Social-Engineering-Angriff auf Levi Strauss: Computer von drei Mitarbeitenden kompromittiert

Zugriff auf Unternehmenssysteme und mögliche Datenexfiltration

Levi Strauss & Co. hat der U.S. Securities and Exchange Commission über ein Form 8-K einen Cyberangriff gemeldet, bei dem Social-Engineering-Techniken zum Einsatz kamen.

Die Angreifer kompromittierten die Unternehmenscomputer von drei Mitarbeitenden. Erste Untersuchungen deuten darauf hin, dass sie möglicherweise auf interne Informationen zugegriffen und diese exfiltriert haben.

Die Identität der Angreifer wurde nicht bekannt gegeben. Das Unternehmen machte keine Angaben dazu, ob Lösegeldforderungen gestellt wurden oder welche konkrete Technik zum Einsatz kam.

Vorläufig keine Hinweise auf Kundendaten

Nach den bisher durchgeführten Untersuchungen hat Levi Strauss keine Hinweise auf den Diebstahl von Kundendaten festgestellt. Der mögliche Schaden betrifft daher Unternehmensinformationen; Einzelheiten zu deren Art oder Umfang wurden jedoch nicht veröffentlicht.

Das Unternehmen geht davon aus, dass der Vorfall keine wesentlichen Auswirkungen hatte und solche Auswirkungen auch vernünftigerweise nicht zu erwarten sind. Unterbrechungen des Geschäftsbetriebs wurden nicht festgestellt.

Unbestätigten Berichten zufolge könnte UNC6671 beteiligt gewesen sein, eine mit Voice-Phishing-Kampagnen in Verbindung gebrachte Gruppe. Levi Strauss hat diese Zuordnung nicht bestätigt.

Eindämmung abgeschlossen, Untersuchung läuft weiter

Das Unternehmen leitete umgehend Maßnahmen zur Reaktion auf den Vorfall und zu seiner Eindämmung ein. Die Angreifer wurden offenbar von den kompromittierten Computern entfernt.

Die Untersuchung dauert an. Informationen zu Indicators of Compromise, forensischen Details, möglicherweise exfiltrierten Daten oder weiteren technischen Gegenmaßnahmen wurden nicht veröffentlicht.

Es sind keine bestimmten Softwareprodukte, Versionen, Schwachstellen oder CVE-Kennungen betroffen. Daher steht kein spezieller Patch zur Installation bereit.

Was Unternehmen überprüfen sollten

Da der Zugriff offenbar über Social Engineering erfolgte, sollten Unternehmen die Authentizität von Anfragen prüfen, die sie telefonisch oder über andere Kanäle erhalten – insbesondere wenn es um Zugangsdaten, Fernzugriffe oder die Übertragung von Daten geht.

Mangels öffentlich verfügbarer Indicators of Compromise lässt sich der Vorfall keinen bestimmten Dateien, Adressen oder Domains zuordnen. Betroffene Organisationen sollten sich daher auf die Kontoprotokolle der drei beteiligten Mitarbeitenden, ungewöhnliche Zugriffe und die Übertragung von Unternehmensinformationen konzentrieren.