Mobile Malware

Laut Verizon Mobile Security Index für 2019 räumen 33 Prozent der befragten Unternehmen ein, dass sie bereits von einer Datenschutzverletzung betroffen waren, bei der ein mobiles Endgerät beteiligt war. Das ist ein Anstieg um 27 % gegenüber 2018.

Die Ergebnisse machen deutlich, dass es ganz offensichtlich an der Zeit ist, Mobilgeräte besser zu sichern. Allerdings ist unser Verständnis für diese Art der Bedrohungen noch vergleichsweise dürftig.

Was meinen wir, wenn wir Mobilgerät sagen?

Betrachten wir die Geschichte der mobilen Endgeräte, die bis in die 1980er Jahre zurückreicht, oder beschränken wir uns bei Mobilgeräten auf Smartphones? Wie sieht es mit „Zwitter“-Geräten wie dem Surface Pro aus? Und wer ist in erster Linie für die Sicherheit von Mobilgeräten zuständig? Die Verbraucher? Die Hard- und Softwarehersteller? Die Unternehmen, bei denen die Geräte eingesetzt werden?

Verbraucher im Visier: Mobile Malware

Auf dem diesjährigen SANS Pen Test HackFest Summit sprach Jeroen Beckers von NVISO, Mitautor des OWASP Mobile Security-Testing Guide und OWASP Mobile Application Security Verification Standard über Mobile Malware und wie sie sich auf den Verbraucher auswirkt. In seinem Vortrag machte Beckers deutlich, dass diese Form der Schadsoftware sich wachsender Beliebtheit erfreut und in vielerlei Erscheinungsformen auftritt: Ransomware, Abonnementsbetrug, Werbebetrug und Betrug mit Premium-Texten.

Einige der wichtigsten Erkenntnisse aus seinem Vortrag:

  1. Es ist ziemlich einfach, Quellcode aus dem Android Store zu stehlen und Mobile Malware zu entwickeln, die sich als legitime und signierte Anwendung ausgibt.
  2. OWASP ist eines von vielen Unternehmen, die sich verstärkt um Mobilgeräte kümmern. Andere erweitern zudem ihr Framework wie MITRE ATT&CK , um Mobile Malware besser zu klassifizieren.

Allerdings sind Unternehmen ein erheblich wichtigeres und vor allem lukrativeres Ziel für Mobile Malware. Gerade, wenn die Angreifer primär von finanziellen Motiven geleitet werden.

Unternehmensspionage mithilfe von Mobilgeräten

Mobilgeräte sind das Einfallstor zu geräteinternen Unternehmensdaten und noch wichtiger, direkt in das Unternehmensnetzwerk. Welche Bedrohungen gehen von mobilen Endgeräten aus?

Einige Beispiele:

Ziel: Geräteinterne Unternehmensdaten

Der CFO des Startups WeRaiseMoney ist den ganzen Tag in Meetings. Er prüft regelmäßig E-Mails auf seinem Smartphone. Das ist mittlerweile typisch für die meisten von uns. 65% der E-Mails werden zuerst auf einem Mobilgerät geöffnet.

Er erhielt eine E-Mail, vorgeblich vom CEO des Unternehmens mit dem Betreff "DRINGENDE FRAGEN ZUR FINANZIERUNG“. Das Ganze versehen mit einem Link, der wie ein Link zu einem Google-Dokument wirkte. Natürlich öffnet er die (Phishing) E-Mail, was auf einem kleinen Bildschirm oder Mobilgerät mit dreimal höherer Wahrscheinlichkeit passiert als auf einem herkömmlichen Laptop.

Sobald der Link angeklickt wird, lädt die Malware heimlich eine Spyware herunter und installiert sie auf dem Gerät. Die Spyware ermöglicht es dem Angreifer auf einige der Hauptfunktionen des Geräts zuzugreifen, z.B. Speicher, Netzwerk-Tapping, Authentifizierung, Geschäfts- und Überwachungsfunktionen über Mikrofon, Kamera und GPS. Damit kontrolliert der Angreifer schlussendlich das Gerät, kann Unternehmensdaten und persönliche Informationen stehlen oder die Person nach Belieben überwachen.

Wichtige Erkenntnis: Man fällt sehr leicht auf einen E-Mail-Link herein, der harmlos aussieht, es aber nicht ist, besonders auf kleineren Bildschirmen. Wir sind mit unseren Mobilgeräten, die wir immer bei uns tragen, vertraut und lassen uns aufgrund dessen gerne von einem falschen Sicherheitsgefühl einlullen. Es ist fast wichtiger, auf Mobilgeräten Vorsicht walten zu lassen als auf einem Laptop. Einfach, weil Mobilgeräte regelmäßig persönliche und private Daten mit Unternehmensinformationen vermischen.

Ziel: Zugriff auf das Unternehmensnetzwerk

Eine Sicherheitsanalytikerin untersucht einen Ransomware-Vorfall auf den Firmencomputern. Ein Alarm gibt ihr Einblick in die Angriffsstruktur sowie in einige der typischen Seitwärtsbewegungen im Netzwerk, die Lösegeldnotiz und den Versuch, Dateien auf mehreren Computern zu sperren. Dank der vorhandenen Kontrollen konnte die Ransomware abgewehrt werden. Die Analytikerin hat deshalb einen großen Teil des Angriffsbaums erkennen können, aber die wahre Ursache des Vorfalls konnte sie nicht ermitteln.

Was also tun? Die Schadsoftware beseitigen (also den sichtbaren Teil) und weitermachen, ohne genau verstanden zu haben, wo der Angriff tatsächlich begonnen hat? Für viele Teams ist das tatsächlich alles, was sie tun können. Ihnen stehen in aller Regel nicht die Tools zur Verfügung, um einen Vorfall wie diesen vollständig aufzuklären.

Diejenigen, die die Möglichkeit haben, können neben vorhandenen Kontrollen separate Tools einsetzen, wie beispielsweise eine mobile Bedrohungserkennung oder mobile EDR-Lösungen. Aber eine Herausforderung bleibt. Man muss die Erkenntnisse zu einem Angriff, die aus den vorhandenen Netzwerkkontrollen stammen, mit denen verbinden, die separate Tools geliefert haben. Das geschieht manuell. Wenn man überhaupt auf Daten über den Vorfall zugreifen kann, muss man sie untereinander korrelieren und verschiedene Geräte zu einer Einheit (Laptop-Identität-Mobile) zusammenführen. Das kostet Zeit und erschwert es, den Vorfall zu beheben. Und es handelt sich um einen fehleranfälligen Analyseprozess.

Wichtige Erkenntnis: Für einen Sicherheitsanalytiker ist es nach wie vor eine nicht zu unterschätzende Herausforderung, die tatsächliche Ursache eines Angriffs zu ermitteln. Ganz besonders, wenn die Sicherheitslösungen in separaten Silos arbeiten.

Fazit

Über Mobilgeräte - speziell Smartphones, Tablets und POS-Geräte – läuft mittlerweile mehr als die Hälfte des weltweiten Internetverkehrs ab, ganz zu schweigen von der wachsenden Zahl an IoT-Devices und weiteren Geräten. Mobile Sicherheit sollte also auf der Agenda ganz oben stehen. Die Zahlen sagen etwas anderes. Weniger als ein Drittel aller Unternehmen mit Mitarbeitern, die explizit für die Beschaffung und Verwaltung mobiler Geräte verantwortlich sind, verfügt auch nur über grundlegende Sicherheitsmaßnahmen für mobile Endgeräte.

Allie Mellen, Cybereason

www.cybereason.com
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

mobile Entwicklung

SecurePIM Messenger mit neue Funktionen

Virtual Solution hat die Messenger-Funktionalitäten seiner App SecurePIM in der aktuellen Version für iOS und Android erweitert. Mobile Mitarbeiter können jetzt verschlüsselte Telefonate führen, noch einfacher Dokumente teilen und auf einen Blick ungelesene…
Mobiles arbeiten

Mobilität ohne Risiken: IT-Sicherheit in modernen Unternehmen

Die moderne Arbeitswelt stellt Unternehmen vor große Herausforderungen: Mit zunehmender Mobilität der Mitarbeiter steigt das Sicherheitsrisiko enorm. Um gegen Cyberangriffe gewappnet zu sein, ist ein innovatives Sicherheitskonzept mit zuverlässigen mobilen…
Mobile Security

Tipps für den Schutz vor Schadsoftware und Malware bei Smartphones

Das Netz birgt für Nutzer vielerlei Gefahren. Viren, Trojaner und andere Formen von Schadsoftware gefährden die Sicherheit der eigenen Daten. Auf dem Computer und Laptop sorgen in der Regel entsprechende Programme für Schutz.
Mobile Security

Hackerangriffe und Sicherheitslücken bei Smartphones

Hackerangriffe auf Smartphones nehmen zu. Laut der Studie Cyber Attack Trends: 2019 Mid-Year Report* nahmen Cyberangriffe auf Smartphones und mobile Geräte im ersten Halbjahr 2019 gegenüber dem Vorjahr um 50 Prozent zu. Betroffen sind laut Studie vor allem…
Mobile-Banking

Ist Mobile-Banking heute noch sicher?

Das 2-stufige Verifizierungsverfahren sowie Banking-Apps sind leider nicht mehr sicher! Ralf Schmitz, Ethical-Hacker, der sich seit über 20 Jahren mit der Sicherheit befasst und regelmäßig Vorträge in Deutschland hält, hat es selbst getestet.

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!