Was tun bei Cyberattacken mit Verschlüsselungstrojanern? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm und bewertet die Sicherheitslage im aktuellen Bericht zur Lage der IT-Sicherheit in Deutschland als besorgniserregend. Insbesondere die Schäden durch Ransomware-Attacken sind laut dem Digitalverband Bitkom e. V. seit 2019 um 358 % angestiegen und treffen heute Betriebe aller Branchen und Größen.
Wie Unternehmen sich präventiv schützen können und was im Falle einer Verschlüsselung durch Ransomware zu tun ist, erläutert unser IT-Security Experte Christoph Harburg:
Hinter dem Begriff „Ransomware“ werden klassischerweise Cyberattacken mithilfe von Verschlüsselungstrojanern verstanden. Dabei werden über verschiedene Einfallstore Malware-Codes in ein System oder Netzwerk eingeschleust, die in der Lage sind, Dateien zu verschlüsseln und damit für den Anwender unbrauchbar zu machen. In aller Regel geht damit eine Lösegeldforderung der Cyberkriminellen einher, um die Dateien vermeintlich wieder zu entschlüsseln oder von einer etwaigen Veröffentlichung der mitunter sensiblen Daten abzusehen.
PLANUNG UND KOORDINATION VON ANGRIFFEN ORGANISIERTER GRUPPEN
„Ransomware-Angriffe können sich für Cyberkriminelle mitunter als sehr lukrativ erweisen, was ein Hauptgrund für die alarmierende Verbreitung dieser Angriffsart darstellt. Während früher noch gezielt Unternehmen bestimmter Branchen etwa aus dem Finanzdienstleistungs-, Logistik-, Gesundheitswesen- oder Energie-Sektor von den Angreifern ins Visier genommen wurden, werden heute Organisationen jeglicher Couleur und Größe Ziel von Ransomware-Attacken. So sind es auch vermehrt organisierte Gruppen, die die Angriffe sehr gezielt und koordiniert planen. Innerhalb dieser Gruppen arbeiten die Angreifer vielfach mit Spezialisten, die sich für einzelne Bereiche wie Informationsbeschaffung zu den Zielen, Schwachstellenanalyse, Kommunikation und Ausführung verantwortlich zeichnen. Aufgrund dieser Vorabrecherchen wissen die Angreifer meist schon ganz genau, auf welche Daten sich die Attacken richten und können die Angriffe sehr gezielt ausrichten“, erläutert Christoph Harburg. „Wenn die Attacken sich auf bestimmte Server oder Daten richten, birgt das für Angreifer den Vorteil, dass nur ein kleiner, dafür aber sehr wichtiger Teilbereich verschlüsselt wird und der Vorfall nicht unbedingt sofort bekannt wird. Dies gibt den Angreifern ausreichend Zeit, weitere Schritte vorzubereiten, bevor eine Kontaktaufnahme erfolgt. Der Zeitraum von der Infiltrierung bis zur Aktivierung der Malware beträgt in aller Regel 2 Stunden bis 2 Wochen.“
ANGREIFER NUTZEN ÖFFENTLICHE CVE-LISTEN AUCH FÜR DIE PLANUNG VON ANGRIFFEN
„Die Haupteinfallstore sind vor allem E-Mails, wo kompromittierte Anhänge unachtsam ausgeführt oder Links zu Webseiten angeklickt und dann kompromittierte Dateien heruntergeladen werden. Besonders paradox: Über die öffentlichen CVE-Listen (Common Vulnerabilities and Exposures) und öffentlichen Datenbanken wie MITRE, die von Unternehmen gerne genutzt werden, um bekannte Schwachstellen nachzuschlagen und Sicherheitspatches herunterzuladen, werden auch von Angreifern frequentiert. Denn diese Plattformen werden von Angreifern dazu genutzt, um sich über Schwachstellen zu informieren und gezielt Unternehmen anzugreifen, die eben nicht über die entsprechenden Sicherheitspatches verfügen.“
WIE ERKENNE ICH, DASS ICH ANGEGRIFFEN WURDE?
„Abhängig davon, wie gut das eigene System überwacht wird, treten diese erst in Erscheinung, wenn entweder eine nicht autorisierte Kommunikation identifiziert wird oder erste Dateien verschlüsselt werden. Mitunter aber rückt die Attacke auch erst mit der Kommunikationsaufnahme der Angreifer in das Blickfeld des Unternehmens. Diese kann auf unterschiedlichen Wegen erfolgen: In der Regel erscheinen auf dem betroffenen System Meldungen, die bereits beim Angriff hinterlegt sind und nach einer bestimmten Zeit aktiviert werden. Diese besagen üblicherweise, dass das System verschlüsselt wurde und eine Entschlüsselung der Unternehmensdaten erst erfolgt, nachdem die Zahlung eines bestimmten Betrages üblicherweise an ein Bitcoin Wallet mit einer spezifischen Kennung bestätigt wurde. Mitunter kommt es aber auch vor, dass telefonisch Kontakt aufgenommen wird, um Druck auszuüben, Drohkulissen aufzubauen (nächste Schritte, Veröffentlichung der Daten) und die „Bereitschaft“ für die Auslösung zu erhöhen.“
WAS KANN ICH TUN, WENN ICH ANGEGRIFFEN WURDE?
Als Sofortmaßnahme gilt es zunächst, das betroffene System vollständig zu isolieren und die weiteren Systeme im Netzwerk zu schützen, um weiteren Schaden und die Ausbreitung der Malware abzuwenden. „Ein Herunterfahren des Systems sollte jedoch unbedingt vermieden werden, da viele Informationen im RAM-Speicher, die für die forensische Analyse hilfreich sind, damit gelöscht werden. Treten erste Hinweise in Erscheinung: sofort Netzwerkkabel ziehen, WLAN ausschalten und nicht mehr an dem System arbeiten. Es empfiehlt sich ebenfalls, im Falle eines Angriffs die Polizei zu benachrichtigen und eine Fachfirma einzuschalten. Denn wann eine Malware über welche Wege eingeschleust wurde, wie sie sich verbreitet hat und wie man die betroffenen Systeme sicher bereinigt, übersteigt in aller Regel die Kompetenzen der eigenen IT-Abteilung. Hilfestellung gibt hier das BSI, die eine Liste qualifizierter Fachfirmen mit spezieller Expertise im Bereich Advanced Persistent Threats und auch der Ransomware-Forensik führt. Wir als IT-Systemhaus haben immer häufiger mit Ransomware-Attacken zu tun und verfügen bereits über ein breites Netzwerk an Forensik-Experten, um zum einen das Unternehmen aus der „Schusslinie“ des Angreifers zu bewegen, die IT von der Malware zu befreien und das System vom Notbetrieb wieder in den Produktivbetrieb zu überführen, aber auch um Schwachstellen in der Infrastruktur zu identifizieren und Penetrationstests durchzuführen“, so der Netzlink Security Consultant Christoph Harburg.
„Festzustellen, um welche Art von Malware es sich handelt und den Code zu identifizieren ist immer dann erfolgsversprechend, sofern Entschlüsselungstools für die jeweiligen Malware-Codes bereits zur Verfügung stehen. Viele Ransomware Programmcodes sind heute bereits entschlüsselt und es stehen entsprechende Tools zur Entschlüsselung der Daten bereit. Besonders gefährlich sind jedoch die sogenannten Zero-Day Attacken, deren Angriffsmethodiken in der Öffentlichkeit noch gar nicht bekannt sind und entsprechende Gegenmaßnahmen noch nicht bestehen.“
„Die oftmals naheliegende Lösung, einfach ein neues Backup aufzuspielen, ist nicht unbedingt erfolgsversprechend, da man in aller Regel zunächst nicht weiß, ob auch das Backup bereits kompromittiert wurde und man Gefahr läuft, dass sich die Malware wieder ausbreitet. Je länger das Backup her ist, desto größer ist zwar die Wahrscheinlichkeit, dass das Backup nicht kompromittiert ist – jedoch auch der Schaden von verlorengegangenen Daten seit dem Backup. Diese Überlegungen unterliegen einer Risikoabwägung und sind daher nicht unbedingt der erste Schritt, um weiteren Schaden abzuwenden. Hinzu kommt: Spiele ich ein Backup von letztem Jahr ein, aber die Schwachstelle, über die das System angegriffen wurde, ist noch aktiv, dann schützt auch ein vorübergehendes Datenbackup in aller Regel nicht.“
WIE KANN ICH MEIN UNTERNEHMEN FÜR RANSOMWARE-ATTACKEN SENSIBILISIEREN?
„Der kritischste Punkt in der Sicherheitskette ist der „Faktor: Mensch“, ist er doch für über 80 Prozent aller IT-Sicherheitsvorfälle verantwortlich. Die Sicherheitstechnik und -Konzepte können noch so gut sein – sofern sie den Menschen nicht berücksichtigen, verbleibt immer eine zentrale Schwachstelle. Eine erfolgreiche und nachhaltige IT-Sicherheitsstrategie muss daher auch die Belegschaft einbeziehen. Durch Awareness-Trainings (online oder vor Ort) etwa, werden die Mitarbeitenden für die Risiken und Stolpersteine beim Umgang mit der IT und Unternehmensdaten (Passwortschutz und Zweifaktorauthentifizierung, Einsatz von Mobilgeräten, sicherer E-Mail-Umgang, sicher unterwegs im www etc.) sensibilisiert, um ein einheitliches Sicherheitsniveau bei Technik und Mensch zu erreichen. Es ist menschlich Fehler zu machen, aber die Menschen müssen auch in der Lage sein zu erkennen, dass sie Fehler gemacht haben, um das Ausmaß einzugrenzen. Durch die Etablierung einer einheitlichen Sicherheitskultur können betriebswirtschaftliche Risiken durch Hacking, Malware, Datendiebstahl und Betriebsausfälle signifikant vermindert werden.“
Zur Prävention von Malware-Angriffen ist zudem ein vernünftiges Patch Management notwendig: CVEs müssen regelmäßig überprüft werden, um Schwachstellen im System zu identifizieren und mögliche Einfallstore schnell zu beheben. Über eine sinnvolle Netzwerksegmentierung, beispielsweise durch die Separation von Servern, Clients und Produktionsnetzen, lassen sich bereits in 80 – 90 Prozent aller Fälle verhindern, dass sich Schadsoftware auf weitere Systeme ausbreitet. „Größtmögliche Sicherheit bietet aber nur ein konsequentes Zero-Trust-Konzept in Verbindung mit einer Zweifaktorauthentifizierung zu den jeweiligen Systemen. Zero-Trust ist aber nicht nur ein Security-Thema, sondern eine Strategie, die in der gesamten Organisationsstruktur verankert werden muss“, so Christoph Harburg weiter. „Die Erstellung eines Notfallhandbuches und ein Business Continuity Management (BCM) geben Unternehmen darüber hinaus ein Schritt-für-Schritt Umsetzungsrahmenwerk an die Hand, um sich optimal auf Angriffe und Ausfälle in der IT-Infrastruktur vorzubereiten.“
„Es sind vermehrt organisierte Gruppen, die die Angriffe sehr gezielt und koordiniert planen. Innerhalb dieser Gruppen arbeiten die Angreifer vielfach mit Spezialisten, die sich für einzelne Bereiche wie Informationsbeschaffung zu den Zielen, Schwachstellenanalyse, Kommunikation und Ausführung verantwortlich zeichnen. So wissen die Angreifer meist schon vorab, auf welche Daten sich die Attacken richten und können die Angriffe sehr gezielt ausrichten“.
Autor: Christoph Harburg, IT-Security Experte beim IT-Systemhaus Netzlink.
