Der Umgang mit Ransomware in der Urlaubszeit 2021/22

Zum Jahresende veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) wieder seinen alljährlichen Bericht zur Lage der IT-Sicherheit in Deutschland. Insgesamt zeichnet sich ein düsteres Bild. Auch in diesem Jahr hat die Pandemie die Cyber-Verteidiger zusätzlich gefordert.

Und auch die Cyber-Kriminellen saßen nicht untätig da. Mit bis zu 553.000 neuen Malware Varianten pro Tag erreichten wir den bis dato höchsten, jemals gemessenen Wert an neuer Schadsoftware. Aber nicht nur die Masse der Angriffe nimmt zu – auch die Qualität von Ransomware-Attacken steigt rasant. Die jüngste Studie von Cybereason zeigt, dass Unternehmen vor allem in der Urlaubszeit Gefahr laufen, Opfer von erfolgreichen Cyber-Angriffen zu werden – dann, wenn die Büros geschlossen sind oder die Unternehmen nur mit einer Notbesetzung arbeiten. Einige der einflussreichsten Ransomware-Angriffe aus 2021 ereigneten sich in dieser kritischen Zeit.

Markante Ransomware-Angriffe an Feiertagen, Wochenenden und in der Urlaubszeit im Jahr 2021

Mai 2021- Muttertags-Wochenende - Colonial Pipeline

Mai 2021- Memorial Day Wochenende - JBS Foods

Juli 2021- US-Amerikanischer Unabhängigkeitstag - Kaseya Limited

August 2021 – Sommerferienzeit – Bundeswahlleiter

August 2021 – Sommerferienzeit – Sparkassenverband Baden-Württemberg

Die weltweite Cybereason-Studie über Ransomware in der Urlaubszeit zeigt die Auswirkungen von Ransomware-Angriffen auf Unternehmen an Feiertagen, Wochenenden und in der Urlaubszeit

Cybereason nahm das Labor Day Weekend Advisory von FBI und CISA zum Anlass, eine globale Studie zu Ransomware-Angriffen an Feiertagen, Wochenenden und in der Urlaubszeit durchzuführen. Ziel war es, die Business-Auswirkungen dieser Angriffe auf Unternehmen zu verstehen. Die Ergebnisse der Studie zeigen Handlungsempfehlungen für Firmen auf, damit Prozesse und Tools so eingerichtet werden, dass solche Angriffe effizient und erfolgreich abgewehrt werden können.

Ransomware-Angriffe haben negative Auswirkungen auf Unternehmen in Deutschland und auf der ganzen Welt. Cybereason veröffentlichte im Juni 2021 eine weltweit durchgeführte Studie mit dem Titel "Ransomware: Die wirklichen Kosten für Unternehmen". Zentrale Ergebnisse sind: Ransomware-Angriffe bedeuten für Unternehmen erhebliche Umsatzeinbußen, Markenschäden, außerplanmäßigen Personalabbau und Störungen des Geschäftsbetriebs.

Die aktuelle Studie befragte mehr als 1.200 Unternehmen in Deutschland und auf der ganzen Welt, die schon einmal von einem Ransomware-Angriff an einem Feiertag, einem Wochenende oder in der Urlaubszeit betroffen waren. 90 Prozent der Befragten machen sich Sorgen, in der kommenden Urlaubssaison von einem weiteren Ransomware-Angriff getroffen zu werden. 24 Prozent der Befragten haben jedoch keinen spezifischen Plan, um einem Ransomware-Angriff zu begegnen, wenn sie in dieser kritischen Zeit nur mit einer Notbesetzung arbeiten. Auch ein falsches Sicherheitsgefühl ist in vielen Unternehmen vorzufinden: Jeder fünfte Befragte glaubt, dass er niemals Ziel eines Ransomware-Angriffs werden würde.

Bemerkenswert: 63 Prozent der Befragten sind der Ansicht, dass der Ransomware-Angriff auf sie erfolgreich war, weil er von einem professionellen Angreifer durchgeführt wurde, der zum Beispiel von einem Nationalstaat unterstützt wird. Und das, obwohl Ransomware-Angriffe bisher fast ausschließlich eine Taktik von herkömmlichen Cyberkriminellen sind. Während immer mehr Ransomware-Angriffe das Ergebnis komplexer Kampagnen gegen extrem lohnenswerte Ziele sind, die von Gruppen wie REvil und DarkSide durchgeführt werden, sind die meisten Ransomware-Angriffe immer noch "Spray and Pray", bei denen sich Cyberkriminelle auf Massen-E-Mail-Spam-Kampagnen verlassen.

Der Mensch als schwächstes Glied im Cybersecurity-Ökosystem

Mit mehr als 3 Millionen offenen Cybersecurity-Stellen weltweit leidet die Cyber-Sicherheitsbranche unter einem eklatanten Personalmangel. Dies führt zu zusätzlichem Stress und längeren Arbeitszeiten für die vorhandenen Sicherheitsexperten. In der aktuellen Studie wurden 86 Prozent der Befragten wegen eines Ransomware-Angriffs in ihrem Unternehmen an einem Feiertag, einem Wochenende oder im Urlaub zur Arbeit gerufen und haben so Zeit mit der Familie oder Freunden verpasst. Außerdem gaben 70 Prozent der Befragten zu, während der Reaktion auf einen Ransomware-Angriff in dieser Zeit betrunken gewesen zu sein – ein Risikofaktor für Unternehmen, der in den Reaktionsplänen möglicherweise nicht berücksichtigt wurde.

Wie man das Ransomware-Risiko verringert und die Angreifer aus den Netzwerken verbannt

Der Cybereason Holiday Ransomware Advisory wurde mit dem Ziel herausgegeben, das Bewusstsein für das Ransomware-Risiko zu schärfen und praktische Ratschläge und Empfehlungen für den Umgang mit Ransomware zu geben. So soll die Wahrscheinlichkeit erfolgreicher Ransomware-Angriffe in der Urlaubssaison 2021 und darüber hinaus verringert werden.

Insbesondere kritische Infrastrukturen stehen im Fadenkreuz von Ransomware-Banden. Betreiber, die mit veralteter und nicht gepatchter Software arbeiten, sind am stärksten gefährdet. Die Erpressung von Lösegeld und das Testen der Widerstandsfähigkeit von Systemen sind für die Angreifer dabei gleichermaßen wichtig, um Informationen über ihre Ziele zu erhalten. Die Beeinträchtigung von Stromnetzen, Wasserversorgung, SCADA-Systemen, Telekommunikation, Luft- und Schienenverkehr kann langanhaltende und verheerende Folgen haben, wenn ein Angriff erfolgreich ist.

Um das Risiko für Betreiber kritischer Infrastrukturen (KRITIS) zu verringern, werden die folgenden bewährten Strategien empfohlen:

• Einführung von Tools und Verfahren zur Reaktion auf Cybervorfälle in IT- und OT-Netzwerken, um die durchschnittliche Reaktionszeit zu minimieren: Schaden zu minimieren und zu verhindern, dass ein ICS-Netzwerk offline geht, ist im Grunde ein Katz- und Mausspiel zwischen Angreifern und Verteidigern. Um Hackergruppen in Schach zu halten, müssen Unternehmen die Reaktionszeit auf eine Bedrohung minimieren. Threat Hunting-Dienste, die rund um die Uhr verfügbar sind, sind hier das Mittel der Wahl.
   
• Einrichtung eines einheitlichen Security Operation Center und einheitlicher Workflows für IT- und OT-Umgebungen: Ein einheitliches Security Operations Center (SOC) bietet Einblick in IT- und OT-Umgebungen. Angreifer versuchen nämlich, IT-Umgebungen als Einfallstor für OT-Umgebungen zu nutzen. Einige Unternehmen haben vielleicht bereits ein Netzwerk-Operations-Center, das die OT-Umgebung überwacht, aber ein kombiniertes SOC ermöglicht es, alle Vorgänge zu sehen.
   
• Entwurf und Einsatz mit Blick auf die Ausfallsicherheit: Resilienz und Sicherheit dürfen nicht länger ein nachträglicher Gedanke sein. Mit dem Aufbau und der Installation neuer kritischer Infrastruktursysteme werden Legacy- Netzwerke ausgemustert und vom Netz genommen. Es ist äußerst wichtig, dass die Systeme der nächsten Generation mit Blick auf Ausfallsicherheit und Security aufgesetzt werden. Bei der Konzeption und dem laufenden Betrieb des Systems ist darauf zu achten, welche Sicherheitsbedrohungen in den kommenden Monaten und Jahren alltäglich sein werden.
   
• Zusammenarbeit mit Experten: Achten Sie darauf, dass Sie mit Experten zusammenarbeiten, die sich mit ICS-Bedrohungen bestens auskennen. Der öffentliche und der private Sektor müssen eng zusammenarbeiten, um kritische Infrastrukturen zu schützen. Wählen Sie einen Partner, der neuen Bedrohungen immer einen Schritt voraus ist und Betreibern hilft, Probleme in Echtzeit zu lösen.
   
• Testen, Testen, Testen: Regelmäßige Tests müssen hier unbedingt einen Schwerpunkt bilden. Übungen, bei denen ein rotes (Angreifer) und ein blaues (Verteidiger) Team verschiedene Katastrophenszenarien durchspielen und in Echtzeit auf diese Szenarien reagieren müssen, sind von entscheidender Bedeutung, wenn es darum geht, eine echte Bedrohung zu bewältigen. Der Wert dieser Übungen darf nicht unterschätzt werden, wenn es darum geht, Schwachstellen zu beseitigen und den Führungskräften die Bedeutung der Sicherheitsmaßnahmen zu verdeutlichen.

Und es kann noch mehr getan werden, um Ransomware-Risiken während der Ferienzeit und an Wochenenden zu verringern:

• Eine gute Sicherheitshygiene im Arbeitsalltag. Dazu gehören beispielsweise die Einführung eines Programms zur Sensibilisierung der Mitarbeiter für Sicherheitsfragen, die regelmäßige Aktualisierung von Betriebssystemen und anderer Software sowie der Einsatz der branchenweit besten Sicherheitslösungen im Netzwerk.
   
• Gewährleistung der Erreichbarkeit wichtiger Akteure zu jeder Tageszeit, da sich kritische Reaktionsmaßnahmen an Wochenenden/Feiertagen sonst verzögern können. Es kann vorkommen, dass relevante Personen E-Mails im Zusammenhang mit einem Angriff aufgrund von Systemproblemen nicht erhalten. Oder sie gehen nicht an ihr Telefon, weil es keine klare Vorgabe gibt, dass sie im Falle eines Ereignisses die Kommunikation im Auge behalten müssen. Eine klare Zuweisung von Bereitschaftsdiensten für Sicherheitsvorfälle außerhalb der Geschäftszeiten ist hier entscheidend.
   
• Die regelmäßige Durchführung von Übungen unter Einbeziehung von Personen, die nicht zum Sicherheitsteam gehören. Dies betrifft beispielsweise die Rechtsabteilung, die Personalabteilung, den IT-Support und die gesamte Führungsetage. Nur, wenn alle Beteiligten wissen, was im Falle eines Angriffs zu tun ist, kann eine reibungslose Reaktion auf einen Vorfall erfolgen.
   
• Klar definierte Isolierungsmaßnahmen, um ein weiteres Eindringen in das Netzwerk oder die Ausbreitung der Ransomware auf andere Geräte zu verhindern. Die Teams sollten Dinge wie das Trennen eines Hosts, das Sperren eines kompromittierten Kontos und das Blockieren einer bösartigen Domain reibungslos beherrschen. Es wird empfohlen, diese Verfahren mindestens vierteljährlich mit geplanten oder außerplanmäßigen Übungen zu testen, um sicherzustellen, dass alle Abläufe richtig funktionieren.
   
• Prüfung des Einsatzes von Managed Security Services Providern (MSSP), wenn im Unternehmen Personal- oder Fachkräfte fehlen. Außerdem sollten mit diesen Anbietern vorab vereinbarte Reaktionsverfahren festgelegt werden, damit sie anhand dieser im Falle eines Falles Sofortmaßnahmen ergreifen können.
   
• Evaluieren der Sperrung kritischer Konten über das Wochenende/den Urlaub. Der übliche Weg, den Angreifer bei der Verbreitung von Ransomware in einem Netzwerk nutzen, ist die Eskalation der Privilegien auf die Admin-Domänenebene und die anschließende Verbreitung der Ransomware. Die Konten mit den höchsten Privilegien werden in vielen Fällen während des Wochenendes oder der Feiertage kaum benötigt. Teams sollten im Active Directory hochsichere, auf Notfälle beschränkte Konten einrichten, die nur verwendet werden, wenn andere betriebliche Konten als Vorsichtsmaßnahme vorübergehend deaktiviert werden oder während eines Ransomware-Angriffs nicht zugänglich sind.
   
• Einsatz von EDR an allen Endpoints. Laut Peter Firstbrook von Gartner ist die schnellste Abhilfe gegen die Ransomware-Plage für Unternehmen des öffentlichen und privaten Sektors die Implementierung von EDR auf den Endgeräten. Dennoch verfügen laut Firstbrook nur 40 Prozent der Endpoints über EDR. Noch besser ist der Einsatz von XDR (Extended Detection and Response). XDR erkennt nicht nur netzwerkübergreifend verdächtige Verhaltensmuster, sondern setzt sie auch in Beziehung zueinander, sodass größer angelegte Angriffe schnell erkannt werden.
   
• Sicherung aller Daten und regelmäßige Tests dieser Backups. Führen Sie Backups von wichtigen Dateien durch und überprüfen Sie regelmäßig, ob die Backups wiederhergestellt werden können. Bewahren Sie die Backup-Dateien offline auf. Denn Hacker versuchen, zugängliche Backups zu löschen.
   
• Verzicht auf den Download von Raubkopien oder kostenpflichtiger Software, die "kostenlos" angeboten wird. Denken Sie daran: Wenn ein kostenpflichtiges Produkt kostenlos angeboten wird, sind Sie das eigentliche Produkt.
   
• Laden Sie keine Software aus dubiosen Quellen herunter.
   
• Öffnen Sie keine E-Mail-Anhänge von unbekannten oder unerwarteten Absendern.

www.cybereason.com