VERANSTALTUNGEN

DAHO.AM
24.07.18 - 24.07.18
In München

2. Jahrestagung Cyber Security Berlin
11.09.18 - 12.09.18
In Berlin

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

RansomwareIn den letzten Monaten haben einige spektakuläre Ransomware-Angriffe für viel Aufsehen gesorgt. Betroffen waren Unternehmen weltweit. Dabei gerieten nicht immer die Firmen selbst ins Visier der Angreifer sondern die Malware wurde wie im Fall von Petya über eine Tochtergesellschaft eingeschleppt. 

Unter den Opfern waren etliche prominente Namen. Diese Tatsache und die schnelle Art der Verbreitung haben der Malware eine entsprechend hohe Aufmerksamkeit beschert.

Petya machte sich dabei denselben Exploit zunutze (EternalBlue/DoublePulsar) wie WannaCry. 

Darüber hinaus verwendet sie PsExec und WMIC um sich in der typischen „Seitwärtbewegung“ innerhalb von Unternehmensumgebungen fortzubewegen. Diese unterschiedlichen Mechanismen sorgten (und sorgen noch) dafür, dass Petya deutlich vielseitiger ist als WannaCry, wenn es darum geht geeignete Verbreitungswege zu finden. Und die Malware ist in der Lage Remote-Systeme zu infizieren, die bereits einen Patch gegen die MS17-010-Schwachstelle eingespielt haben. Dieser Angriff hat zudem keinen sogenannten „Kill Switch“ über den es bei WannaCry gelungen war, die Verbreitung einzudämmen und die Folgeschäden zu begrenzen.

Bei „GoldenEye“ hat die Schadsoftware gezielt in einem bestimmten Land für Chaos gesorgt. In dem Fall ganz besonders in Deutschland. Dabei wurden gefälschte Bewerbungen im PDF-Format auf tatsächlich offene Stellen mit einem weiteren maliziösen Office-Anhang (Kompetenzprofil der Bundesagentur für Arbeit) gezielt per E-Mail an Personalabteilungen gesendet. Die Malware ist Ende 2016 erstmals aufgetreten und arbeitet als Ransomware-as-a-Service nach einem Gewinnbeteiligungsmodell.

(Geschäftskunden, die Opfer von GoldenEye oder Petya geworden sind, haben in den allermeisten Fällen den Schaden durch Wiederherstellung aus Backups beseitigt. Von dem jetzt freigegeben Schlüssel profitieren also nur Privatkunden die von Petya/Mische betroffen waren, einen Nutzen ziehen)

Paradigmenwechsel in Sicht?

Unternehmen realisieren inzwischen, dass die bislang ergriffenen Maßnahmen nicht ausreichen. Selbst dann, wenn Firmen übergreifende Plattformansätze verfolgen, die beispielsweise Firewalls, Sandboxing und Antiviren-Clients kombinieren. Woran liegt das? Auch eine übergreifende Strategie setzt letzten Endes auf Signatur-Updates und Regeln, um diese dann schnell, wenn möglich automatisiert, zu verteilen. Das setzt allerdings voraus, dass eine Bedrohung oder Malware-Familie mit ihren Angriffsvektoren schon bei einem anderen Unternehmen Schaden angerichtet hat. Es gibt also einen „Patient Zero“, der quasi zum Wohl der anderen geopfert wird. Wenn auch sicherlich nicht freiwillig. Und selbst wenn es Patient Zero gibt, kommt es immer noch darauf an, wie schnell die Signatur allgemein verfügbar gemacht wird.

Mit Spezialtechnologie gegen Ransomware?

Vielfach versuchen Firmen und Hersteller gleichermaßen dem Problem Ransomware mit speziellen Technologien beizukommen. Die Motivation ist verständlich, allerdings ist es nur bedingt sinnvoll ein speziell auf Ransomware abgestimmtes Produkt einzusetzen. Angreifer nutzen aktuell eine Vielzahl unterschiedlicher Angriffsvektoren. Social Engineering, Exploits, Drive-by-Malware um nur einige zu nennen. Entwickler von Erpresser-Software verwenden sie immer wieder erfolgreich in ihren Kampagnen. Das funktioniert, weil aus verschiedenen Gründen nie alle Angriffsvektoren vollständig adressiert werden können. Schlussendlich ist der Angriff erfolgreich, wenn es gelungen ist den Schadcode nicht nur einzuschleusen, sondern auszuführen. Er pflanzt sich dann beispielsweise als Wurm weiter fort. In der Regel bemerken die Betroffenen die Infektion erst, wenn der Schaden entstanden und die typische Lösegeldforderung auf dem Bildschirm prangt.

Ransomware – nur die Spitze des Eisbergs

Dass bestimmte Angriffsvektoren innerhalb von Ransomware-Kampagnen so erfolgreich sind, wirft die berechtigte Frage auf, ob sie sich dann nicht genauso wirksam für andere Angriffe verwenden lassen. Die Antwort auf diese Frage betrifft mithin IT-Anwender wie OT-Betreiber etwa von ICS-Anlagen. ICS-Systeme (Industrial Control Systems) sind Netzwerke, die Telemetrie-Daten für elektromechanische Geräte bereitstellen und kontrollieren. Sie kommen in vielen industriellen Konfigurationen vor, nicht zuletzt bei den sogenannten kritischen Infrastrukturen, etwa in der Energiegewinnung und Energieversorgung, im Transportwesen und so weiter.

Banking-Trojaner, Information Stealer und Backdoors arbeiten anders als Ransomware im Verborgenen. Der Eindringling will also unbedingt vermeiden, dass seine Aktionen bemerkt werden. Man kann den Anteil von Crypto-Trojanern am Gesamtaufkommen von Cyberangriffen getrost mit der Spitze eines Eisbergs vergleichen, die sichtbar aus dem Wasser ragt. Während andere Bedrohungen mit weit höherem Schadenspotential unter der Wasseroberfläche verborgen bleiben.

Wirklich verlässliche unabhängige Statistiken gibt es nicht, die Dunkelziffer ist hoch. Der Schaden aber, der entsteht, wenn geheime Entwicklungs- und Fertigungsdaten, Rezepturen, Patientenakten, Daten von Buchungsvorgängen abgezogen werden und die Hände unberechtigter Dritte geraten, ist jedenfalls ungleich höher als das Wiederherstellen verschlüsselter Daten aus einem Backup und ein vorrübergehender Produktivitätsverlust. Den Verlust vertraulicher Daten oder den Verrat von Betriebsgeheimnissen kann nämlich keine Lösegeldzahlung rückgängig machen.

Ransomware Cylance

Bild 1: Der Anteil von Ransomware ist zwar durchaus nicht gering, macht aber innerhalb der Bedrohungslandschaft lediglich einen Bruchteil aus (Quelle: Cylance, Eigendaten)

Eine moderne IT-Sicherheitslösung sollte mehr können als nur die verschiedenen Angriffsvektoren minimieren wie zum Beispiels Exploits unterbinden. Letztendlich sollte sie in der Lage sein, die binäre Schadkomponente (also die Payload) zuverlässig zu stoppen. Das funktioniert allerdings nicht, wenn man von Signaturen oder einer kontinuierlich aufrecht erhaltenen Internetverbindung abhängig ist. Letzteres ist gerade bei industriellen Steuerungs- und Kontrollsystemen relevant. Und selbst die Analyse einer ausgeführten Malware setzt voraus, dass ein bestimmtes Verhalten – wie etwa das Anlegen eines bestimmten Registry Key oder ein Datei-Hash, eine IP-Adresse oder Zeichenfolge zunächst bekannt sein müssen.

Ransomware Months

Bild 2: Zeitfaktor prädiktiver Schutz in Monaten (Abwehr bereits vor Tag-0 in Monaten)

Prädiktiv arbeitende Endpoint-Lösungen funktionieren an dieser Stelle anders. Sie verwenden eine Technologie, die auf künstlicher Intelligenz basiert und anhand mathematischer Modelle Client und Server effektiver vor den unterschiedlichen Malware-Varianten schützt. Etliche Anbieter reklamieren inzwischen maschinelles Lernen und künstliche Intelligenz für ihre Lösungen, aber praktisch kommt kaum eine Analyse ohne den bereits erwähnten Patient Zero aus. Maschinelles Lernen und künstliche Intelligenz werden inzwischen in etlichen Bereichen eingesetzt, vielfach ohne dass wir uns dessen bewusst sind. Inzwischen auch in der IT-Sicherheit. Gerade dort aber hat der inflationäre Gebrauch der beiden Termini teilweise mehr Verwirrung gestiftet als zur Erhellung beigetragen.

Inzwischen gibt es Technologien, die genuin auf maschinellem Lernen und künstlicher Intelligenz basieren, um Angriffe und Malware- Attacken möglichst vorausschauend zu verhindern. Dazu dient die statistische Analyse von identischen Blöcken oder Dateien im Code einer Schadsoftware. Die Software wertet Beobachtungen aus, erkennt wiederkehrende beziehungsweise übereinstimmende Muster und erlaubt auf dieser Basis eine vorausschauende Analyse. Hier dienen mathematische Modelle als Grundlage, anders als bei der überwiegenden Zahl traditioneller Antiviren- oder Anti-Malware-Lösungen, die sich eben meistenteils auf Signaturen oder Heuristik verlassen.

In unseren Analysen konnten wir beispielsweise feststellen, dass unsere Kunden bereits 20 Monate vor Ausbruch von GoldenEye, WannaCry und Petya und ihren Varianten geschützt waren. Hilfreich ist es zudem, wenn man den Angriffspfad eines Angriffsversuchs visualisieren kann, ohne wahllos und massenhaft Daten zu sammeln.

Sascha Dubbel

 

 

Sascha Dubbel, Senior Sales Engineer, Cylance

 

 

GRID LIST
Tb W190 H80 Crop Int E6b1eed76833e40b6dff0a1070b0694f

Cyber-Kriminelle nutzen Fake-App für Malware

Im vergangenen Monat haben Cyber-Kriminelle mithilfe einer gefälschten App des…
Tb W190 H80 Crop Int Db461ec563234e57f2cba9109df3ec5f

Kryptowährungen im Überblick

Seit 2010 ist der Vormarsch der sogenannten Kryptowährungen nicht mehr aufzuhalten. Dabei…
Ransomware Lösegeld

Ransomware: Warnung vor Lösegeldzahlung

Cyberkriminelle „kidnappen“ Daten und Computer von Organisationen und Einzelpersonen. Der…
Tb W190 H80 Crop Int C47c64413dabc5f83c8af1202d07c3d8

Vernetzung bedeutet höhere Gefährdung für KRITIS-Betreiber

Digitalisierung und die zunehmende Vernetzung aller Versorgungsbereiche stellen den…
Urlaub

Cyber-Security-Checkliste: Tipps für den Sommerurlaub

Der Sommer steht vor der Tür und mit ihm werden für viele die Urlaubspläne konkret. Dabei…
High Voltage Sign

Cyberattacken auf kritische Infrastrukturen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt aus aktuellem Anlass…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security