🥇Ransomware – eine neue Methode zur Organisation von Datenlecks

Datenlecks sind ein brennendes Thema für die Sicherheitsabteilung. Und jetzt, wo die meisten von zu Hause aus arbeiten, ist die Gefahr von Leaks erheblich gestiegen. Aus diesem Grund richten bekannte Cyberkriminelle ihre Aufmerksamkeit verstärkt auf veraltete und unzureichend geschützte Remote-Zugangsprotokolle. Interessanterweise stehen heutzutage immer mehr Datenlecks im Zusammenhang mit Ransomware. Wie, warum und auf welche Weise – lesen Sie mehr unten.

Beginnen wir damit, dass die Entwicklung und Verbreitung von Ransomware an sich ein sehr lukratives kriminelles Geschäft ist. Laut Schätzungen des FBI in den USA, die Sodinokibi-Gruppe hat im vergangenen Jahr etwa 1 Million Dollar pro Monat verdient. Die Täter, die Ryuk eingesetzt haben, verdienten sogar noch mehr – zu Beginn der Aktivitäten der Gruppe lagen ihre Einnahmen bei bis zu 3 Millionen Dollar im Monat. Daher ist es nicht verwunderlich, dass viele Informationssicherheitsleiter (CISO) Ransomware-Programme als eines der fünf größten Risiken für Unternehmen identifizieren.

Das Acronis Cyber Protection Operation Center (CPOC) in Singapur bestätigt die Aktivierung von Cyberkriminalität im Bereich Ransomware. In der zweiten Maihälfte wurden weltweit 20 % mehr Ransomware-Programme blockiert als üblich. Nach einem leichten Rückgang beobachten wir im Juni erneut einen Anstieg der Aktivität. Dafür gibt es mehrere Gründe.

Zugang zum Computer des Opfers

Die Schutztechnologien entwickeln sich weiter, und die Angreifer müssen ihre Taktik anpassen, um in spezifische Systeme einzudringen. Zielgerichtete Ransomware-Angriffe verbreiten sich nach wie vor durch gut durchdachte Phishing-E-Mails (hierbei spielt soziale Ingenieurskunst eine Rolle). In letzter Zeit haben jedoch die Entwickler von Schadsoftware viel Aufmerksamkeit auf remote Arbeitnehmer gelegt. Um diese anzugreifen, können schlecht gesicherte Remote-Access-Services wie RDP oder anfällige VPN-Server gefunden werden.
Genau das tun sie. Im Darknet sind sogar Dienste für Ransomware-as-a-Service aufgetaucht, die alles Notwendige bieten, um eine ausgewählte Organisation oder Person anzugreifen.

Angreifer suchen nach allen möglichen Wegen, um in Unternehmensnetzwerke einzudringen und ihre Angriffe zu erweitern. Ein zunehmend populäres Ziel sind Versuche, die Netzwerke von Service-Providern zu infizieren. Da Cloud-Dienste heute gerade an Popularität gewinnen, ermöglicht die Infektion eines beliebten Dienstes, gleichzeitig Dutzende oder sogar Hunderte von Opfern auf einmal anzugreifen.

Im Falle eines Hacks von Web-Konsolen zur Verwaltung von Sicherheits- oder Backup-Systemen können Angreifer den Schutz deaktivieren, Sicherungskopien löschen und ihr bösartiges Programm in der gesamten Organisation verbreiten. Genau aus diesem Grund empfehlen Experten, alle Service-Konten sorgfältig mit Multi-Faktor-Authentifizierung zu schützen. Beispielsweise ermöglichen alle Cloud-Dienste von Acronis, eine doppelte Sicherheit einzurichten, denn im Fall einer Kompromittierung des Passworts könnten Angreifer alle Vorteile eines umfassenden Cyber-Sicherheitssystems zunichte machen.

Erweiterung des Angriffsbereichs

Wenn das angestrebte Ziel erreicht ist und die Malware bereits im Unternehmensnetzwerk ist, kommen in der Regel gängige Taktiken für die Weiterverbreitung zum Einsatz. Angreifer analysieren die Situation und versuchen, die internen Barrieren zu überwinden, die zum Schutz vor Bedrohungen errichtet wurden. Dieser Teil des Angriffs kann manuell erfolgen (schließlich, wenn sie schon im Netzwerk sind, ist der Köder in der Falle!). Dazu werden bereits gut bekannte Werkzeuge wie PowerShell, WMI PsExec sowie neuere Emulatoren wie Cobalt Strike und andere Tools verwendet. Einige kriminelle Gruppen richten gezielte Angriffe auf Passwortmanager aus, um tiefer in das Unternehmensnetzwerk einzudringen. Maleware wie Ragnar wurde kürzlich in einem vollständig geschlossenen Abbild der VirtualBox-VM entdeckt, das dazu beiträgt, das Vorhandensein von unerwünschter Software auf dem Gerät zu verbergen.

Wenn schädliche Software in ein Unternehmensnetzwerk eindringt, versucht sie, das Zugriffslevel des Benutzers zu überprüfen und gestohlene Passwörter zu verwenden. Tools wie Mimikatz und Bloodhound & Co. helfen dabei, die Konten von Domänenadministratoren zu knacken. Erst wenn der Angreifer glaubt, dass seine Möglichkeiten zur Ausbreitung erschöpft sind, wird die Ransomware direkt auf die Clientsysteme geladen.

Ransomware als Tarnung

Angesichts der Ernsthaftigkeit der Bedrohung durch Datenverlust setzen immer mehr Unternehmen jährlich einen sogenannten "Disaster Recovery Plan" um. Dadurch müssen sie sich weniger um verschlüsselte Daten sorgen, und im Falle eines Ransomware-Angriffs beginnen sie nicht, ein Lösegeld zu sammeln, sondern starten den Wiederherstellungsprozess. Doch auch die Angreifer ruhen sich nicht aus. Unter dem Deckmantel von Ransomware findet ein massenhafter Datenklau statt. Die Gruppe Maze begann bereits 2019, diese Taktik massenhaft anzuwenden, obwohl auch andere Gruppen gelegentlich Angriffe kombinierten. Jetzt nehmen mindestens Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO und Sekhmet an Datenraubaktionen teil, die parallel zur Verschlüsselung stattfinden.

Manchmal gelingt es Angreifern, Dutzende Terabyte an Daten aus einem Unternehmen zu extrahieren, die durch Netzüberwachungsmaßnahmen (sofern diese installiert und konfiguriert wären) erkannt werden könnten. Denn in der Regel erfolgt die Datenübertragung einfach über FTP, Putty, WinSCP oder PowerShell-Skripte. Um DLP- und Netzüberwachungsmaßnahmen zu umgehen, können die Daten verschlüsselt oder als passwortgeschützte Archive gesendet werden, was eine neue Herausforderung für Sicherheitsdienste darstellt, die den ausgehenden Datenverkehr auf solche Dateien überprüfen müssen.

Die Untersuchung des Verhaltens von Infostealern zeigt, dass Angreifer nicht alles sammeln — sie sind speziell an Finanzberichten, Kundendatenbanken, persönlichen Informationen von Mitarbeitern und Kunden, Verträgen, Aufzeichnungen und juristischen Dokumenten interessiert. Die Malware scannt Festplatten auf der Suche nach Informationen, die theoretisch für Erpressung verwendet werden könnten.
Wenn ein solcher Angriff erfolgreich war, veröffentlichen die Täter normalerweise einen kleinen Teaser, in dem sie einige Dokumente zeigen, um zu bestätigen, dass Daten aus der Organisation geleakt wurden. Einige Gruppen veröffentlichen sogar das gesamte Datenpaket auf ihrer Website, wenn die Zeit zur Zahlung des Lösegelds bereits abgelaufen ist. Um eine Blockade zu vermeiden und eine breite Reichweite zu gewährleisten, werden die Daten unter anderem im TOR-Netzwerk veröffentlicht.

Ein weiterer Monetarisierungsansatz ist der Verkauf von Daten. Zum Beispiel haben Sodinokibi kürzlich offene Auktionen angekündigt, bei denen die Daten an den Teilnehmer vergeben werden, der das höchste Gebot abgibt. Der Startpreis solcher Versteigerungen beträgt je nach Qualität und Inhalt der Daten zwischen 50.000 und 100.000 $. Beispielsweise wurden 10.000 Datensätze über Geldströme, vertrauliche Geschäftsdaten und gescannte Führerscheine für mindestens 100.000 $ verkauft. Für 50.000 $ konnte man mehr als 20.000 Finanzdokumente sowie drei Datenbanken mit Buchhaltungsdateien und Kundendaten erwerben.

Websites, on which leaks are published, come in various forms. These can be simple pages where all the stolen data is simply posted, or they can be more complex structures with sections and purchasing options. The main point, however, is that they all serve one purpose — to increase the attackers' chances of obtaining real money. If this business model shows good results for the criminals, we can be sure that more such sites will emerge, and the techniques for stealing and monetizing corporate data will also expand.

Das sind die aktuellen Webseiten, auf denen Datenlecks veröffentlicht werden:

Was bei neuen Angriffen zu tun ist

Die größte Herausforderung für Sicherheitsdienste besteht darin, dass in letzter Zeit immer mehr Vorfälle, die mit Ransomware in Verbindung stehen, einfach als Ablenkung von Datenklau dienen. Angreifer setzen nicht mehr nur auf die Verschlüsselung von Servern. Vielmehr besteht das Hauptziel darin, eine Leckage zu organisieren, während Sie mit den Verschlüsselungsangreifern kämpfen.

Daher reicht die Verwendung eines einzigen Backup-Systems, selbst mit einem guten Wiederherstellungsplan, nicht aus, um mehrschichtigen Bedrohungen entgegenzuwirken. Natürlich kommen wir nicht ohne Backups aus, denn Angreifer werden immer versuchen, etwas zu verschlüsseln und ein Lösegeld zu verlangen. Es geht vielmehr darum, dass jetzt jeder Angriff unter Verwendung von Ransomware als Anlass für eine eingehende Analyse des Datenverkehrs und die Einleitung einer Untersuchung möglicher Angriffe betrachtet werden sollte. Außerdem sollten zusätzliche Sicherheitsmaßnahmen in Betracht gezogen werden, die dazu in der Lage sind:

Angriffe schnell zu erkennen und ungewöhnliche Aktivitäten im Netzwerk mithilfe von KI zu analysieren
Systeme sofort nach Ransomware-Angriffen des Nulltags wiederherzustellen, sodass Sie die Netzwerkaktivität nachverfolgen können
Die Verbreitung klassischer Malware und neuer Angriffsarten im Unternehmensnetzwerk zu blockieren
Software und Systeme (einschließlich Remote-Zugriffe) auf aktuelle Sicherheitsanfälligkeiten und Exploits zu analysieren
Die Übertragung unbekannter Informationen über die Unternehmensgrenze hinaus zu verhindern

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte melden Sie sich an.Sind Sie an Contour interessiert?