Während große Unternehmen schichtweise Verteidigungsanlagen gegen potenzielle interne Bedrohungen und Hacker aufbauen, bleiben für kleinere Firmen Phishing und Spam die größte Sorge. Hätte Marty McFly gewusst, dass im Jahr 2015 (ganz zu schweigen von 2020) die Menschen nicht nur keine Hoverboards erfinden, sondern auch nicht lernen, Spam vollständig loszuwerden, hätte er wahrscheinlich den Glauben an die Menschheit verloren. Zudem ist Spam heute nicht nur lästig, sondern häufig auch schädlich. In etwa 70 % der Fälle dringen Cyberkriminelle im Rahmen der Killchain über Malware, die in Anhängen enthalten ist, oder über Phishing-Links in E-Mails in die Infrastruktur ein.
In letzter Zeit ist ein klarer Trend zur Verbreitung von Social Engineering als Mittel zum Eindringen in die Infrastruktur von Organisationen zu beobachten. Im Vergleich der Statistiken von 2017 und 2018 sehen wir einen Anstieg von fast 50 % bei den Fällen, in denen Malware über Anhänge oder Phishing-Links in E-Mails an die Computer der Mitarbeiter gelangt ist.
Im Allgemeinen lassen sich die gesamten Bedrohungen, die durch E-Mail realisiert werden können, in mehrere Kategorien unterteilen:
- eingehender Spam
- Einbindung der Computer des Unternehmens in ein Botnetz, das ausgehenden Spam versendet
- schadhafte Anhänge und Viren im Text der E-Mail (kleinere Unternehmen leiden häufig unter Massenausbrüchen wie Petya).
Um sich gegen alle Angriffsarten abzusichern, kann man entweder mehrere Sicherheitslösungen implementieren oder den Weg des Service-Modells wählen. Wir haben bereits von der integrierten Plattform für Cybersecurity-Services – dem Kern des Ökosystems für verwaltete Cybersecurity-Services von Solar MSS. Darunter fällt auch die virtualisierte Technologie Secure Email Gateway (SEG). Häufig abonnieren kleine Unternehmen diesen Service, bei denen alle IT- und Sicherheitsfunktionen von einer Person – dem Systemadministrator – übernommen werden. Spam ist ein Problem, das den Nutzern und der Geschäftsführung immer sichtbar ist und dessen Lösung unerlässlich ist. Im Laufe der Zeit wird jedoch selbst der Geschäftsführung klar, dass es nicht ausreicht, einfach ihren Administrator damit zu belasten – es kostet zu viel Zeit.
2 Stunden für die Bearbeitung von E-Mails — das ist etwas viel.
Ein Einzelhändler wandte sich mit einem ähnlichen Problem an uns. Die Zeiterfassungssysteme zeigten, dass seine Mitarbeiter jeden Tag etwa 25 % ihrer Arbeitszeit (2 Stunden!) mit der Bearbeitung des Posteingangs verbrachten.
Nach dem Anschluss des Mailservers des Kunden richteten wir die SEG-Instanz als bidirektionales Gateway für eingehende und ausgehende Mails ein. Wir führten die Filterung gemäß vorher festgelegten Richtlinien durch. Die Blacklist erstellten wir auf Grundlage der vom Kunden bereitgestellten Daten sowie unserer eigenen Listen potenziell gefährlicher Adressen, die von den Experten des Solar JSOC im Rahmen anderer Dienstleistungen — wie z.B. der Incident-Monitoring — gesammelt wurden. Danach wurde die gesamte Mail den Empfängern nur nach einer Bereinigung zugestellt, wodurch verschiedene Spam-Nachrichten über "großartige Rabatte" nicht mehr massenhaft auf die Mailserver des Kunden eingingen und Platz für andere Bedürfnisse schufen.
Es gab jedoch Fälle, in denen legitime E-Mails fälschlicherweise als Spam eingestuft wurden, beispielsweise von nicht vertrauten Absendern. In solchen Fällen haben wir dem Kunden das Entscheidungsrecht überlassen. Die Optionen, die zur Verfügung stehen, sind begrenzt: entweder sofort löschen oder in Quarantäne schicken. Wir entschieden uns für den zweiten Weg, bei dem solche unerwünschten E-Mails auf dem SEG gespeichert werden. Der Administrator erhielt Zugriff auf die Web-Konsole, in der er jederzeit wichtige E-Mails, beispielsweise von Geschäftspartnern, finden und an den Benutzer weiterleiten konnte.
Befreien wir uns von Schädlingen
Der E-Mail-Schutzdienst umfasst Analyseberichte, die darauf abzielen, die Sicherheit der Infrastruktur und die Effizienz der implementierten Einstellungen zu überwachen. Darüber hinaus ermöglichen diese Berichte die Prognose von Trends. Zum Beispiel finden wir im Bericht den entsprechenden Abschnitt 'Spam nach Empfänger' oder 'Spam nach Absender' und sehen uns an, an welche Adresse die meisten blockierten Nachrichten gesendet werden.
Bei der Analyse eines solchen Berichts fiel uns die plötzliche Erhöhung der Gesamtzahl an E-Mails eines unserer Kunden auf. Die Infrastruktur war klein und die Anzahl der E-Mails war gering. Plötzlich stieg nach Feierabend die Menge an blockiertem Spam nahezu um das Doppelte. Wir beschlossen, genauer hinzuschauen.
Wir stellten fest, dass die Zahl der ausgehenden E-Mails gestiegen war, und in allen Fällen standen Adressen aus der Domain, die gerade mit dem E-Mail-Schutzdienst verbunden ist, im Feld «Absender». Es gibt jedoch einen Haken: Unter den durchaus plausiblen, möglicherweise sogar existierenden Adressen fanden sich eindeutig seltsame. Wir schauten uns die IP-Adressen an, von denen die E-Mails gesendet wurden, und wie erwartet stellte sich heraus, dass sie nicht zum geschützten Adressraum gehörten. Offensichtlich hatte ein Angreifer Spam im Namen des Kunden verschickt.
In diesem Fall haben wir dem Kunden Empfehlungen zur richtigen Konfiguration der DNS-Einträge, insbesondere des SPF, erstellt. Unser Spezialist empfahl, einen TXT-Eintrag zu erstellen, der die Regel «v=spf1 mx ip:1.2.3.4/23 -all» enthält, die eine erschöpfende Liste von Adressen beinhaltet, die berechtigt sind, im Namen der geschützten Domain E-Mails zu versenden.
Warum das wichtig ist: Spam im Namen einer unbekannten kleinen Firma ist unangenehm, aber nicht kritisch. Ganz anders verhält es sich beispielsweise in der Bankenbranche. Unsere Beobachtungen zeigen, dass das Vertrauen der Opfer in eine Phishing-E-Mail erheblich steigt, wenn sie angeblich von der Domain einer anderen Bank oder eines bekannten Geschäftspartners gesendet wurde. Diese Tendenz finden wir nicht nur bei Bankangestellten, sondern auch in anderen Branchen, wie zum Beispiel in der Energieversorgung.
Viren entfernen
Spoofing ist jedoch nicht so häufig wie beispielsweise Virusinfektionen. Wie häufig wird gegen virale Epidemien vorgegangen? Man installiert Antivirenprogramme und hofft, dass der 'Feind' nicht durchkommt. Wenn es so einfach wäre, hätten die Menschen, angesichts der relativ niedrigen Kosten für Antivirenlösungen, das Problem mit Malware schon längst vergessen. Doch wir erhalten ständig Anfragen wie 'Helfen Sie uns, Dateien wiederherzustellen, alles ist verschlüsselt, die Arbeit steht still, Daten sind verloren'. Wir wiederholen unseren Kunden stets, dass auch ein Antivirenprogramm kein Allheilmittel ist. Neben der Tatsache, dass sich Antiviren-Datenbanken oft nicht schnell genug aktualisieren, begegnen wir häufig Malware, die nicht nur Antivirenprogramme, sondern auch Sandboxes umgehen kann.
Leider sind nur wenige der gewöhnlichen Mitarbeiter in Organisationen über Phishing- und bösartige E-Mails informiert und in der Lage, diese von regulärer Korrespondenz zu unterscheiden. Im Durchschnitt fällt jeder siebte Nutzer, der nicht regelmäßig in der Cyber-Sicherheit geschult wird, auf Social Engineering herein: Er öffnet eine infizierte Datei oder sendet seine Daten an Angreifer.
Obwohl der soziale Angriffstrend im Allgemeinen kontinuierlich zunimmt, wurde dieses Phänomen im letzten Jahr besonders deutlich. Phishing-E-Mails ähnelten zunehmend den üblichen Promo-E-Mails, Einladungen zu Veranstaltungen usw. Ein Beispiel ist der Angriff von Silence auf den Finanzsektor – Bankangestellten wurde eine E-Mail angeblich mit einem Rabattcode für die Teilnahme an der beliebten Branchenkonferenz iFin zugesendet, und die Anzahl der Betroffenen war sehr hoch, obwohl es sich, wie wir erinnern sollten, um den Bankensektor handelt – der am weitesten fortgeschrittenen Branche im Bereich der Informationssicherheit.
Vor dem letzten Neujahr haben wir auch einige recht kuriose Situationen beobachtet, in denen Mitarbeiter von Industrieunternehmen sehr hochwertige Phishing-E-Mails mit einer "Liste" von Neujahrsaktionen in beliebten Online-Shops und Rabattcodes erhielten. Die Mitarbeiter versuchten nicht nur selbst, auf den Link zu klicken, sondern leiteten die E-Mail auch an Kollegen aus benachbarten Organisationen weiter. Da die Ressource, auf die der Link in der Phishing-E-Mail verwies, gesperrt war, begannen die Mitarbeiter, der IT-Abteilung massenhaft Anfragen zur Bereitstellung des Zugangs zu stellen. Insgesamt war der Erfolg der Versendung wohl über die Erwartungen der Täter hinausgegangen.
Kürzlich wandte sich ein Unternehmen an uns, das Opfer eines Cyberangriffs geworden war. Alles begann damit, dass die Mitarbeiter der Buchhaltungsabteilung eine E-Mail erhielten, die angeblich von der Zentralbank der Russischen Föderation stammte. Der Buchhalter klickte auf den Link in der E-Mail und lud sich einen WannaMine-Miner herunter, der wie der bekannte WannaCry eine Schwachstelle namens EternalBlue ausnutzte. Interessanterweise können die meisten Antivirenprogramme seit Anfang 2018 seine Signaturen erkennen. Doch ob das Antivirenprogramm deaktiviert war, die Datenbanken nicht aktualisiert wurden oder es das Programm gar nicht gab – in jedem Fall war der Miner bereits auf dem Computer und nichts hinderte ihm daran, sich weiter im Netzwerk auszubreiten und die CPU zu belasten. Server und die ARM zu 100%.
Der Kunde, der den Bericht unserer Forensikgruppe erhielt, stellte fest, dass das Virus ursprünglich über die E-Mail eindrang, und startete ein Pilotprojekt zur Implementierung eines E-Mail-Schutzdienstes. Das erste, was wir einrichteten, war ein E-Mail-Antivirenprogramm. Dabei erfolgt die ständige Scans auf Malware, und die Aktualisierung der Signaturen wurde zuerst stündlich, dann wechselte der Kunde auf einen Modus von zweimal täglich.
Umfassender Schutz vor Virusinfektionen sollte mehrschichtig sein. Wenn wir über die Übertragung von Viren per E-Mail sprechen, müssen solche Nachrichten bereits beim Eingang gefiltert werden, die Benutzer geschult werden, um soziale Ingenieurtechniken zu erkennen, und erst dann sollte man auf Antivirenprogramme und Sandboxes vertrauen.
Immer auf der Hut
Natürlich behaupten wir nicht, dass Lösungen der Kategorie Secure Email Gateway eine Allheilmittel sind. Gezielte Angriffe, einschließlich gezieltem Phishing, sind äußerst schwer zu verhindern, da jeder solcher Angriff auf einen bestimmten Empfänger (Organisation oder Person) zugeschnitten ist. Für ein Unternehmen, das versucht, ein grundlegendes Sicherheitsniveau zu gewährleisten, ist das jedoch ein bedeutender Schritt, insbesondere mit der richtigen Erfahrung und Expertise, die in diese Aufgabe investiert werden.
Bei gezieltem Phishing werden in der Regel keine schädlichen Anhänge in die E-Mails eingefügt, da das Antispam-System solche Nachrichten sofort blockiert. Stattdessen enthalten die E-Mails Links zu vorher vorbereiteten Webseiten, was den Tätern ermöglicht, den Benutzer unkompliziert zu täuschen. Der Benutzer klickt auf den Link und gelangt durch mehrere Weiterleitungen innerhalb weniger Sekunden zur letzten Seite der Kette, deren Öffnung Schadsoftware auf seinen Computer herunterlädt.
Noch raffinierter: Im Moment des Empfangs könnte der Link harmlos erscheinen und erst nach einiger Zeit, nachdem er bereits gescannt und genehmigt wurde, beginnt er, auf schädliche Inhalte weiterzuleiten. Leider wird es selbst den Experten von Solar JSOC, trotz ihrer Fachkompetenz, nicht gelingen, den Mailgateway so zu konfigurieren, dass er Malware über die gesamte Kette „erkennt“ (allerdings könnte man zur Sicherheit eine automatische Umleitung aller Links in E-Mails auf SEG nutzen, sodass diese den Link nicht nur zum Zeitpunkt der Zustellung des E-Mails scannt, sondern bei jedem Klick).
In der Zwischenzeit hilft die Aggregation verschiedener Fachkenntnisse, einschließlich der Daten, die von unserem JSOC CERT und OSINT erhalten werden, auch bei typischen Weiterleitungen. So können erweiterte Blacklists erstellt werden, auf deren Basis selbst eine E-Mail mit mehrfacher Weiterleitung blockiert wird.
Die Verwendung von SEG ist nur ein kleiner Baustein in der Mauer, die jede Organisation zum Schutz ihrer Vermögenswerte errichten möchte. Aber dieses Glied muss richtig in das Gesamtbild eingepasst werden, da selbst SEG bei korrekter Konfiguration zu einem vollwertigen Schutzmittel werden kann.
Ksenia Sadunina, Beraterin der Abteilung für Expertensupport von Solar JSOC-Produkten und -Dienstleistungen
Quelle: habr.com
