{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 eine neue Methode zur Organisation von Datenleaks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Datenlecks sind ein brisantes Thema f\u00fcr die Sicherheitsdienste. Und jetzt, wo die meisten von zu Hause aus arbeiten, ist die Gefahr von Leaks deutlich h\u00f6her. Genau deshalb schenken bekannte Cyberkriminalit\u00e4tsgruppen veralteten und unzureichend gesicherten Fernzugriffsprotokollen besondere Aufmerksamkeit. Interessanterweise stehen immer mehr Datenlecks heute im Zusammenhang mit Ransomware. Wie, warum und auf welche Weise \u2014 lesen Sie weiter unten.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nBeginnen wir damit, dass die Entwicklung und Verbreitung von Ransomware selbst ein sehr profitables kriminelles Gesch\u00e4ft ist. Zum Beispiel sch\u00e4tzt das amerikanische FBI, die Gruppe Sodinokibi<\/a><\/noindex> hat im vergangenen Jahr etwa 1 Million Dollar pro Monat verdient. Und die T\u00e4ter, die Ryuk verwendet haben, haben sogar noch mehr erhalten \u2014 zu Beginn der Gruppenaktivit\u00e4ten lag ihr Einkommen bei bis zu 3 Millionen Dollar pro Monat. Es ist daher nicht verwunderlich, dass viele Sicherheitsverantwortliche (CISO) Ransomware als eines der f\u00fcnf gr\u00f6\u00dften Risiken f\u00fcr Unternehmen betrachten.<\/p>\n

Das Acronis Cyber Protection Operation Center (CPOC), das in Singapur ans\u00e4ssig ist, best\u00e4tigt die Zunahme der Cyberkriminalit\u00e4t im Bereich Ransomware. In der zweiten Maih\u00e4lfte wurden weltweit 20 % mehr Ransomware-Programme als gew\u00f6hnlich blockiert. Nach einem kleinen R\u00fcckgang sehen wir jetzt im Juni erneut einen Anstieg der Aktivit\u00e4t. Und daf\u00fcr gibt es mehrere Gr\u00fcnde. <\/p>\n

Auf den Computer des Opfers gelangen
\n<\/h3>\n

\nSchutztechnologien entwickeln sich weiter, und die T\u00e4ter m\u00fcssen ihre Taktik anpassen, um auf ein bestimmtes System zuzugreifen. Gezielt eingesetzte Ransomware verbreitet sich nach wie vor durch gut durchdachte Phishing-E-Mails (hier spielt auch soziale Ingenieurskunst eine Rolle). In letzter Zeit richten die Entwickler von Malware jedoch viel Aufmerksamkeit auf Remote-Mitarbeiter. Um diese anzugreifen, k\u00f6nnen schlecht gesicherte Remote-Zugriffsservices wie RDP oder VPN-Server mit Schwachstellen gefunden werden.
\nGenau damit besch\u00e4ftigen sie sich. Im Darknet sind sogar Ransomware-as-a-Service-Dienste aufgetaucht, die alles Notwendige bieten, um eine ausgew\u00e4hlte Organisation oder Person anzugreifen. <\/p>\n

Betr\u00fcger suchen nach allen m\u00f6glichen Wegen, in das Unternehmensnetz einzudringen und das Angriffsspektrum zu erweitern. So sind Versuche, die Netzwerke von Dienstanbietern zu infizieren, ein beliebtes Ziel geworden. Da Cloud-Dienste heutzutage immer popul\u00e4rer werden, erm\u00f6glicht die Infektion eines beliebten Dienstes, gleichzeitig Dutzende oder sogar Hunderte von Opfern auf einmal anzugreifen. <\/p>\n

Im Falle eines Hacks von Web-Management-Konsolen f\u00fcr Sicherheitssysteme oder Sicherungskopien k\u00f6nnen Angreifer den Schutz deaktivieren, Sicherungskopien l\u00f6schen und ihrem sch\u00e4dlichen Code die Verbreitung in der gesamten Organisation erm\u00f6glichen. \u00dcbrigens empfehlen Experten aus diesem Grund, alle Dienstkonten sorgf\u00e4ltig mit einer Zwei-Faktor-Authentifizierung zu sch\u00fctzen. Zum Beispiel erm\u00f6glichen alle Cloud-Dienste von Acronis die Einrichtung eines doppelten Schutzes, denn im Falle einer Kompromittierung des Passworts k\u00f6nnten Angreifer alle Vorteile eines umfassenden Cyber-Sicherheitssystems zunichte machen. <\/p>\n

Erweiterung des Angriffsspektrums
\n<\/h3>\n

\nSobald das ehrgeizige Ziel erreicht ist und die Schadsoftware bereits im Unternehmensnetz ist, werden in der Regel g\u00e4ngige Taktiken f\u00fcr die weitere Verbreitung eingesetzt. Die Angreifer untersuchen die Situation und versuchen, die im Unternehmen geschaffenen Barrieren zu \u00fcberwinden, um gegen Bedrohungen vorzugehen. Dieser Teil des Angriffs kann manuell erfolgen (wenn sie bereits im Netzwerk sind, bedeutet dies, dass die \"K\u00f6der auf dem Haken sind!). Dazu werden bereits gut bekannte Werkzeuge wie PowerShell, WMI PsExec sowie der neuere Emulator Cobalt Strike und andere Tools verwendet. Einige kriminelle Gruppen zielen gezielt auf Passwortmanager ab, um tiefer in das Unternehmensnetz einzudringen. Auch Schadsoftware wie Ragnar wurde k\u00fcrzlich in einem vollst\u00e4ndig geschlossenen VirtualBox-Image festgestellt, das hilft, das Vorhandensein unerw\u00fcnschter Software auf dem Ger\u00e4t zu verbergen. <\/p>\n

Wenn Schadsoftware in ein Unternehmensnetzwerk eindringt, versucht sie, die Zugriffsrechte des Nutzers zu \u00fcberpr\u00fcfen und gestohlene Passw\u00f6rter anzuwenden. Tools wie Mimikatz und Bloodhound & Co. helfen dabei, Administratorenkonten von Domains zu hacken. Erst wenn der Angreifer die M\u00f6glichkeiten zur weiteren Ausbreitung als ersch\u00f6pft ansieht, wird die Ransomware auf die Client-Systeme geladen. <\/p>\n

Ransomware als Deckmantel
\n<\/h3>\n

\nAngesichts der Schwere der Bedrohung durch Datenverlust setzen immer mehr Unternehmen jedes Jahr einen sogenannten \u201eDisaster Recovery Plan\u201c um. Dadurch machen sie sich weniger Sorgen um verschl\u00fcsselte Daten und beginnen im Falle eines Ransomware-Angriffs nicht, ein L\u00f6segeld zu verlangen, sondern starten den Wiederherstellungsprozess. Doch auch die Angreifer ruhen sich nicht aus. Unter dem Deckmantel von Ransomware findet ein massenhafter Datendiebstahl statt. Die erste Gruppe, die diese Taktik massenhaft anwandte, war Maze im Jahr 2019, obwohl auch andere Gruppen gelegentlich Angriffe kombinierten. Inzwischen k\u00fcmmern sich mindestens Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO und Sekhmet um Datendiebstahl parallel zur Verschl\u00fcsselung.<\/p>\n

Manchmal gelingt es Angreifern, Dutzende Terabyte an Daten aus einem Unternehmen herauszuschaufeln, die h\u00e4tten durch Netzwerk\u00fcberwachung entdeckt werden k\u00f6nnen (wenn diese installiert und konfiguriert gewesen w\u00e4ren). Denn h\u00e4ufig erfolgt die Daten\u00fcbertragung einfach \u00fcber FTP, Putty, WinSCP oder PowerShell-Skripte. Um DLP und Systeme zur Netzwerk\u00fcberwachung zu umgehen, k\u00f6nnen Daten verschl\u00fcsselt oder als passwortgesch\u00fctztes Archiv versendet werden, was eine neue Herausforderung f\u00fcr die Sicherheitsdienste darstellt, die den ausgehenden Datenverkehr auf entsprechende Dateien \u00fcberpr\u00fcfen m\u00fcssen.<\/p>\n

Die Untersuchung des Verhaltens von Infostealern zeigt, dass Angreifer nicht einfach wahllos alles sammeln \u2013 sie haben ein besonderes Interesse an Finanzberichten, Kundenbasen, personenbezogenen Daten von Mitarbeitern und Kunden, Vertr\u00e4gen, Aufzeichnungen und juristischen Dokumenten. Schadsoftware durchscannt Festplatten auf der Suche nach jeglicher Information, die theoretisch f\u00fcr Erpressung genutzt werden k\u00f6nnte.
\nWenn ein solcher Angriff erfolgreich war, ver\u00f6ffentlichen die Angreifer normalerweise einen kurzen Teaser, um mehrere Dokumente zu zeigen, die best\u00e4tigen, dass Daten aus der Organisation geleakt wurden. Einige Gruppen ver\u00f6ffentlichen sogar den gesamten Datensatz auf ihrer Website, wenn die Frist zur Zahlung des L\u00f6segelds abgelaufen ist. Um eine Blockierung zu vermeiden und eine breite Reichweite zu gew\u00e4hrleisten, werden die Daten unter anderem im TOR-Netzwerk ver\u00f6ffentlicht.<\/p>\n

Ein weiterer Monetarisierungsweg ist der Verkauf von Daten. Zum Beispiel haben Sodinokibi k\u00fcrzlich offene Auktionen angek\u00fcndigt, bei denen die Daten dem Teilnehmer \u00fcbergeben werden, der das h\u00f6chste Gebot abgibt. Der Startpreis f\u00fcr solche Auktionen liegt bei 50.000 bis 100.000 USD, abh\u00e4ngig von der Qualit\u00e4t und dem Inhalt der Daten. Beispielsweise wurden 10.000 Datens\u00e4tze \u00fcber Bargeldfl\u00fcsse, vertrauliche Gesch\u00e4ftsdaten und gescannte F\u00fchrerscheine zu Preisen von 100.000 USD verkauft. F\u00fcr 50.000 USD konnte man \u00fcber 20.000 Finanzdokumente sowie drei Datenbanken mit Buchhaltungsdateien und Kundendaten erwerben. <\/p>\n

Die Websites, auf denen die Leaks ver\u00f6ffentlicht werden, sind sehr unterschiedlich. Das kann eine einfache Seite sein, auf der einfach alles Gestohlene ver\u00f6ffentlicht wurde, aber es gibt auch komplexere Strukturen mit Bereichen und Kaufm\u00f6glichkeiten. Das Wichtigste ist, dass sie alle demselben Ziel dienen \u2013 die Chancen der Angreifer auf den Erhalt von echtem Geld zu steigern. Sollte sich dieses Gesch\u00e4ftsmodell f\u00fcr die Angreifer als erfolgreich erweisen, kann man sich darauf verlassen, dass es noch mehr solcher Seiten geben wird und die Techniken zum Stehlen und Monetarisieren von Unternehmensdaten weiter ausgebaut werden.<\/p>\n

So sehen die aktuellen Websites aus, auf denen Datenlecks ver\u00f6ffentlicht werden:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Was bei neuen Angriffen zu tun ist
\n<\/h3>\n

\nDie gr\u00f6\u00dfte Herausforderung f\u00fcr Sicherheitsdienste in dieser Situation besteht darin, dass in letzter Zeit immer mehr Vorf\u00e4lle im Zusammenhang mit Ransomware einfach als Ablenkung von Datendiebstahl dienen. Die Angreifer setzen nicht mehr nur auf die Verschl\u00fcsselung von Servern. Im Gegenteil, das Hauptziel ist es, einen Leak zu organisieren, w\u00e4hrend Sie gegen die Verschl\u00fcsselungssoftware k\u00e4mpfen. <\/p>\n

So ist die Verwendung eines einzigen Backup-Systems, selbst mit einem guten Wiederherstellungsplan, nicht ausreichend, um gegen mehrschichtige Bedrohungen gewappnet zu sein. Nat\u00fcrlich sind Backups unverzichtbar, denn Angreifer werden mit Sicherheit versuchen, etwas zu verschl\u00fcsseln und ein L\u00f6segeld zu fordern. Es geht vielmehr darum, dass jeder Angriff mit Ransomware jetzt als Anlass f\u00fcr eine umfassende Analyse des Datenverkehrs und den Start einer Untersuchung m\u00f6glicher Angriffe betrachtet werden muss. Au\u00dferdem sollten zus\u00e4tzliche Sicherheitsmittel in Betracht gezogen werden, die k\u00f6nnten: <\/p>\n