Online-Erpressern in 2018 nicht auf den Leim gehen

Datenschutz und Cybersicherheit sind beileibe kein neues Thema. Mit "Security and Privacy in Computer Systems" erschien bereits 1967 die erste Abhandlung zum Thema. Cybersicherheit und Privatsphäre wurden also seit Beginn der vernetzten Computer diskutiert. Seither hat sich das Thema dramatisch verschärft, und entwickelt sich weiter rasant – aus verschiedenen Gründen.

So wurde beispielsweise im Jahr 2007 vom Idaho National Laboratory der Aurora Generator Test durchgeführt. Dieser hat bewiesen, dass Cyberangreifer mit Computer-Tools physischen Schaden anrichten können. Zudem hat sich mittlerweile die Cyberkriminalität in den öffentlichen Bereich verlagert, wobei cyberkriminelle Gruppen sich Online-Betrug, Ransomware, Malware und Phishing widmeten. Für 2018 wird diese Entwicklung voranschreiten, so Rubrik.

Die Rolle, die Sicherheit und Privatsphäre heute in der IT und im Privaten spielen, ist nach Meinung von Rubrik enorm. Effektive Sicherheitspraktiken sind nicht nur im Interesse der Öffentlichkeit, sondern ein Standard, der heute und zukünftig mehr denn je von den Benutzern erwartet wird.

Das Ransomware-Problem

Ransomware hat in den letzten Jahren die Schlagzeilen dominiert, vor allem, wenn Unternehmen ins Visier gerieten. Allein 2017 hat es einige spektakuläre Angriffe gegeben (WannaCry, Bad Rabbit, NonPetya etc.), die allesamt auf Unternehmen abzielten, um deren Daten zu verschlüsseln und Lösegeld zu ergaunern. 

Einige Zahlen und Fakten zum jüngsten Erfolg von Ransomware:

• 209 Millionen US-Dollar Umsatz im 1. Quartal 2016 und eine Milliarde US-Dollar im gesamten Jahr 2016
• 56.000 Infektionen pro Monat
• 101 bekannte Ransomware-Familien
• Bereitstellung über eine Reihe von Mechanismen aus Exploit-Kits, E-Mail und Website-Links

Ransomware-as-a-Service

Was vielen nicht bewusst ist, ist das bestens funktionierende Ökosystem, in dem diese Ransomware-Familien gedeihen. Die Cerber-Ransomware-Familie beispielsweise machte dieses Jahr, bis Wannacry kam, 70 Prozent aller Angriffe aus. Dies geht zurück auf die zunehmende Verfügbarkeit von „Ransomware-as-a-Service“ oder „RaaS“, wodurch Ransomware nun für ein breiteres Publikum jenseits von Cyberkriminellen zugänglich wird.

RaaS ist ein einfaches Franchise-ähnliches Bereitstellungsmodell. Anstatt ihren eigenen Schadcode zu schreiben, können sich Kriminelle nun bei ihrem bevorzugten RaaS-Portal anmelden, ihre Ransomware einfach konfigurieren und die Malware sofort an unwissende Opfer versenden lassen. 

Ransomware gewinnt an Raffinesse

Frühe Formen von Ransomware waren nicht übermäßig anspruchsvoll. Die Cerber-Familie zeigte jedoch eine beispiellose Menge an Details und Raffinesse. Einige Eigenschaften von Cerber:

• Eine verschlüsselte JSON-Datei gibt dem Benutzer die Möglichkeit, Einstellungen zu ändern (z.B. bestimmte Dateitypen auszuwählen), bestimmte Sprachpakete oder IP-Bereiche zu meiden oder Umgebungsüberprüfungen durchzuführen (sucht nach Anti-Virus und virtuellen Maschinen).
• Moderne Ransomware sucht nach fast allen Dateitypen, einschließlich VMware, Datenbanken, Java-Script und E-Mails. Sie erstellt mehrere Mutex-Dateien, nistet sich in Windows ein und verfügt über Fault- oder Watcher-Prozesse, so dass sie erneut erzeugt werden kann.
• Wenn Cerber feststellt, dass es gejagt wird, wird es beendet und vorerst nicht ausgeführt. Der UAC-Modus (User Account Control) wird vollständig umgangen.
• Cerber kann verschlüsseln, ohne auf eine Internetverbindung angewiesen zu sein, denn es enthält die Schlüssel in der Nutzlast (RSA-2048).
• Cerber sendet Statistiken über UDP (User Datagram Protocol) zum Angreifer. Im Wesentlichen wird es Statistiken von dem, was es in der Umgebung entdeckt, wenn möglich, hochladen.
• Cerber verschlüsselt Daten mit einem hohen Grad an Entropie.

Tipps zum Schutz vor Ransomware:

Einstiegspunkte (Web, Geräte, USB und E-Mail)

• Standardverfahren zum Scannen von E-Mails und zum Blockieren von USB-Anschlüssen verwenden
• Auf virtuellen Maschinen den Webzugriff nicht aktivieren
• Patchen, Patchen und nochmals Patchen
• Netzwerke und persönliche Geräte trennen

Benutzer und Zugriff

• Endbenutzer und auch IT-Mitarbeiter schulen. Dies ist entscheidend für das Erkennen von Ransomware und die richtige Reaktion darauf
• Softwarebeschränkungen auferlegen. Berechtigungen für Benutzer zum Ausführen von .exe. entfernen. Wenn Benutzer keinen Workload ausführen können, kann er auch von Ransomware nicht ausgeführt werden
• Zugriffsverwaltung für geringstmögliche Rechte ein einstellen. Mitarbeitern nur Zugriff auf Daten zur Verfügung stellen, die sie wirklich benötigen.
• Dateifreigaben überprüfen
• Aktualisierte Firewalls, IPS (Intrusion Prevention Systems) und Richtlinien nutzen

Das Ransomware-Problem bleibt – Unveränderbare, automatisierte Backups sind unverzichtbar

Dies sind nur einige Methoden, mit denen Unternehmen ihre Daten schützen können. Die Quintessenz ist, dass Ransomware nicht einfach so verschwinden wird. Die Frage bei Ransomware lautet nicht „ob“, sondern „wann“ sie zuschlägt. Jeder Beitrag über Ransomware kommt daher zu dem Schluss, dass „Backups ein Muss sind“. Aber was ist zu tun, wenn der Ernstfall eintritt? Zunächst heißt es Ruhe zu bewahren und die folgenden Schritte durchzuführen:

• Reagieren und die weitere Verbreitung stoppen
• Testen des Backups vor dem Wiederherstellen
• Wiederherstellen
• Ursachenanalyse

Der Schlüssel hierbei ist die Reaktionszeit und es geht darum, die betroffenen Daten in kürzester Zeit wieder online zu bekommen. Hilfreich sind hier hochautomatisierte Backups mit minimaler RTO (Recovery Time Objective). Zusätzlich wichtig sind unveränderbare Backups, so dass sie nur gelesen und nicht überschrieben werden können. Der Schutz wertvoller Daten mit einer hochautomatisierten Backup-Plattform ist entscheidend für die Gewissheit, dass bei einer Ransomware-Infektion die Daten schnell wiederhergestellt werden können. Ransomware wird nicht so schnell verschwinden. Daher ist es für Unternehmen unerlässlich, eine Datenmanagementstrategie mit mehrschichtiger Sicherheit, einfacher Automatisierung und schneller Wiederherstellung zu verfolgen.

mat

Druckversion Online-Erpressern in 2018 nicht auf den Leim gehen