-Force-Angriff?

Ein Brute-Force-Angriff ist eine Methode, um unbefugten Zugriff auf einen Computer zu erlangen, indem Benutzernamen und Passwörter erraten werden. Brute Force ist ein direkter Angriff, der eine hohe Erfolgsaussicht hat.

Cyberkriminelle verwenden Skripte und Programme als Brute-Force-Waffen. Um Authentifizierungsprozesse zu umgehen, probieren solche Tools eine Vielzahl von Passwortvarianten aus. In manchen Szenarien versuchen Angreifer auf Online-Anwendungen zuzugreifen, indem sie nach der richtigen Sitzungs-ID suchen. Das Ziel der kriminellen Person oder Organisation kann darin bestehen, Websites mit Spyware zu infizieren oder den Betrieb zu stören.

Während einige Angreifer Brute-Force-Angriffe immer noch manuell ausführen, führen mittlerweile Bots praktisch alle denkbaren Arten von Brute-Force-Angriffen durch. Eindringlinge haben Zugriff auf Listen mit regelmäßig verwendeten Passwörtern und authentischen Benutzeranmeldeinformationen, die durch Sicherheitslücken oder das Dark Web erlangt wurden. Bots greifen Domains auf organisierte Weise an, testen diese Pools von Anmeldeinformationen und benachrichtigen den Hacker, wenn sie Zugriff erhalten.

Automatisierte Programme werden häufig in einfachen Brute-Force-Angriffen verwendet, um alle Standardkombinationen vorherzusagen, bis die richtige Eingabe erkannt wird. Dies ist eine alte, aber immer noch effiziente Angriffsmethode. Die Länge eines Brute-Force-Angriffs kann variieren. In wenigen Sekunden kann Brute-Forcing ein schwaches Passwort knacken. Das Überwinden bzw. Erraten eines komplexen Kennworts kann Stunden oder Tage dauern. Unternehmen können den Angriffszeitraum verlängern, indem sie starke Passwortkombinationen verwenden und von den Benutzern verlangen.

Warum sind Brute-Force-Angriffe üblich?

Brute Force ist häufig in frühen Phasen eines größer angelegten Angriffs anzutreffen. Angreifer benötigen Zugangs- oder Einstiegspunkte zu ihren Opfern, und Brute-Force-Ansätze sind ein „set it and leave it“-Ansatz, um diesen Zugang zu erhalten. Nachdem Hacker Zugriff auf das Netzwerk erhalten haben, können sie Brute-Force-Taktiken anwenden, um ihre Privilegien zu erweitern oder Verschlüsselungs-Downgrade-Operationen durchzuführen.

Auch um versteckte Websites zu finden, verwenden Hacker Brute-Force-Angriffe. Websites, die im Internet existieren, aber nicht mit anderen Websites verbunden sind, werden oft als „geheime Websites“ bezeichnet. Ein Brute-Force-Angriff überprüft verschiedene Adressen, um festzustellen, ob sie eine gültige Webseite erzeugen, und sucht dann nach einer, die ausgenutzt werden kann. Beispielsweise wurde ein Brute-Force-Angriff verwendet, um das amerikanische Finanzdienstleistungsunternehmen Equifax mit einer öffentlich zugänglichen Liste von Benutzernamen und Passwörtern zu durchdringen.

Da ein Brute-Force-Angriff wenig Raffinesse erfordert, können Angreifer viele Angriffe automatisieren, um sie parallel auszuführen. Damit erhöht sich die Chance auf einen Erfolg.

Arten von Brute-Force-Angriffen

Jeder Brute-Force-Angriff kann eine Vielzahl von Taktiken anwenden, um vertrauliche Informationen aufzudecken. Nachfolgend schauen wir uns die am häufigsten verwendeten Arten von Brute-Force-Angriffen an.

Bei dem einfachen (traditionellen) Brute-Force-Angriff unternimmt ein Angreifer viele verschiedene Benutzernamen- und Kennworteingaben mit zufälligen Werten, um die Anmeldeinformationen zu erraten. Diese Methode ist zeitaufwändig und ressourcenintensiv, da sie die Erstellung aller erdenklichen Zeichensätze, Ziffern und Sonderzeichen erfordert. Infolgedessen ist es hervorragend für kurze Anmeldeinformationen.

Die Bezeichnung „Wörterbuchangriff“ (dictionary attack) ist Programm – im Wesentlichen geht es darum, massive vordefinierte Sammlungen populärer Phrasen oder Begriffe zu verwenden, die in einem Glossar zu finden sind. Es ist in dieser Hinsicht spezialisierter als ein traditioneller Brute-Force-Ansatz. Um mit allen denkbaren Permutationen von Phrasen oder Zeichensätzen aufzutauchen, verwenden Kriminelle normalerweise Tools zum Knacken von Passwörtern und Wortlisten-Ersteller. Sie können sogar einzelne Benutzer online analysieren, zum Beispiel durch das Durchsuchen von Social-Media-Profilen, um Hobbys zu ermitteln und zu sehen, ob bestimmte Wörter oder Sätze bei gezielteren Wörterbuchangriffen einen Treffer generieren.

Hybride Brute-Force-Angriffe sind eine unerwünschte Verschmelzung von zwei verschiedenen Brute-Force-Techniken. Beispielsweise kann der Hacker einen Wörterbuchangriff in einen typischen Brute-Force-Angriff integrieren. Bei diesem Verfahren werden häufige Wörter aus dem Glossar ausgewählt und durch zufällige Zahlen oder Zeichen ersetzt.

Bei einem Credential-Stuffing-Angriff fügt ein Cyberkrimineller regelmäßig identifizierte Passwörter in Anmeldeeingabefelder auf zahlreichen Websites ein. Dieses Verfahren stellt bekannte Passwörter, die entwendet oder anderweitig offengelegt wurden, auf verschiedenen Websites auf die Probe. Die Theorie besagt, dass ein Angreifer letztendlich Glück hat und ein Konto auf einigen oder allen Ziel-Websites identifiziert, die diese Passwörter verwenden. Credential-Stuffing-Angriffe können auch von Botnetzen durchgeführt werden. Angesichts der Tatsache, dass Nutzer Passwörter über zahlreiche oder alle ihrer Domänen hinweg wiederholen, ist es kein Wunder, dass diese Angriffe relativ erfolgreich sind.

Beispiele für Brute-Force-Angriffe

Die amerikanische Telekom-Tochterfirma T-Mobile US erlebte 2021 einen Cyberangriff, der auf Brute-Force aufbaute. Persönliche Daten von bis zu 100 Millionen Benutzern sollen in die falschen Hände geraten sein. In Verbindung mit spezialisierten Tools und Fähigkeiten nutzte die böswillige Partei ihr Verständnis für technische Systeme, um Zugang zu Testumgebungen zu erhalten, und setzte dann Brute-Force-Angriffe und andere Mittel ein, um Zugang zu IT-Servern mit Kundendaten zu erhalten.

Mehrere GitHub-Kunden wurden 2013 darüber informiert, dass sie möglicherweise Opfer eines Brute-Force-Hacks geworden sind. Zahlreiche Benutzer verwendeten schwache Passwörter, was dazu führte, dass die Seite angegriffen wurde und sensible Daten in die Hände der Eindringlinge gelangten.  Benutzer wurden von GitHub darauf hingewiesen, dass sie ihre Passwörter mit sichereren Passwortkombinationen aktualisieren müssten. Die Angreifer verwendeten während dieses Ereignisses fast 40.000 einzelne IP-Adressen, wodurch es für sie einfacher wurde, unentdeckt zu bleiben. Dieser Angriff wurde bewusst schrittweise durchgeführt, um die Sicherheitssysteme von GitHub nicht zu alarmieren.

Best Practices zur Verhinderung von Brute-Force-Angriffen

Anstatt typische Passwörter zu verwenden, wie zum Beispiel „Passwort1234“ oder „Baumschule“, sollten eigene Kennwörter generiert werden. Es wird empfohlen, eindeutige Passwörter mit mindestens 15 Ziffern und mehreren Schlüsselwörtern zu erstellen. Lange Passwörter, die aus zufälligen Wörtern/Zeichen bestehen, gelten als sicherer. Beispielsweise ist das Passwort „GünstigeSoftware?BestSoftware!Ijh1uh!“ deutlich schwieriger zu erraten als ein einfaches „BestSoftware“. Unternehmen sollten strenge Passwortsicherheitsregeln aufstellen und eine Passwortrichtlinie erlassen.

Viele Websites, insbesondere solche, die von WordPress betrieben werden, lassen von Natur aus eine unendliche Anzahl von Anmeldeversuchen zu. Wenn Sie ein Website-Administrator sind, empfiehlt es sich, ein Plugin zu installieren, um die Anzahl der Verbindungsversuche zu beschränken und damit Brute-Force-Angriffe zu verhindern.

Bei einer weiteren Strategie sollten die Anmeldeversuche auf Personen mit einer bestimmten IP-Adresse oder einem Bereich von IP-Adressen beschränkt werden. Dies ist besonders wichtig, wenn Sie einen hybriden Arbeitsplatz haben oder die meisten Mitarbeiter von zu Hause aus arbeiten. Richten Sie Warnungen für alle Anmeldeversuche von ungewöhnlichen IP-Adressen ein und stellen Sie sicher, dass sie blockiert werden.

Konten werden mit einer Zwei-Faktor- oder Multi-Faktor-Authentifizierung sicherer. Sodann muss ein Benutzer zunächst seine Identität bestätigen bzw. validieren, ehe er auf das System zugreifen darf.

Wenn Sie Ihren Rechner vor verschiedenen Cyberbedrohungen, insbesondere Schadsoftware, schützen möchten, sollten Sie eine aktuelle Antivirensoftware verwenden. BestSoftware bietet Ihnen für die verschiedensten Betriebssysteme effiziente Lösungen an. Unter anderem McAfee Total Protection 2022 und G Data Total Security 2023 erfreuen sich einer großen Beliebtheit.