In diesem Artikel über die Operation Aurora steht, welche Unternehmen Ziel der Angriffe waren.
Given this article about Operation Aurora, which companies were targeted in the attacks?
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley, and Dow Chemical appear to have been targted in these attacks.  Some pubically confirmed this while others were claimed to be targeted in media reports.
Google, Adobe Systems, Akamai Technologies, Juniper Networks, Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley und Dow Chemical scheinen von diesen Angriffen betroffen zu sein.  Einige haben dies öffentlich bestätigt, während andere in Medienberichten als Ziel genannt wurden.
closed_qa
Die Operation Aurora war eine Reihe von Cyberangriffen, die von hochentwickelten, hartnäckigen Bedrohungen wie der Elderwood Group mit Sitz in Peking, China, durchgeführt wurden und Verbindungen zur Volksbefreiungsarmee hatten. Die Angriffe begannen Mitte 2009 und dauerten bis Dezember 2009 an. Google machte sie erstmals am 12. Januar 2010 in einem Blogpost öffentlich.

Der Angriff richtete sich gegen Dutzende anderer Unternehmen, von denen Adobe Systems, Akamai Technologies, Juniper Networks, und Rackspace öffentlich bestätigt haben, dass sie Ziel des Angriffs waren. Medienberichten zufolge waren auch Yahoo, Symantec, Northrop Grumman, Morgan Stanley und Dow Chemical unter den Zielen.

Als Folge des Angriffs erklärte Google in seinem Blog, dass es plant, eine völlig unzensierte Version seiner Suchmaschine in China zu betreiben, "wenn überhaupt, dann im Rahmen der Gesetze", und räumte ein, dass es China verlassen und seine chinesischen Büros schließen könnte, wenn dies nicht möglich ist. Offizielle chinesische Quellen behaupteten, dies sei Teil einer von der US-Regierung entwickelten Strategie.

Der Angriff wurde von Dmitri Alperovitch, Vizepräsident für Bedrohungsforschung beim Cybersicherheitsunternehmen McAfee, "Operation Aurora" genannt. Untersuchungen von McAfee Labs ergaben, dass "Aurora" Teil des Dateipfads auf dem Rechner des Angreifers war, der in zwei der Malware-Binaries enthalten war, die laut McAfee mit dem Angriff in Verbindung standen. "Wir glauben, dass der Name der interne Name war, den der/die Angreifer dieser Operation gegeben haben", sagte George Kurtz, Chief Technology Officer von McAfee, in einem Blogbeitrag.

Laut McAfee bestand das Hauptziel des Angriffs darin, sich Zugang zu den Quellcode-Repositories dieser Hightech-, Sicherheits- und Rüstungsunternehmen zu verschaffen und diese möglicherweise zu verändern. "[Die SCMs] waren weit offen", sagt Alperovitch. "Niemand hat je darüber nachgedacht, sie zu sichern, obwohl sie in vielerlei Hinsicht die Kronjuwelen der meisten dieser Unternehmen sind - viel wertvoller als finanzielle oder personenbezogene Daten, die sie vielleicht haben und für deren Schutz sie so viel Zeit und Mühe aufwenden."

Geschichte

Blumen vor dem Hauptsitz von Google China nach der Ankündigung, das Land zu verlassen
Am 12. Januar 2010 gab Google in seinem Blog bekannt, dass es Opfer eines Cyberangriffs geworden war. Das Unternehmen gab an, dass der Angriff Mitte Dezember erfolgte und aus China kam. Google gab an, dass mehr als 20 andere Unternehmen angegriffen worden waren; andere Quellen gaben an, dass mehr als 34 Organisationen betroffen waren. Als Folge des Angriffs erklärte Google, dass es seine Geschäfte in China überprüfe. Am selben Tag gab die Außenministerin der Vereinigten Staaten, Hillary Clinton, eine kurze Erklärung ab, in der sie die Angriffe verurteilte und eine Antwort von China forderte.

Am 13. Januar 2010 berichtete die Nachrichtenagentur All Headline News, dass der US-Kongress plant, die Vorwürfe von Google zu untersuchen, dass die chinesische Regierung den Dienst des Unternehmens genutzt hat, um Menschenrechtsaktivisten auszuspionieren.

In Peking legten Besucher Blumen vor dem Google-Büro ab. Diese wurden jedoch später entfernt, da ein chinesischer Sicherheitsbeamter dies als "illegalen Blumenschmuck" bezeichnete. Die chinesische Regierung hat noch keine offizielle Stellungnahme abgegeben, obwohl ein anonymer Beamter erklärte, dass China mehr Informationen über die Absichten von Google einholen wolle.

Beteiligte Angreifer
Weitere Informationen: Cyberkriegsführung durch China
Technische Beweise wie IP-Adressen, Domainnamen, Malware-Signaturen und andere Faktoren zeigen, dass Elderwood hinter dem Angriff Operation Aurora steckt. Die "Elderwood"-Gruppe wurde von Symantec benannt (nach einer von den Angreifern verwendeten Quellcode-Variable) und wird von Dell Secureworks als "Beijing Group" bezeichnet. Die Gruppe erlangte einen Teil des Quellcodes von Google sowie Zugang zu Informationen über chinesische Aktivisten. Elderwood hatte es auch auf zahlreiche andere Unternehmen aus den Bereichen Schifffahrt, Luftfahrt, Rüstung, Energie, Fertigung, Maschinenbau, Elektronik, Finanzen und Software abgesehen.

Die "APT"-Bezeichnung für die chinesischen Bedrohungsakteure, die für den Angriff auf Google verantwortlich sind, lautet APT17.

Elderwood hat sich darauf spezialisiert, Zulieferer der Verteidigungsindustrie anzugreifen und zu infiltrieren, die elektronische oder mechanische Komponenten für führende Verteidigungsunternehmen herstellen. Diese Firmen werden dann zu einem Cyber-"Sprungbrett", um Zugang zu hochrangigen Rüstungsunternehmen zu erhalten. Ein Angriffsverfahren, das Elderwood anwendet, besteht darin, legitime Websites zu infizieren, die von Mitarbeitern des Zielunternehmens besucht werden - ein so genannter "Wasserloch"-Angriff, so wie Löwen ein Wasserloch für ihre Beute auskundschaften. Elderwood infiziert diese weniger sicheren Websites mit Malware, die sich auf einen Computer herunterlädt, der die Website anklickt. Danach durchsucht die Gruppe das Netzwerk, mit dem der infizierte Computer verbunden ist, und lädt die E-Mails von Führungskräften sowie wichtige Dokumente über Unternehmenspläne, Entscheidungen, Übernahmen und Produktdesigns herunter.

Analyse des Angriffs
In seinem Blogbeitrag erklärte Google, dass ein Teil seines geistigen Eigentums gestohlen wurde. Es wird vermutet, dass die Angreifer daran interessiert waren, auf die Gmail-Konten chinesischer Dissidenten zuzugreifen. Laut der Financial Times wurden zwei Konten von Ai Weiwei angegriffen, deren Inhalte gelesen und kopiert; seine Bankkonten wurden von Agenten der Staatssicherheit untersucht, die behaupteten, gegen ihn werde wegen "nicht näher bezeichneter mutmaßlicher Verbrechen" ermittelt. Die Angreifer konnten jedoch nur Details zu zwei Konten einsehen, und diese Details beschränkten sich auf Dinge wie die Betreffzeile und das Erstellungsdatum der Konten.

Sicherheitsexperten bemerkten sofort, wie raffiniert der Angriff war. Zwei Tage nach Bekanntwerden des Angriffs berichtete McAfee, dass die Angreifer angebliche Zero-Day-Schwachstellen (die nicht behoben wurden und den Entwicklern der Zielsysteme zuvor unbekannt waren) im Internet Explorer ausgenutzt hatten, und nannte den Angriff "Operation Aurora". Eine Woche nach dem Bericht von McAfee veröffentlichte Microsoft einen Fix für das Problem und gab zu, dass die Sicherheitslücke bereits seit September bekannt war. Weitere Schwachstellen wurden in Perforce gefunden, der Software zur Quellcodeüberarbeitung, die Google zur Verwaltung seines Quellcodes verwendet.

Die iDefense Labs von VeriSign behaupteten, dass die Angriffe von "Agenten des chinesischen Staates oder deren Stellvertretern" verübt wurden.

Einem diplomatischen Telegramm der US-Botschaft in Peking zufolge berichtete eine chinesische Quelle, dass das chinesische Politbüro das Eindringen in die Computersysteme von Google gesteuert habe. Das Telegramm deutet darauf hin, dass der Angriff Teil einer koordinierten Kampagne war, die von "Regierungsmitarbeitern, Experten für öffentliche Sicherheit und von der chinesischen Regierung angeworbenen Internet-Outlaws" durchgeführt wurde. Der Bericht deutet darauf hin, dass es sich um einen Teil einer laufenden Kampagne handelte, bei der Angreifer "seit 2002 in Computer der amerikanischen Regierung und westlicher Verbündeter, des Dalai Lama und amerikanischer Unternehmen eingedrungen sind." Laut dem Bericht von The Guardian über das Leck wurden die Angriffe "von einem hochrangigen Mitglied des Politbüros orchestriert, das seinen eigenen Namen in die globale Version der Suchmaschine eintippte und Artikel fand, die ihn persönlich kritisierten."

Sobald das System eines Opfers kompromittiert war, stellte eine Backdoor-Verbindung, die sich als SSL-Verbindung tarnte, Verbindungen zu Kommando- und Kontrollservern in Illinois, Texas und Taiwan her, darunter auch Rechner, die unter gestohlenen Rackspace-Kundenkonten liefen. Der Rechner des Opfers begann dann, das geschützte Intranet des Unternehmens zu erkunden, in dem er sich befand, und suchte nach anderen verwundbaren Systemen sowie nach Quellen für geistiges Eigentum, insbesondere nach dem Inhalt von Quellcode-Repositories.

Es wird angenommen, dass die Angriffe am 4. Januar endgültig beendet wurden, als die Command-and-Control-Server abgeschaltet wurden, obwohl zu diesem Zeitpunkt nicht bekannt ist, ob die Angreifer sie absichtlich abgeschaltet haben. Die Angriffe fanden jedoch im Februar 2010 immer noch statt.

Reaktion und Nachwehen
Die deutsche, australische und französische Regierung haben nach dem Angriff öffentlich Warnungen an die Nutzer des Internet Explorers herausgegeben und ihnen geraten, zumindest bis zur Behebung der Sicherheitslücke alternative Browser zu verwenden. Die deutsche, australische und französische Regierung stuften alle Versionen des Internet Explorers als anfällig oder potenziell anfällig ein.

In einer Mitteilung vom 14. Januar 2010 erklärte Microsoft, dass Angreifer, die es auf Google und andere US-Unternehmen abgesehen hatten, Software verwendeten, die eine Lücke im Internet Explorer ausnutzt. Die Sicherheitslücke betrifft die Internet Explorer Versionen 6, 7 und 8 unter Windows 7, Vista, Windows XP, Server 2003, Server 2008 R2 sowie IE 6 Service Pack 1 unter Windows 2000 Service Pack 4.

Der bei dem Angriff verwendete Exploit-Code für den Internet Explorer wurde veröffentlicht und in das Penetrationstest-Tool Metasploit Framework integriert. Eine Kopie des Exploits wurde bei Wepawet hochgeladen, einem Dienst zur Erkennung und Analyse webbasierter Malware, der von der Computersicherheitsgruppe der University of California, Santa Barbara, betrieben wird. "Die Veröffentlichung des Exploit-Codes erhöht die Möglichkeit weit verbreiteter Angriffe, die die Sicherheitslücke im Internet Explorer ausnutzen", sagte George Kurtz, CTO von McAfee, über den Angriff. "Der nun öffentliche Computercode kann Cyberkriminellen helfen, Angriffe zu entwickeln, die die Schwachstelle nutzen, um Windows-Systeme zu kompromittieren."

Das Sicherheitsunternehmen Websense erklärte, es habe eine "begrenzte öffentliche Nutzung" der ungepatchten IE-Schwachstelle in Drive-by-Attacken gegen Nutzer festgestellt, die sich auf bösartige Websites verirrt haben. Laut Websense ist der entdeckte Angriffscode derselbe wie der, der letzte Woche veröffentlicht wurde.["Internet Explorer-Benutzer sind derzeit einer realen und gegenwärtigen Gefahr ausgesetzt, da die Schwachstelle öffentlich gemacht und der Angriffscode veröffentlicht wurde, was die Möglichkeit weit verbreiteter Angriffe erhöht", sagte George Kurtz, Chief Technology Officer von McAfee, in einem Blog-Update. Die Websense Security Labs bestätigten diese Spekulationen und entdeckten am 19. Januar weitere Websites, die den Exploit nutzen. Nach Berichten von Ahnlab wurde die zweite URL über das Instant Messenger-Netzwerk Misslee Messenger verbreitet, einem beliebten IM-Client in Südkorea.

Forscher haben Angriffscode erstellt, der die Schwachstelle im Internet Explorer 7 (IE7) und IE8 ausnutzt, selbst wenn die von Microsoft empfohlene Schutzmaßnahme (Data Execution Prevention (DEP)) aktiviert ist.[dubious - discuss] Laut Dino Dai Zovi, einem Forscher für Sicherheitslücken, "ist selbst der neueste IE8 nicht vor Angriffen sicher, wenn er unter Windows XP Service Pack 2 (SP2) oder früher oder unter Windows Vista RTM (Release to Manufacturing), der Version, die Microsoft im Januar 2007 ausgeliefert hat, läuft."

Microsoft gab zu, dass die genutzte Sicherheitslücke bereits seit September bekannt war. Die Arbeit an einem Update wurde mit Priorität behandelt und am Donnerstag, den 21. Januar 2010, veröffentlichte Microsoft einen Sicherheitspatch, der diese Schwachstelle, die darauf basierenden veröffentlichten Exploits und eine Reihe anderer privat gemeldeter Schwachstellen beheben sollte. Es wurde nicht angegeben, ob eine der letzteren von Exploitern genutzt oder veröffentlicht worden war oder ob diese in einem besonderen Zusammenhang mit der Aurora-Operation standen, aber das gesamte kumulative Update wurde für die meisten Windows-Versionen, einschließlich Windows 7, als kritisch eingestuft.

Sicherheitsforscher untersuchten die Angriffe weiter. Die Sicherheitsfirma HBGary veröffentlichte einen Bericht, in dem sie behauptete, einige wichtige Hinweise gefunden zu haben, die helfen könnten, den Entwickler des Codes zu identifizieren. Die Firma sagte auch, dass der Code in chinesischer Sprache verfasst wurde, aber nicht speziell mit einer Regierungsbehörde in Verbindung gebracht werden konnte.

Am 19. Februar 2010 behauptete ein Sicherheitsexperte, der den Cyberangriff auf Google untersuchte, dass die Hintermänner des Angriffs auch für die Cyberangriffe auf mehrere Fortune-100-Unternehmen in den letzten eineinhalb Jahren verantwortlich waren. Sie haben den Angriff auch zu seinem Ausgangspunkt zurückverfolgt, bei dem es sich offenbar um zwei chinesische Schulen handelt, die Shanghai Jiao Tong University und die Lanxiang Vocational School. Wie die New York Times berichtet, stehen beide Schulen in Verbindung mit der chinesischen Suchmaschine Baidu, einem Konkurrenten von Google China. Sowohl die Lanxiang Vocational University als auch die Jiaotong University haben die Anschuldigungen zurückgewiesen.

Im März 2010 identifizierte Symantec, das im Auftrag von Google an der Untersuchung des Angriffs beteiligt war, Shaoxing als Quelle von 21,3 % aller (12 Milliarden) bösartigen E-Mails, die weltweit verschickt wurden.

Google-Rückblick
Am 3. Oktober 2022 veröffentlichte Google auf YouTube eine sechsteilige Serie über die Ereignisse während der Operation Aurora, mit Kommentaren von Insidern, die mit dem Angriff zu tun hatten.
de