Einen Angriff mit Ransomware abwehren
Verschlüsselungs-Malware: Zahlen – oder lieber in den Urlaub fahren?
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt
Von Darren Windham, Senior Security SpecialistRISK Team, Verizon Enterprise Solutions
Die Tageszeitungen berichten immer häufiger über Vorfälle mit Verschlüsselungs-Malware. Auch bei Verizon wurden in den vergangenen Monaten verschiedene Varianten von Ransomware, CryptoWall, tesla-crypt, KeRanger und den jüngsten Locky-Versionen gesehen. Diese Angriffe, die es bis in die Schlagzeilen der Medien schaffen, sind so erfolgreich, dass ich mir vorstellen kann, dass sie wiederkehren oder noch häufiger auftreten werden.
Uns begegnet dieses Szenario derart häufig, dass wir es als eines der "fatalsten" in unseren Report "Data Breach Digest" aufgenommen haben: Scenario #15 – Data Ransomware – The Catch 22.Solche Vorfälle werden nicht unbedingt als Datenverletzung eingestuft, denn gewöhnlich verlassen dadurch keine Daten das Netzwerk. Doch ohne ein vernünftiges Backup kann der Datenverlust sehr real spürbar sein. Was also kann man tun, um einen typischen Angriff mit Ransomware abzuwehren? Hier unsere Empfehlungen, die "Top 5×5 Maßnahmen" zur Abwehr von Ransomware-Angriffen.
Empfehlungen zur Abwehr
Die Top-5-Abwehrmaßnahmen, die Anwender im Vorfeld treffen sollte:
1. GPO zum Blockieren von ausführbaren Dateien und Deaktivieren von Microsoft Office Makros installieren
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt. Indem man das Ausführen von Dateien an diesen Orten heraus blockiert, lässt sich das Risiko senken, dass ein unbekannter Code auf den Endgeräten läuft. Dies ist eine gute Vorgehensweise, um unterschiedliche Windows-basierte Infektionen zu verhindern.
Die aktuellen Versionen von Verschlüsselungs-Ransomware nutzen Makros, die in Microsoft Office-Dokumenten versteckt sind. Mit den Office Administrative Template-Dateien haben Anwender die Möglichkeit, die Nutzung solcher Makros via Windows Group Policy Objects einzuschränken.
2. Anwendungen Dritter schnellstmöglich patchen
Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten. Daher ist es wichtig, diese Desktop-Anwendungen von Drittanbietern immer auf dem neuesten Stand zu halten. Ältere Versionen und besonders Anwendungen, die von bestimmten Endgeräten nicht mehr benötigt werden, sollten deinstalliert werden. So reduziert sich die Zahl der angreifbaren Anwendungen, die sich noch irgendwo im System oder im Netz befinden.
3. Backup-Prozesse testen und bewerten
Die jüngsten Varianten von Verschlüsselungs-Ransomware löschen Windows System-Wiederherstellungspunkte und Schattenkopien, mit denen man üblicherweise gekaperte Daten wiederherstellt. Damit Firmen und Behörden kein Lösegeld an den Angreifer zahlen müssen, sollten sie daher gute Backup-Strategien entwickeln, mit denen sie ihre Daten wiederherstellen können. Dabei erweisen sich zusätzliche Backups auf separaten Systemen als Trumpf in vielen Ransomware-Situationen. Beim Wiederherstellen der Daten sollte unbedingt darauf geachtet werden, dass nur die für die Organisation relevanten Dateien und nicht der Code der Ransomware oder anderer Malware wiederhergestellt werden.
4. Lokale Admin-Rechte entfernen
Ein Angreifer, der im Besitz von Admin-Zugangsdaten ist, kann auf einem kompromittierten System große Schäden anrichten. Durch das Löschen der lokalen Admin-Rechte verringert sich das Risiko, dass die Malware Persistence-Mechanismen ausnutzt oder sich seitlich innerhalb ihrer Umgebung bewegt.
5. E-Mail-Anhänge blockieren
In jüngster Zeit wurden nach unseren Beobachtungen Dateien mit der Erweiterung ".doc" und ActiveMime-Headers verwendet, um signaturbasiertes Blockieren zu umgehen. Daher sollten Anwendersignatur- und erweiterungsbasierte Regeln zum Blockieren von E-Mail-Anhängen einführen, um das Risiko zu verringern, dass Personen auf Anhänge klicken und diese öffnen.
Reaktive Empfehlungen
Hier die Top 5 der reaktiven Maßnahmen:
1. Zugang zu Command- und Control-Servern blockieren
Wie bei vielen anderen Malware-Angriffen sind Command- und Control-Server (C2-Server) entscheidend für Ransomware-Angriffe. Ist die Domain oder IP-Adresse der Malware bekannt, können Anwender an ihren Endpunkten netzwerkbasierte Blockierungen installieren. Dies kann Firewalls, Router oder sogar Web-Proxies einschließen. Einzelheiten dazu, wie diese Änderungen vorzunehmen sind, geben die Anbieter. Wichtig ist, dass bei vielen Ransomware-Feldzügen Domain-Generierungs-Algorithmen genutzt werden, die dann unter Umständen die Domainnamen so rasch ändern, dass effektives Blockieren unmöglich ist.
2. Datei-Freigaben auf Read-only setzen
Verschlüsselungs-Ransomware verbreitet sich gerne über Netzwerk-Freigaben. Um zu verhindern, dass die Malware Ihre Daten ändert und verschlüsselt, sollte im Netzwerk die Genehmigungen für gemeinsame Dateinutzung bei allen Usern für einen befristeten Zeitraum auf Read-only gesetzt werden.
3. Infizierte System offline nehmen
Infizierte Systeme sollten zwar eingeschaltet bleiben, Sie sollten jedoch den Zugang zum Netzwerk unterbrechen (einschließlich WLAN), um mögliche Artefakte im physischen Speicher für Analysezwecke zu erhalten. Die Informationen für den Zugriff auf Dateien oder für die Entschlüsselung sind nur im Speicher zu finden. Diese Daten wären sehr wahrscheinlich für immer verloren, wenn das System abgeschaltet wird.
4. Bekannte Phishing-Mails aus den Mailboxen der Empfänger zurückholen
Nachdem man die bösartige Mail identifiziert hat, sollte eine weitere Verbreitung verhindert werden. Sofern das E-Mail-System die Möglichkeit bietet, bereits zugestellte Mails zurückzurufen oder zu entfernen, sollten Anwender diese Funktion nutzen, um solche gefährlichen Mails zu löschen. Anwender können diese Nachrichten nach Absender, Betreff, Anhang oder sogar abgehendem SMTP suchen. Dadurch wird auch das Risiko verringert, dass die Ransomware von noch mehr Usern angeklickt wird.
5. Infizierte Anwender identifizieren
Wichtig ist zu prüfen, wem die Datei oder das Verzeichnis gehört oder wer zuletzt darauf zugegriffen hat, wenn eine freigegebene Datei oder die Daten eines Servers in Folge einer Attacke verschlüsselt sind. Dadurch sind die User unter Umständen in der Lage, die Infektionsquelle innerhalb ihres Netzwerks ausfindig zu machen und können Hinweise geben, wie die Infektion frühzeitig eingedämmt werden kann.
Generell sollten sich Unternehmen bei der IT-Sicherheit und der Datenverfügbarkeit nicht auf ihr Glück verlassen. Die hier vorstellten Empfehlungen helfen zu verhindern, dass Unternehmen in den Schlagzeilen landen. Denn wer will schon ernsthaft Lösegeld in Bitcoins an die Angreifer zahlen, um wieder auf die eigenen Daten zugreifen zu können. (Verizon: ra)
eingetragen: 18.09.16
Home & Newsletterlauf: 04.10.16
Verizon: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.