💻 computer science

ARCANE: Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry -- A Bayesian Network Framework for Longitudinal Cyber Attribution

Die Arbeit stellt ARCANE vor, ein Bayes-Netzwerk-Framework für die longitudinale Cyber-Zuschreibung, das passive Beacon-Telemetrie über Kampagnen hinweg aggregiert, um Angreifer-Fingerabdrücke zu aktualisieren, und zeigt, dass zwar die Ähnlichkeit innerhalb eines Akteurs hoch ist, die Aggregation über Kampagnen hinweg allein jedoch eine strukturelle Obergrenze der Ununterscheidbarkeit von Merkmalen bei hochentwickelten Angreifern nicht überwinden kann, wodurch zusätzliche Signalklassen für eine zuverlässige Zuschreibung erforderlich sind.

Ursprüngliche Autoren: Abraham Itzhak Weinberg

Veröffentlicht 2026-04-28

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Abraham Itzhak Weinberg

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Detektiv, der versucht, eine Gruppe von Meisterdieben zu fassen. Diese Diebe sind sehr schlau; sie tragen Masken, benutzen falsche Namen und wechseln ständig ihre Kleidung, um nicht erkannt zu werden. Normalerweise schauen Sie, wenn ein Verbrechen geschieht, sich die Beweise aus diesem einzelnen Ereignis an (wie einen schmutzigen Fußabdruck oder einen bestimmten Dietrich) und versuchen zu erraten, wer es getan hat.

Diese Arbeit stellt ein neues Detektivwerkzeug namens ARCANE vor. Anstatt nur ein Verbrechen zu betrachten, versucht ARCANE, das Rätsel zu lösen, indem es sich alle Verbrechen ansieht, die ein Dieb über viele Jahre begangen hat, in der Hoffnung, dass sich Muster ergeben, die seine wahre Identität verraten.

Hier ist, wie die Arbeit diesen Prozess mit einfachen Analogien erklärt:

1. Der „digitale Fingerabdruck"

Stellen Sie sich den „Fingerabdruck" eines Diebes nicht als Abdruck auf Glas vor, sondern als einen Kleidungsstil.

Tragen sie immer rote Hüte?
Kaufen sie nur um 3 Uhr morgens ein?
Benutzen sie eine bestimmte Schuhmarke?
Sprechen sie mit einem bestimmten Akzent?

In der digitalen Welt sind diese „Kleider" Dinge wie die Art des Computers, den sie verwenden, die Tageszeit, zu der sie hacken, die Software-Tools, die sie bei sich tragen, und die Länder, in denen sie sich ausgeben. Die Forscher erstellten eine 24-Punkte-Checkliste (einen „Fingerabdruck"), um diese Gewohnheiten zu messen.

2. Die „Langzeit"-Strategie (ARCANE)

Normalerweise betrachten Detektive einen Tatort und sagen: „Das sieht nach der Arbeit der ‚Rot-Hut-Bande' aus." Wenn sie falsch liegen, gehen sie weiter.

ARCANE ist anders. Es agiert wie ein geduldiger Ermittler, der ein Tagebuch führt.

Jedes Mal, wenn ein Dieb eine digitale Falle auslöst (ein „Leuchtfeuer"), fügt ARCANE eine neue Notiz zum Tagebuch hinzu.
Es verwendet eine mathematische Formel (ein „Bayes-Netzwerk"), um seine Vermutung zu aktualisieren. Wenn der Dieb etwas tut, das dem ähnelt, was die „Rot-Hut-Bande" normalerweise tut, steigt das Vertrauen, dass es sie sind, leicht an.
Im Laufe der Zeit besteht die Hoffnung, dass das Tagebuch so voll mit übereinstimmenden Details wird, dass die Identität offensichtlich wird, selbst wenn der Dieb versucht, sich zu verstecken.

3. Die große Überraschung: Das „Uniform"-Problem

Die Forscher testeten dieses System mit einer Computersimulation, an der 8 verschiedene „Nationalstaaten"-Diebegruppen beteiligt waren. Sie erwarteten, dass ARCANE mit zunehmender Datensammlung immer besser darin wird, den richtigen Dieb zu erraten.

Doch sie stießen auf ein überraschendes Hindernis.

Stellen Sie sich vor, alle 8 Diebegruppen sind so professionell, dass sie sich entschieden haben, die exakt gleiche Uniform zu tragen. Sie tragen alle rote Hüte, kaufen um 3 Uhr morgens ein und benutzen die gleiche Schuhmarke.

Da sie alle denselben „operativen Sicherheits"-Regeln folgen (um sicher zu bleiben), sehen ihre digitalen Fingerabdrücke fast identisch aus.
Die Studie ergab, dass der „Stil" von Dieb A zu 84 % dem „Stil" von Dieb B ähnelte.
Da sie so ähnlich sind, half das Hinzufügen weiterer Seiten zum Tagebuch nicht viel. Der Detektiv konnte sie immer noch nicht unterscheiden, weil sie alle gleich gekleidet waren.

4. Der „Masken"-Mythos

Eine verbreitete Annahme ist, dass es unmöglich wird, sie zu fangen, wenn Diebe besser darin werden, sich zu verstecken (durch Masken, falsche Ausweise oder das Wechseln ihrer Werkzeuge).

Die Arbeit stellte etwas kontraintuitives fest: Es spielt keine Rolle, wie gut sie sich zu verstecken verstehen.

Ob die Diebe einfache Masken oder hochtechnologische Unsichtbarkeitsmäntel trugen, blieb die Fähigkeit von ARCANE, die richtige Person zu erraten, exakt gleich.
Warum? Weil das Problem nicht darin bestand, dass sie sich versteckten; das Problem war, dass sie von vornherein alle die gleiche Uniform trugen. Kein Maß an „Verstecken" ließ sie mehr unterschiedlich aussehen, da sie ohnehin nicht zu unterscheiden waren.

5. Das Fazit: Was kommt als Nächstes?

Die Arbeit kommt zu dem Schluss, dass es nicht ausreicht, nur darauf zu achten, wie sie handeln (ihre Verhaltensweise), um diese hochentwickelten Gruppen zu unterscheiden. Die „Decke" für die Genauigkeit ist niedrig, weil ihre Gewohnheiten zu ähnlich sind.

Um dies zu beheben, schlagen die Autoren vor, dass der Detektiv sich andere Hinweise ansehen muss, die nicht den Stil des Diebes betreffen, sondern wen sie ins Visier nehmen:

Wen berauben sie? (z. B. Banken vs. Krankenhäuser)
Wann schlagen sie zu? (z. B. bestimmte Feiertage oder Arbeitszeiten)
Woher kommen sie? (z. B. bestimmte Internetverbindungen, die sie wiederverwenden)

Kurz gesagt: Die Arbeit entwickelte ein superschlau System, um Diebe über die Zeit zu verfolgen. Es funktionierte in der Theorie perfekt, stieß aber an eine Wand, weil die Diebe in ihren täglichen Gewohnheiten zu ähnlich waren. Das System bewies, dass wir, um diese spezifischen Gruppen zu fassen, aufhören müssen, darauf zu achten, wie sie sich bewegen, und anfangen müssen, darauf zu achten, wen sie zu verletzen versuchen.

1. Problemstellung

Die Cyber-Zuschreibung bleibt eine kritische Herausforderung aufgrund der Leichtigkeit von IP-Spoofing, der Nutzung von Anonymisierungswerkzeugen (TOR, VPNs) und absichtlichen „False Flag"-Taktiken durch hochentwickelte Bedrohungsakteure. Aktuelle Zuschreibungsmethoden arbeiten typischerweise fallweise, behandeln jede Kampagne als isoliertes Ereignis und verwerfen die Fülle an Beweisen, die über mehrere Kampagnen hinweg im Laufe der Zeit gesammelt wurden.

Das Papier untersucht eine fundamentale Frage: Kann die Aggregation von Beweisen über mehrere Kampagnen hinweg (longitudinale Analyse) die Identifizierung von Gegnern signifikant verbessern, oder verhindern strukturelle Grenzen im Merkmalsraum dies? Insbesondere untersuchen die Autoren, ob passive Beacon-Telemetrie (das Verfolgen von Nutzlasten, die von Angreifern ausgelöst werden) genutzt werden kann, um persistente „Fingerabdrücke" zu erstellen, die eine Wiedererkennung von Akteuren über verschiedene Operationen hinweg ermöglichen.

2. Methodik: Das ARCANE-Framework

Die Autoren schlagen ARCANE (Attacker Re-identification via Cross-campaign Attribution Network) vor, ein probabilistisches Framework, das entwickelt wurde, um Überzeugungen über die Identität eines Angreifers basierend auf Streaming-Telemetrie schrittweise zu aktualisieren.

A. Formales Framework

Bayessche Inferenz: Die Zuschreibung wird als sequenzielles probabilistisches Inferenzproblem modelliert. Das System unterhält eine Posterior-Wahrscheinlichkeitsverteilung $P(A=a_i | e)$ über eine Menge von Kandidatenakteuren $A$ , die aktualisiert wird, sobald neue Beweise $e$ (Kampagnen-Fingerabdrücke) eintreffen.
Fingerabdruck-Erstellung: Jede Kampagne wird in einen 24-dimensionalen Merkmalsvektor ( $f_k$ $f_{k}$ ) umgewandelt, der verhaltensbezogene, infrastrukturelle und zeitliche Merkmale zusammenfasst, die aus Beacon-Rückrufen abgeleitet wurden.
- Merkmale umfassen: TOR/VPN-Nutzungsraten, Verweildauer, Zeitzone/Lokalisierung, VM-Erkennung, Konsistenz der Werkzeuge, spezifische APT-Werkzeugcluster (z. B. Cobalt Strike, Mimikatz) und Entropie der Rückrufzeiten.
Cross-Campaign Confidence (CCC): Eine Metrik, die die Ähnlichkeit zwischen einem neuen Abfrage-Fingerabdruck und einer Wissensbasis bekannter Akteur-Fingerabdrücke aggregiert. Sie integriert einen Zeitabklingfaktor ( $e^{-\delta \cdot d_k}$ ), um die Evolution von Akteuren und den Wechsel von Werkzeugen zu berücksichtigen, wodurch ältere Beweise weniger stark gewichtet werden.
Trennbarkeitslücke ( $\Delta S$ ): Definiert als die Differenz zwischen der mittleren Ähnlichkeit innerhalb eines Akteurs ( $\bar{S}_w$ ) und der mittleren Ähnlichkeit zwischen verschiedenen Akteuren ( $\bar{S}_c$ ). Das Papier geht davon aus, dass eine zuverlässige Zuschreibung erfordert, dass diese Lücke einen statistischen Schwellenwert überschreitet, der von der Anzahl der Trainingskampagnen abhängt.

B. Algorithmus

ARCANE arbeitet über ein temporales Leave-One-Out-Validierungsprotokoll:

Kampagnen werden chronologisch verarbeitet.
Für jede Kampagne berechnet das System die CCC gegenüber der Akteur-Wissensbasis (aufgebaut aus vorherigen Kampagnen).
Ein Likelihood-Modell bildet CCC auf eine Wahrscheinlichkeitsaktualisierung ab.
Die Posterior-Verteilung wird normalisiert, und der wahrscheinlichste Akteur wird ausgewählt.
Die aktuelle Kampagne wird der Wissensbasis für zukünftige Abfragen hinzugefügt.

3. Experimentelles Setup

Datensatz: Aufgrund des Fehlens öffentlicher longitudinaler Beacon-Daten erstellten die Autoren einen synthetischen Benchmark basierend auf MITRE ATT&CK, Mandiant und Recorded-Future-Intelligence.
Umfang: 8 simulierte nationalstaatliche Bedrohungsakteure (KP, RU, CN, IR) über 18 Monate (Januar 2024–Juni 2025).
Skala: 96 Kampagnen mit insgesamt 524 Beacon-Rückrufen.
Adversarial Modeling: Akteuren wurden unterschiedliche Sophistikationsgrade zugewiesen sowie ein Ausweichplan, bei dem ihre Ausweichfähigkeiten (TOR-Nutzung, Werkzeugwechsel, Lokalisierungsspoofing) linear über die Zeit zunahmen, um eine reale Anpassung zu simulieren.
Baseline: Eine fallweise Nearest-Neighbor-Baseline unter Verwendung statischer Durchschnittsprofile.

4. Wichtige Ergebnisse

Die Evaluation ergab kontraintuitive, aber signifikante Erkenntnisse:

A. Die Trennbarkeitsdecke

Hohe Ähnlichkeit: Der Merkmalsraum ist extrem dicht. Die mittlere Ähnlichkeit innerhalb eines Akteurs ( $\bar{S}_w$ ) betrug 0,848, und die Ähnlichkeit zwischen Akteuren ( $\bar{S}_c$ ) lag bei 0,802.
Unzureichende Lücke: Die Trennbarkeitslücke ( $\Delta S = 0,046$ ) war statistisch signifikant, aber zu klein, um eine Wiedererkennung mit hoher Zuversicht für 8 Akteure zu unterstützen.
Leistung: ARCANE erreichte eine Gesamtgenauigkeit von 30,7%, was tatsächlich niedriger war (obwohl nicht statistisch signifikant) als die fallweise Baseline (43,2%). Die bayessche Akkumulation scheiterte daran, die Posterior-Wahrscheinlichkeit zu konzentrieren, da die neuen Beweise nicht ausreichend von bestehendem Rauschen unterschieden waren.

B. Ausweich-Invarianz

Überraschende Erkenntnis: Die Genauigkeit von ARCANE blieb stabil (20,6%–25,2%), unabhängig vom Ausweichniveau des Akteurs.
Implikation: Die primäre Barriere für die Zuschreibung ist nicht die adversarische Ausweichung (z. B. Nutzung von TOR oder Wechsel von Werkzeugen). Stattdessen liegt die Einschränkung in der Unterscheidbarkeit der Merkmale: Hochentwickelte Akteure konvergieren natürlicherweise zu ähnlichen Operationssicherheitspraktiken (hohe TOR-Nutzung, häufiger Werkzeugwechsel), was sie im aktuellen Merkmalsraum identisch erscheinen lässt.

C. Lernkurve

Eine Erhöhung der Anzahl der Trainingskampagnen führte nicht zu einer monotonen Verbesserung der Genauigkeit. Dies bestätigt, dass der Engpass die strukturelle Grenze des Merkmalsraums ist und nicht ein Mangel an Datenvolumen.

5. Wichtige Beiträge

Erstes formales longitudinales Framework: ARCANE ist das erste formalisierte bayessche Framework für die wiederholte Identifizierung von Angreifern über Kampagnen hinweg unter Verwendung passiver Beacon-Telemetrie.
Identifizierung der „Trennbarkeitsdecke": Das Papier liefert empirische Beweise dafür, dass hochentwickelte APT-Gruppen in einem dichten Bereich des verhaltensbezogenen Merkmalsraums konvergieren, wodurch standardmäßige TTP-basierte und beacon-basierte Fingerabdrücke für die Entschlüsselung unzureichend werden.
Einblick in die Ausweich-Invarianz: Die Erkenntnis, dass Ausweichung die Zuschreibungsgenauigkeit nicht verschlechtert (da das Problem der Unterscheidbarkeit und nicht der Verschleierung liegt), bietet Verteidigern eine neue strategische Perspektive.
Quantitative Lückenanalyse: Die Autoren quantifizieren die genaue Lücke ( $\Delta S$ ), die für eine zuverlässige Zuschreibung erforderlich ist, und zeigen, dass aktuelle 24-dimensionale Merkmale um einen spezifischen Betrag hinter den Anforderungen zurückbleiben.

6. Bedeutung und zukünftige Richtungen

Strategischer Wandel: Die Ergebnisse deuten darauf hin, dass Verteidiger sich nicht allein auf die Erhöhung des Volumens von Beacon-Daten verlassen oder hoffen sollten, dass Angreifer Fehler machen. Stattdessen muss der Fokus auf die Anreicherung von Signalklassen verlagert werden.
Vorgeschlagene Lösungen: Um die Trennbarkeitsdecke zu durchbrechen, schlagen die Autoren die Integration folgender Elemente vor:
1. Zielsetzung nach Opfersektor: APT-Gruppen haben oft spezifische Branchenziele (z. B. Finanzen vs. Energie), die unabhängig von ihren operativen Werkzeugen sind.
2. Reichhaltigere zeitliche Muster: Über die einfache Entropie der Tageszeit hinausgehend, um Wochentagsmuster und die Abstimmung mit nationalen Feiertagen einzubeziehen.
3. Wiederverwendungsgraphen für Infrastruktur: Analyse des gleichzeitigen Auftretens spezifischer ASN-Bereiche oder Exit-Knoten, selbst innerhalb von TOR-Netzwerken.
Verteidigungsstrategie: Da Ausweichung die Zuschreibung nicht beeinträchtigt, können Verteidiger passiv arbeitende Zuschreibungsinfrastrukturen (wie Honeytokens) aggressiv einsetzen, ohne Angst zu haben, dass das Alarmieren des Angreifers das System unbrauchbar macht.

Zusammenfassend lässt sich sagen, dass ARCANE zwar das Problem der longitudinalen Zuschreibung erfolgreich formalisiert, seine empirischen Ergebnisse jedoch als „konstruktives Negativ" dienen, das demonstriert, dass aktuelle Verhaltensfingerabdrücke strukturell unzureichend sind, um hochentwickelte Akteure zu unterscheiden, und die dringende Notwendigkeit einer multimodalen Signalintegration hervorheben.