Anzeige

Ransomware

Anfang dieses Jahres hat Cybereason einen neuen Honeypot eingerichtet, um Taktiken, Techniken und Verfahren zu analysieren, die staatlich geförderte Hacker-Gruppierungen und Cyberkriminelle gegen Anbieter kritischer Infrastrukturen einsetzen.

Der aktuelle Honeypot folgt auf einen früher eingerichteten aus dem Jahr 2018, der die gleiche Branche untersuchte. Der Honeypot wurde so aufgebaut, dass er vorgeblich wie ein Elektrizitätsversorgungsunternehmen mit Niederlassungen in Nordamerika und Europa wirkte. 

Im Rahmen der aktuellen Untersuchung hat das Cybereason-Team mehrere Angreifer identifiziert, die Ransomware-Attacken ausgeführt und Daten gestohlen sowie Benutzer-/Anmeldeinformationen abgegriffen haben. Die Angreifer sind dabei in den typischen lateralen Bewegungen ins Netzwerk des vermeintlichen Opfers vorgedrungen, um so viele Endpunkte wie möglich zu infizieren. Dazu gehörten auch kritische Systeme wie die Domain-Controller, bei denen eine Infiltration einen Zeitraum von wenigen Minuten bis hin zu mehreren Stunden umfassen kann.

Zwar wurden die Ransomware-Funktionen bereits zu Beginn des Hacker-Angriffs bereitgestellt, aber nicht sofort genutzt. Die Schadsoftware war so konzipiert, dass sie erst dann an sämtlichen, kompromittierten Endpunkten scharf geschaltet wurde, nachdem die Vorstufen des Angriffs abgeschlossen waren. Dieses Vorgehen gewährleistet maximalen Schaden beim Opfer. 

Dieses operative Angriffsmuster versucht, so viele Systeme wie möglich zu treffen. Dieses Vorgehen stellt für die betroffenen Unternehmen ein wesentlich höheres Risiko dar als Ransomware-Angriffe, die sich auf einzelne Rechner auswirken. Nämlich auf die Computer, die als erste angegriffen werden. Dieses operative Muster hat aber auch Vorteile: über eine schnelle Erkennung und Vorfallsreaktion ist es möglich, einen solchen Angriff in seinem Frühstadium zu identifizieren und wirksam darauf zu reagieren, bevor die Ransomware die Umgebung beeinträchtigt. 

Angesichts der Ergebnisse der Untersuchung kommt das Cybereason-Team zu dem Schluss, dass mehrstufige Ransomware-Angriffe auf Anbieter kritischer Infrastrukturen gefährlicher werden und zunehmend häufiger vorkommen. 

Hintergrund

Wir leben in einer Welt voller Unsicherheiten. Hacker haben in dieser Welt gegenüber den meisten Unternehmen, die versuchen, ihre Computernetzwerke zu schützen, einen nicht unerheblichen Vorteil. Nirgendwo ist das so offensichtlich wie bei den Anbietern von kritischen Infrastrukturen. Sie sind inzwischen einer ständigen Flut von Cyberangriffen ausgesetzt, meistenteils durch hoch motivierte und finanziell gut ausgestattete Gruppen von Cyberkriminellen und staatlich geförderte Akteure.

Nach der Definition des Department of Homeland Security umfassen kritische Infrastrukturen „das riesige Netz von Autobahnen, Verbindungsbrücken und -tunneln, Eisenbahnen, Versorgungseinrichtungen und Gebäude, die zur Aufrechterhaltung der Normalität des täglichen Lebens notwendig sind. Verkehr, Handel, sauberes Wasser und Elektrizität hängen ausnahmslos von diesen lebenswichtigen Systemen ab.“

Zu den schlagzeilenträchtigsten und kontroversen Angriffen auf kritische Infrastrukturen in den letzten Jahren zählen die Attacke auf das Kontrollsystem eines Staudammes in New York und die Abschaltung des ukrainischen Stromnetzes. In jüngerer Zeit haben jedoch quasi chirurgisch angelegte Ransomware-Angriffe gegen Unternehmen im Versorgungs- und Energiesektor dramatisch zugenommen. Erst jüngst ist Portugals größter Energieversorger EDP einem Ransomware-Angriff zum Opfer gefallen, bei dem die Angreifer drohten, 11 Terabyte an sensiblen Unternehmensdaten offenzulegen. Die dagegenstehende Lösegeldforderung: 11 Millionen Dollar. Ebenfalls in diesem Jahr stoppte die israelische Regierung einen groß angelegten Cyberangriff auf die Wasserversorgungssysteme. Laut Medienberichten soll der Iran hinter der Aktion stehen. Auf diese Liste gehört auch die mexikanische Ölgesellschaft Pemex, die laut Reuters mit Bedrohungen zu kämpfen hatte, die sich gegen die Kunden des Unternehmens richteten. 

Bereits im Rahmen einer früheren Honeypot-Analyse und des ebenfalls ICS-basierten Honeypots 2018 beobachtete das Team von Cybereason auch eine Reihe von Ransomware-Angriffen. Sie zeichneten sich durch die typische Dateiverschlüsselung aus, und in einigen Fällen war die Schadsoftware in der Lage, sich selbst weiter zu verbreiten, indem sie bekannte Schwachstellen des Betriebssystems ausnutzte, um Dateien verschlüsseln zu können. 

Beim Vergleich des Honeypot 2018 mit neueren Beobachtungen am Honeypot 2020 wurde ersichtlich, dass bei verschiedenen Ransomware-Angriffen die typische Dateiverschlüsselung um Hacking-Operationen erweitert wurde. Man kann davon ausgehen, dass dies ein Versuch ist, die Auswirkungen des Angriffs auszuweiten, die Ransomware-Kosten in die Höhe zu treiben und die Neigung des Opfers, das Lösegeld tatsächlich zu zahlen, zu erhöhen. 

Fazit

Der Vergleich zwischen den Ergebnissen von 2018 und 2020 zeigt deutliche Veränderungen. Immer häufiger gehen Hacker inzwischen zu mehrstufigen Ransomware-Angriffen über. Für die Anbieter kritischer Infrastrukturen sollte das ein deutlicher Anlass zur Sorge sein.  

Einer der Trends, den das Cybereason-Team gerade für den ICS-Bereich belegen kann: Es gibt 2020 weniger neue Ransomware-Stämme; demgegenüber erzielen die existierenden aber deutlich höhere Gewinne. Hacker haben dahingehend ihre Strategie geändert. Sie gehen jetzt wesentlich gezielter vor als noch vor wenigen Jahren, und sie wollen von jedem Opfer so viel wie möglich abkassieren. Cybereason rechnet in absehbarer Zeit mit einem Anstieg bei mehrstufiger Ransomware, die in Hacking-Operationen eingebettet ist. 

Ein anderer Erfolgsfaktor dieser Angriffe ist die Destabilisierung des Unternehmens und der Verfügbarkeit. Wegen der potenziell enormen und unmittelbaren Auswirkungen auf das Gemeinwesen, können Hacker die Lösegeldforderungen in die Höhe treiben. Gleichzeitig steigt die Neigung solchen Forderungen nachzukommen, insbesondere, wenn es Versicherungsgesellschaften sind, die dafür aufkommen. Ein zweischneidiges Schwert, denn je häufiger Angriffe dieser Art es in die Schlagzeilen schaffen, desto eher werden Unternehmen geneigt sein, für eine entsprechende Versicherungsdeckung zu zahlen. Das wiederum wird die Zahl der Angriffe erneut in die Höhe treiben. Vermutlich solange, bis die Kosten für die Versicherungsprämien mit denen vergleichbar sind, die ein Unternehmen aufwenden müsste, um den Schaden zu beseitigen. 

www.cybereason.com
 


Artikel zu diesem Thema

Ransomware
Jun 09, 2020

Teufelskreis Ransomware: Das Wirtschaftssystem hinter der Daten-Geiselnahme

Durch die enorme Professionalisierung der Vertriebswege wie Ransomware-as-a-Service…
Ransomware
Jun 03, 2020

Ransomware: Gestern, heute und morgen

Vor drei Jahren trieb die Ransomware WannaCry ihr Unwesen und richtete große Verwüstungen…
Honeypot
Jan 22, 2020

Honeypot Cyberangriffe auf Industrieumgebung abgefangen

Trend Micro stellt die Ergebnisse eines über sechs Monate laufenden Honeypots vor, der…

Weitere Artikel

Phishing

Neuer Report zeigt Top Phishing-Maschen auf

Norton Labs, das globale Forschungs-Team von NortonLifeLock, veröffentlicht den zweiten Consumer Cyber Safety Pulse Report. Der quartalsweise erscheinende Report bietet wichtige Einblicke und Erkenntnisse in Cybersecurity-Vorfälle, die Verbraucher zum Ziel…
Hacker Russland

REvil-Ransomware – höfliche und russlandfreundliche Hacker

Vor allem jenseits des Atlantiks sorgte kürzlich ein Bericht der NBC für Furore: Dieser stellte fest, dass die REvil-Ransomware, die für die groß angelegte Kaseya-Supply-Chain-Attacke benutzt wurde, so programmiert ist, dass sie keine russischen Rechner…
Cyber Security

Phishing-Angriffe: 65 Prozent der Opfer machten Schulung

Cloudian veröffentlichte seinen 2021 Ransomware Victims Report. Die Umfrage ergab, dass 54 Prozent der Opfer zum Zeitpunkt des Angriffs bereits an einer Anti-Phishing-Schulung teilgenommen und 49 Prozent einen Perimeter-Schutz installiert hatten.
Cybercrime

Cyberangriff auf die Rüstungsindustrie

Den Security-Experten von Proofpoint ist es nun gelungen, eine neue Social-Engineering-Attacke von TA456 (Threat Actor 456 – oft auch Imperial Kitten oder Tortoiseshell genannt) aufzudecken. Bei der Kampagne versuchten die Cyberkriminellen über mehrere Jahre…
Malware

UEFI-Malware bleibt Bedrohung für Privatanwender und Unternehmen

Mit dem Schadprogramm Lojax war das Unified Extensible Firmware Interface (UEFI) im Herbst 2018 in aller Munde. ESET Forscher hatten herausgefunden, dass Hacker mit neuartigen Angriffsmethoden die Firmware auf Mainboards infiltrieren und über diesen Weg die…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.