Anzeige

Hackergruppe

Das Incident Response Team (IRT) von Varonis Systems beobachtet seit November 2020 verstärkte Angriffe von Darkside, Inc. auf Unternehmen in Nordamerika und Europa. Diese sehr gezielten Kampagnen wurden in mehreren Phasen über Wochen bzw. Monate durchgeführt und zielten auf den Diebstahl und die Verschlüsselung sensibler Daten einschließlich Backups ab.

Obgleich die Opfer über umfangreiche Cybersicherheitslösungen verfügten, hatten sie dennoch Schwierigkeiten bei der Identifizierung und folglich auch Abwehr der Attacken. Hierzu trägt vor allem das hochentwickelte Vorgehen der Angreifer bei: So halten sie sich vor der Verschlüsselung der Dateien außergewöhnlich lange in den angegriffenen Netzwerken auf, um möglichst unauffällig besonders lohnende Dateien zu identifizieren und zu exfiltrieren. Die Angreifer setzen dabei auf die neue Methode des RDP-over-TOR, bei der Traffic wie https-Traffic erscheint, allerdings TOR-Traffic zu Onion-Nodes darstellt. Auch werden bei jedem Angriff unterschiedliche Command and Control-Server, Beacons und individueller Code verwendet. Auffällig ist zudem, dass die Angriffe meist über kompromittierte Partner und Auftragnehmer erfolgen, da die Cyberkriminellen offensichtlich davon ausgehen, dass hier das Sicherheitsniveau in der Regel niedriger als bei den eigentlichen Zielen ist.

„Unser IRT hat festgestellt, dass sich der Code sowie die Techniken und Taktiken der Angreifer stets weiterentwickeln und jeder Angriff letztlich einzigartig ist“, erklärt Michael Scheffler, Country Manager DACH von Varonis Systems. „Auch das kürzlich vorgestellte Darkside Decryption Tool von Bitdefender hilft bei den neueren Angriffen nicht weiter.“ Die eingesetzten Tarn-Taktiken umfassen u.a. Command and Control over TOR, das Meiden von Nodes, die mit Endpoint Detection and Response (EDR) gesichert werden, sowie das Löschen von Log-Dateien.

Die Angreifer lassen sich sehr viel Zeit und führen auffälligere Aktionen erst in späten Phasen des Angriffs durch. Hier greifen sie auch Anmeldeinformationen ab, die in Dateien, im Speicher und auf Domain-Controllern gespeichert sind, nutzen Dateifreigaben zur Verteilung von Angriffstools und zum Speichern von Dateiarchiven und löschen zudem Backups (einschließlich Schattenkopien). „Eine Entdeckung dieser sehr fortschrittlichen Angriffe ist nur durch eine intelligente Verhaltensanalyse möglich. Dies zeigt sich insbesondere bei lateralen Bewegungen: Ein kompromittiertes Konto kann hierzu durchaus berechtigt sein. Sind solche Aktionen für den betreffenden Nutzer jedoch ungewöhnlich bzw. hat er dies noch nie gemacht, schlagen diese Systeme Alarm und die Sicherheitsteams können der Sache schnell auf den Grund gehen“, so Scheffler.

Über Darkside, Inc.

Die Darkside-Ransomware-Gruppe kündigte ihr Ransomware-as-a-Service-Modell im August 2020 in einer „Pressemitteilung“ an. Seitdem ist sie durch professionelle Operationen und hohe Lösegeldforderungen auffällig geworden. Die Cyberkriminellen agieren hochprofessionell und treten wie ein Unternehmen auf („Darkside, Inc.“), das unter anderem Web-Chat-Support sowie gewisse „Garantieleistungen“ anbietet. Vor einem Angriff erstellen sie umfangreiche Finanzanalysen der potenziellen Opfer, um so nur besonders lohnende, finanzkräftige Ziele zu attackieren. Gleichwohl bemühen sie sich auch um ein positives Image, indem sie öffentlich bekanntgegeben haben, keine Krankenhäuser, Schulen, gemeinnützige Einrichtungen und Regierungen anzugreifen, und angeblich einen Teil ihrer Einnahmen wohltätigen Zwecken zukommen lassen. Das Reverse Engineering von Varonis hat ergeben, dass die Malware von Darkside die Spracheinstellungen der Geräte überprüft, um sicherzustellen, dass sie keine in Russland ansässigen Unternehmen angreift.

Tipps zur Vorbereitung auf hochentwickelte Angriffe

  • Finden und beheben Sie die Schwachstellen, bevor es Angreifer tun: Jedes Konto im Internet, das keine MFA erfordert, ist nur einen Brute-Force-Angriff von einer Kompromittierung entfernt. Jeder ungepatchte Server mit Internetzugang ist nur einen Exploit vom Zahltag eines Skript-Kiddies entfernt.
     
  • Gehen Sie davon aus, angegriffen zu werden, und beheben Sie Schwachstellen im Inneren: Angreifer suchen nach einfachen Wegen, um an Domain-Admin-Anmeldeinformationen zu gelangen. Service- oder Admin-Konten mit SPNs, die zudem eine schwache Verschlüsselung aufweisen, oder privilegierte Konten mit schwachen oder gar keinen Kennwortanforderungen sind leichte Ziele. In zahlreichen Unternehmen benötigen Angreifer nicht einmal erhöhte Anmeldeinformationen, um sensible Daten zu erbeuten. Der durchschnittliche Mitarbeiter hat Zugriff auf weit mehr Daten, als er tatsächlich für seine Arbeit benötigt. Sperren Sie sensible Daten, so dass nur die richtigen Konten Zugriff haben, und überwachen Sie dann Dateisysteme auf ungewöhnliche Zugriffe und Änderungsereignisse.
     
  • Bringen Sie Licht ins Dunkel, vor allem bei wertvollen Assets: Unternehmen mit umfassenden Überwachungslösungen erkennen Angriffe wie diese wesentlich schneller. Wenn Sie blinde Flecken auf Kerndatenspeichern, in Active Directory, DNS, Fernzugriffssystemen oder in Webverbindungen haben, sind Sie kaum in der Lage festzustellen, welche Systeme kompromittiert wurden und ob sensible Daten gestohlen wurden.
     
  • Wenn Sie einen Angriff entdecken, lassen Sie Active Directory den Umfang ermitteln: Active Directory-Ereignisse können Ihnen helfen, kompromittierte Konten und Geräte schnell zu identifizieren. Anstatt sich auf jeweils einen Endpunkt zu konzentrieren, können Sie nach der Identifizierung eines kompromittierten Kontos oder Systems Active Directory nach Anzeichen für laterale Bewegungen dieses Kontos oder der auf diesem System verwendeten Konten abfragen.
     
  • Lassen Sie sich helfen: Wenn Sie Grund zu der Annahme haben, dass Sie von Darkside oder einer anderen Gruppe angegriffen wurden, können Sie sich an das Varonis Incident Response Team Dort erhalten Sie profunde Hilfe bei der Abwehr und Forensik. Dabei spielt es keine Rolle, ob Sie Varonis-Kunde sind.

www.varonis.com
 


Artikel zu diesem Thema

Ransomware
Mär 17, 2021

Ransomware-as-a-Service wird zunehmend zum Problem

Mietmodelle werden auch im Software-Bereich immer populärer. Unternehmen können mit…
Cyberattack
Okt 24, 2020

Backup-Software – Schutzwall oder Einfallstor?

Zu den aktuellen Bedrohungen für die Datensicherheit und -verfügbarkeit gehört längst…
Active Directory
Aug 09, 2020

Warum Active Directory bei Cyberkriminellen immer beliebter wird

Die Sicherung des Active Directory (AD) sollte ein zentrales Element in jeder…

Weitere Artikel

Exploit

Hacker nutzen Zero-Day-Schwachstelle aus

HP analysiert in seinem neuesten HP Wolf Security Threat Insights Report reale Cybersecurity-Angriffe, die durch die Isolierungs-Tools von HP Wolf Security entdeckt wurden.
Herzmonitor

Ransomware-Angriffe auf Krankenhäuser - Sind Leben in Gefahr?

Krankenhäuser in den USA wurden zuletzt verstärkt von Ransomware-Gruppen angegriffen. Statistische Berechnungen zeigen nun, dass dabei durchaus Gefahr für Leib und Leben besteht.
Bitcoin Smartphone

iPhone-Krypto-Betrug eskaliert nun auch in Europa

Neue Erkenntnisse von Sophos deuten darauf hin, dass der internationale Cyber-Betrug mit Kryptowährung eskaliert. Cyberkriminelle nutzen beliebte Dating-Apps wie Tinder und Bumble, um iPhones von arglosen Nutzern:innen für ihre betrügerischen Machenschaften…
Hacker

Wenn Prometheus das Feuer stiehlt

Moderne Versionen der Open-Source-Lösung Prometheus unterstützen Sicherheitsmechanismen wie Basisauthentifizierung und TLS, die explizit konfiguriert werden müssen und nicht standardmäßig aktiviert sind. Andernfalls können Hacker leicht sensible Informationen…
Hackerangriff

Reaktionszeit auf Cyberangriffe dauert mehr als zwei Arbeitstage

Deep Instinct, Entwickler eines Deep-Learning-Framework für Cybersicherheit, veröffentlicht mit der zweiten Ausgabe des halbjährlichen Voice of SecOps Reports neue Zahlen zur aktuellen Cyber-Bedrohungslage zu der weltweit Cybersicherheitsexperten befragt…
Ransomware

1 von 5 Unternehmen war schon Opfer von Ransomware

Eine kürzlich durchgeführte Umfrage der Cybersecurity-Experten von Hornetsecurity unter mehr als 820 Unternehmen ergab, dass 21 % der Befragten bereits Opfer eines Ransomware-Angriffs wurden. Ransomware ist eine der häufigsten und effektivsten Formen der…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.