Sie sind hier: Home » Fachbeiträge » Grundlagen

Einen Angriff mit Ransomware abwehren

Verschlüsselungs-Malware: Zahlen – oder lieber in den Urlaub fahren?
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt

- Anzeigen -

**Autor Darren Windham** Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten, Bild: Verizon

Von Darren Windham, Senior Security SpecialistRISK Team, Verizon Enterprise Solutions

Die Tageszeitungen berichten immer häufiger über Vorfälle mit Verschlüsselungs-Malware. Auch bei Verizon wurden in den vergangenen Monaten verschiedene Varianten von Ransomware, CryptoWall, tesla-crypt, KeRanger und den jüngsten Locky-Versionen gesehen. Diese Angriffe, die es bis in die Schlagzeilen der Medien schaffen, sind so erfolgreich, dass ich mir vorstellen kann, dass sie wiederkehren oder noch häufiger auftreten werden.

Uns begegnet dieses Szenario derart häufig, dass wir es als eines der "fatalsten" in unseren Report "Data Breach Digest" aufgenommen haben: Scenario #15 – Data Ransomware – The Catch 22.Solche Vorfälle werden nicht unbedingt als Datenverletzung eingestuft, denn gewöhnlich verlassen dadurch keine Daten das Netzwerk. Doch ohne ein vernünftiges Backup kann der Datenverlust sehr real spürbar sein. Was also kann man tun, um einen typischen Angriff mit Ransomware abzuwehren? Hier unsere Empfehlungen, die "Top 5×5 Maßnahmen" zur Abwehr von Ransomware-Angriffen.

Empfehlungen zur Abwehr
Die Top-5-Abwehrmaßnahmen, die Anwender im Vorfeld treffen sollte:

1. GPO zum Blockieren von ausführbaren Dateien und Deaktivieren von Microsoft Office Makros installieren
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt. Indem man das Ausführen von Dateien an diesen Orten heraus blockiert, lässt sich das Risiko senken, dass ein unbekannter Code auf den Endgeräten läuft. Dies ist eine gute Vorgehensweise, um unterschiedliche Windows-basierte Infektionen zu verhindern.

Die aktuellen Versionen von Verschlüsselungs-Ransomware nutzen Makros, die in Microsoft Office-Dokumenten versteckt sind. Mit den Office Administrative Template-Dateien haben Anwender die Möglichkeit, die Nutzung solcher Makros via Windows Group Policy Objects einzuschränken.

2. Anwendungen Dritter schnellstmöglich patchen
Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten. Daher ist es wichtig, diese Desktop-Anwendungen von Drittanbietern immer auf dem neuesten Stand zu halten. Ältere Versionen und besonders Anwendungen, die von bestimmten Endgeräten nicht mehr benötigt werden, sollten deinstalliert werden. So reduziert sich die Zahl der angreifbaren Anwendungen, die sich noch irgendwo im System oder im Netz befinden.

3. Backup-Prozesse testen und bewerten
Die jüngsten Varianten von Verschlüsselungs-Ransomware löschen Windows System-Wiederherstellungspunkte und Schattenkopien, mit denen man üblicherweise gekaperte Daten wiederherstellt. Damit Firmen und Behörden kein Lösegeld an den Angreifer zahlen müssen, sollten sie daher gute Backup-Strategien entwickeln, mit denen sie ihre Daten wiederherstellen können. Dabei erweisen sich zusätzliche Backups auf separaten Systemen als Trumpf in vielen Ransomware-Situationen. Beim Wiederherstellen der Daten sollte unbedingt darauf geachtet werden, dass nur die für die Organisation relevanten Dateien und nicht der Code der Ransomware oder anderer Malware wiederhergestellt werden.

4. Lokale Admin-Rechte entfernen
Ein Angreifer, der im Besitz von Admin-Zugangsdaten ist, kann auf einem kompromittierten System große Schäden anrichten. Durch das Löschen der lokalen Admin-Rechte verringert sich das Risiko, dass die Malware Persistence-Mechanismen ausnutzt oder sich seitlich innerhalb ihrer Umgebung bewegt.

5. E-Mail-Anhänge blockieren
In jüngster Zeit wurden nach unseren Beobachtungen Dateien mit der Erweiterung ".doc" und ActiveMime-Headers verwendet, um signaturbasiertes Blockieren zu umgehen. Daher sollten Anwendersignatur- und erweiterungsbasierte Regeln zum Blockieren von E-Mail-Anhängen einführen, um das Risiko zu verringern, dass Personen auf Anhänge klicken und diese öffnen.

Reaktive Empfehlungen
Hier die Top 5 der reaktiven Maßnahmen:

1. Zugang zu Command- und Control-Servern blockieren
Wie bei vielen anderen Malware-Angriffen sind Command- und Control-Server (C2-Server) entscheidend für Ransomware-Angriffe. Ist die Domain oder IP-Adresse der Malware bekannt, können Anwender an ihren Endpunkten netzwerkbasierte Blockierungen installieren. Dies kann Firewalls, Router oder sogar Web-Proxies einschließen. Einzelheiten dazu, wie diese Änderungen vorzunehmen sind, geben die Anbieter. Wichtig ist, dass bei vielen Ransomware-Feldzügen Domain-Generierungs-Algorithmen genutzt werden, die dann unter Umständen die Domainnamen so rasch ändern, dass effektives Blockieren unmöglich ist.

2. Datei-Freigaben auf Read-only setzen
Verschlüsselungs-Ransomware verbreitet sich gerne über Netzwerk-Freigaben. Um zu verhindern, dass die Malware Ihre Daten ändert und verschlüsselt, sollte im Netzwerk die Genehmigungen für gemeinsame Dateinutzung bei allen Usern für einen befristeten Zeitraum auf Read-only gesetzt werden.

3. Infizierte System offline nehmen
Infizierte Systeme sollten zwar eingeschaltet bleiben, Sie sollten jedoch den Zugang zum Netzwerk unterbrechen (einschließlich WLAN), um mögliche Artefakte im physischen Speicher für Analysezwecke zu erhalten. Die Informationen für den Zugriff auf Dateien oder für die Entschlüsselung sind nur im Speicher zu finden. Diese Daten wären sehr wahrscheinlich für immer verloren, wenn das System abgeschaltet wird.

4. Bekannte Phishing-Mails aus den Mailboxen der Empfänger zurückholen
Nachdem man die bösartige Mail identifiziert hat, sollte eine weitere Verbreitung verhindert werden. Sofern das E-Mail-System die Möglichkeit bietet, bereits zugestellte Mails zurückzurufen oder zu entfernen, sollten Anwender diese Funktion nutzen, um solche gefährlichen Mails zu löschen. Anwender können diese Nachrichten nach Absender, Betreff, Anhang oder sogar abgehendem SMTP suchen. Dadurch wird auch das Risiko verringert, dass die Ransomware von noch mehr Usern angeklickt wird.

5. Infizierte Anwender identifizieren
Wichtig ist zu prüfen, wem die Datei oder das Verzeichnis gehört oder wer zuletzt darauf zugegriffen hat, wenn eine freigegebene Datei oder die Daten eines Servers in Folge einer Attacke verschlüsselt sind. Dadurch sind die User unter Umständen in der Lage, die Infektionsquelle innerhalb ihres Netzwerks ausfindig zu machen und können Hinweise geben, wie die Infektion frühzeitig eingedämmt werden kann.

Generell sollten sich Unternehmen bei der IT-Sicherheit und der Datenverfügbarkeit nicht auf ihr Glück verlassen. Die hier vorstellten Empfehlungen helfen zu verhindern, dass Unternehmen in den Schlagzeilen landen. Denn wer will schon ernsthaft Lösegeld in Bitcoins an die Angreifer zahlen, um wieder auf die eigenen Daten zugreifen zu können. (Verizon: ra)

eingetragen: 18.09.16
Home & Newsletterlauf: 04.10.16

Verizon: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -

Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -

Meldungen: Grundlagen

Sieben Punkte zur IoT-Security
Das Internet der Dinge steckt immer noch in den Kinderschuhen, aber hat sich bereits einen Ruf als ausgewachsenes Sicherheitsrisiko gemacht. Ob Router, Drucker, Smart-TV, Spielzeug oder Waschmaschinen - vernetzte Geräte werden für Cyberkriminelle zum Werkzeug für illegales Krypto-Mining, DDoS-Angriffe bis hin zur Lösegelderpressung durch angedrohte Datenlöschung, wie im Fall des Spielzeugherstellers Spiral Toys. Dessen Datenleck machte 2017 Schlagzeilen, bei dem mehr als 800.000 Nutzer betroffen waren. Die IoT-Malware-Landschaft entwickelt sich stetig weiter, während die Sicherheitsvorkehrungen meist noch rudimentär sind. Das Anfang des Jahres entdeckte Botnet "Hide and Seek" bettet, im Gegensatz zur berüchtigten DDoS-Mirai-Malware, eine Vielzahl von Befehlen wie Datenexfiltration, Code-Ausführung und Interferenz mit dem Betrieb des Geräts ein. Die Sicherheitsrisiken im IoT-Bereich sind Großteils auf das rasante Tempo zurückzuführen, mit dem IoT-Devices weltweit implementiert werden - 20 Milliarden installierte Geräte sind nach Schätzungen von Gartner bis Ende 2020 zu erwarten. Im hart umkämpften Technologiesektor hat der Eifer, als erster mit erschwinglichen IoT-Geräten auf den Markt zu kommen, dazu geführt, dass viele Hersteller selbst einige der grundlegendsten Sicherheitsprinzipien zugunsten schneller Entwicklungszyklen außer Acht gelassen haben.
Implementierung einer Public Key Infrastructure
Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können. Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).
KI: Kein Ersatz für IT-Sicherheitsteams
Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.
Cyber-Erpressung auf Bestellung
CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.
Investitionen in IT-Sicherheit legitimieren
Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.

Anfällig für Hackerangriffe Backup kontra Ransomware