{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2013 eine neue Methode zur Durchf\u00fchrung von Datenlecks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Datenlecks sind ein brennendes Thema f\u00fcr die Sicherheitsabteilung. Und jetzt, wo die meisten von zu Hause aus arbeiten, ist die Gefahr von Leaks erheblich gestiegen. Aus diesem Grund richten bekannte Cyberkriminelle ihre Aufmerksamkeit verst\u00e4rkt auf veraltete und unzureichend gesch\u00fctzte Remote-Zugangsprotokolle. Interessanterweise stehen heutzutage immer mehr Datenlecks im Zusammenhang mit Ransomware. Wie, warum und auf welche Weise \u2013 lesen Sie mehr unten.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nBeginnen wir damit, dass die Entwicklung und Verbreitung von Ransomware an sich ein sehr lukratives kriminelles Gesch\u00e4ft ist. Laut Sch\u00e4tzungen des FBI in den USA, die Sodinokibi-Gruppe<\/a><\/noindex> hat im vergangenen Jahr etwa 1 Million Dollar pro Monat verdient. Die T\u00e4ter, die Ryuk eingesetzt haben, verdienten sogar noch mehr \u2013 zu Beginn der Aktivit\u00e4ten der Gruppe lagen ihre Einnahmen bei bis zu 3 Millionen Dollar im Monat. Daher ist es nicht verwunderlich, dass viele Informationssicherheitsleiter (CISO) Ransomware-Programme als eines der f\u00fcnf gr\u00f6\u00dften Risiken f\u00fcr Unternehmen identifizieren.<\/p>\n

Das Acronis Cyber Protection Operation Center (CPOC) in Singapur best\u00e4tigt die Aktivierung von Cyberkriminalit\u00e4t im Bereich Ransomware. In der zweiten Maih\u00e4lfte wurden weltweit 20 % mehr Ransomware-Programme blockiert als \u00fcblich. Nach einem leichten R\u00fcckgang beobachten wir im Juni erneut einen Anstieg der Aktivit\u00e4t. Daf\u00fcr gibt es mehrere Gr\u00fcnde. <\/p>\n

Zugang zum Computer des Opfers
\n<\/h3>\n

\nDie Schutztechnologien entwickeln sich weiter, und die Angreifer m\u00fcssen ihre Taktik anpassen, um in spezifische Systeme einzudringen. Zielgerichtete Ransomware-Angriffe verbreiten sich nach wie vor durch gut durchdachte Phishing-E-Mails (hierbei spielt soziale Ingenieurskunst eine Rolle). In letzter Zeit haben jedoch die Entwickler von Schadsoftware viel Aufmerksamkeit auf remote Arbeitnehmer gelegt. Um diese anzugreifen, k\u00f6nnen schlecht gesicherte Remote-Access-Services wie RDP oder anf\u00e4llige VPN-Server gefunden werden.
\nGenau das tun sie. Im Darknet sind sogar Dienste f\u00fcr Ransomware-as-a-Service aufgetaucht, die alles Notwendige bieten, um eine ausgew\u00e4hlte Organisation oder Person anzugreifen. <\/p>\n

Angreifer suchen nach allen m\u00f6glichen Wegen, um in Unternehmensnetzwerke einzudringen und ihre Angriffe zu erweitern. Ein zunehmend popul\u00e4res Ziel sind Versuche, die Netzwerke von Service-Providern zu infizieren. Da Cloud-Dienste heute gerade an Popularit\u00e4t gewinnen, erm\u00f6glicht die Infektion eines beliebten Dienstes, gleichzeitig Dutzende oder sogar Hunderte von Opfern auf einmal anzugreifen. <\/p>\n

Im Falle eines Hacks von Web-Konsolen zur Verwaltung von Sicherheits- oder Backup-Systemen k\u00f6nnen Angreifer den Schutz deaktivieren, Sicherungskopien l\u00f6schen und ihr b\u00f6sartiges Programm in der gesamten Organisation verbreiten. Genau aus diesem Grund empfehlen Experten, alle Service-Konten sorgf\u00e4ltig mit Multi-Faktor-Authentifizierung zu sch\u00fctzen. Beispielsweise erm\u00f6glichen alle Cloud-Dienste von Acronis, eine doppelte Sicherheit einzurichten, denn im Fall einer Kompromittierung des Passworts k\u00f6nnten Angreifer alle Vorteile eines umfassenden Cyber-Sicherheitssystems zunichte machen. <\/p>\n

Erweiterung des Angriffsbereichs
\n<\/h3>\n

\nWenn das angestrebte Ziel erreicht ist und die Malware bereits im Unternehmensnetzwerk ist, kommen in der Regel g\u00e4ngige Taktiken f\u00fcr die Weiterverbreitung zum Einsatz. Angreifer analysieren die Situation und versuchen, die internen Barrieren zu \u00fcberwinden, die zum Schutz vor Bedrohungen errichtet wurden. Dieser Teil des Angriffs kann manuell erfolgen (schlie\u00dflich, wenn sie schon im Netzwerk sind, ist der K\u00f6der in der Falle!). Dazu werden bereits gut bekannte Werkzeuge wie PowerShell, WMI PsExec sowie neuere Emulatoren wie Cobalt Strike und andere Tools verwendet. Einige kriminelle Gruppen richten gezielte Angriffe auf Passwortmanager aus, um tiefer in das Unternehmensnetzwerk einzudringen. Maleware wie Ragnar wurde k\u00fcrzlich in einem vollst\u00e4ndig geschlossenen Abbild der VirtualBox-VM entdeckt, das dazu beitr\u00e4gt, das Vorhandensein von unerw\u00fcnschter Software auf dem Ger\u00e4t zu verbergen. <\/p>\n

Wenn sch\u00e4dliche Software in ein Unternehmensnetzwerk eindringt, versucht sie, das Zugriffslevel des Benutzers zu \u00fcberpr\u00fcfen und gestohlene Passw\u00f6rter zu verwenden. Tools wie Mimikatz und Bloodhound & Co. helfen dabei, die Konten von Dom\u00e4nenadministratoren zu knacken. Erst wenn der Angreifer glaubt, dass seine M\u00f6glichkeiten zur Ausbreitung ersch\u00f6pft sind, wird die Ransomware direkt auf die Clientsysteme geladen. <\/p>\n

Ransomware als Tarnung
\n<\/h3>\n

\nAngesichts der Ernsthaftigkeit der Bedrohung durch Datenverlust setzen immer mehr Unternehmen j\u00e4hrlich einen sogenannten \"Disaster Recovery Plan\" um. Dadurch m\u00fcssen sie sich weniger um verschl\u00fcsselte Daten sorgen, und im Falle eines Ransomware-Angriffs beginnen sie nicht, ein L\u00f6segeld zu sammeln, sondern starten den Wiederherstellungsprozess. Doch auch die Angreifer ruhen sich nicht aus. Unter dem Deckmantel von Ransomware findet ein massenhafter Datenklau statt. Die Gruppe Maze begann bereits 2019, diese Taktik massenhaft anzuwenden, obwohl auch andere Gruppen gelegentlich Angriffe kombinierten. Jetzt nehmen mindestens Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO und Sekhmet an Datenraubaktionen teil, die parallel zur Verschl\u00fcsselung stattfinden.<\/p>\n

Manchmal gelingt es Angreifern, Dutzende Terabyte an Daten aus einem Unternehmen zu extrahieren, die durch Netz\u00fcberwachungsma\u00dfnahmen (sofern diese installiert und konfiguriert w\u00e4ren) erkannt werden k\u00f6nnten. Denn in der Regel erfolgt die Daten\u00fcbertragung einfach \u00fcber FTP, Putty, WinSCP oder PowerShell-Skripte. Um DLP- und Netz\u00fcberwachungsma\u00dfnahmen zu umgehen, k\u00f6nnen die Daten verschl\u00fcsselt oder als passwortgesch\u00fctzte Archive gesendet werden, was eine neue Herausforderung f\u00fcr Sicherheitsdienste darstellt, die den ausgehenden Datenverkehr auf solche Dateien \u00fcberpr\u00fcfen m\u00fcssen.<\/p>\n

Die Untersuchung des Verhaltens von Infostealern zeigt, dass Angreifer nicht alles sammeln \u2014 sie sind speziell an Finanzberichten, Kundendatenbanken, pers\u00f6nlichen Informationen von Mitarbeitern und Kunden, Vertr\u00e4gen, Aufzeichnungen und juristischen Dokumenten interessiert. Die Malware scannt Festplatten auf der Suche nach Informationen, die theoretisch f\u00fcr Erpressung verwendet werden k\u00f6nnten.
\nWenn ein solcher Angriff erfolgreich war, ver\u00f6ffentlichen die T\u00e4ter normalerweise einen kleinen Teaser, in dem sie einige Dokumente zeigen, um zu best\u00e4tigen, dass Daten aus der Organisation geleakt wurden. Einige Gruppen ver\u00f6ffentlichen sogar das gesamte Datenpaket auf ihrer Website, wenn die Zeit zur Zahlung des L\u00f6segelds bereits abgelaufen ist. Um eine Blockade zu vermeiden und eine breite Reichweite zu gew\u00e4hrleisten, werden die Daten unter anderem im TOR-Netzwerk ver\u00f6ffentlicht.<\/p>\n

Ein weiterer Monetarisierungsansatz ist der Verkauf von Daten. Zum Beispiel haben Sodinokibi k\u00fcrzlich offene Auktionen angek\u00fcndigt, bei denen die Daten an den Teilnehmer vergeben werden, der das h\u00f6chste Gebot abgibt. Der Startpreis solcher Versteigerungen betr\u00e4gt je nach Qualit\u00e4t und Inhalt der Daten zwischen 50.000 und 100.000 $. Beispielsweise wurden 10.000 Datens\u00e4tze \u00fcber Geldstr\u00f6me, vertrauliche Gesch\u00e4ftsdaten und gescannte F\u00fchrerscheine f\u00fcr mindestens 100.000 $ verkauft. F\u00fcr 50.000 $ konnte man mehr als 20.000 Finanzdokumente sowie drei Datenbanken mit Buchhaltungsdateien und Kundendaten erwerben. <\/p>\n

Websites, on which leaks are published, come in various forms. These can be simple pages where all the stolen data is simply posted, or they can be more complex structures with sections and purchasing options. The main point, however, is that they all serve one purpose \u2014 to increase the attackers' chances of obtaining real money. If this business model shows good results for the criminals, we can be sure that more such sites will emerge, and the techniques for stealing and monetizing corporate data will also expand.<\/p>\n

Das sind die aktuellen Webseiten, auf denen Datenlecks ver\u00f6ffentlicht werden:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Was bei neuen Angriffen zu tun ist
\n<\/h3>\n

\nDie gr\u00f6\u00dfte Herausforderung f\u00fcr Sicherheitsdienste besteht darin, dass in letzter Zeit immer mehr Vorf\u00e4lle, die mit Ransomware in Verbindung stehen, einfach als Ablenkung von Datenklau dienen. Angreifer setzen nicht mehr nur auf die Verschl\u00fcsselung von Servern. Vielmehr besteht das Hauptziel darin, eine Leckage zu organisieren, w\u00e4hrend Sie mit den Verschl\u00fcsselungsangreifern k\u00e4mpfen. <\/p>\n

Daher reicht die Verwendung eines einzigen Backup-Systems, selbst mit einem guten Wiederherstellungsplan, nicht aus, um mehrschichtigen Bedrohungen entgegenzuwirken. Nat\u00fcrlich kommen wir nicht ohne Backups aus, denn Angreifer werden immer versuchen, etwas zu verschl\u00fcsseln und ein L\u00f6segeld zu verlangen. Es geht vielmehr darum, dass jetzt jeder Angriff unter Verwendung von Ransomware als Anlass f\u00fcr eine eingehende Analyse des Datenverkehrs und die Einleitung einer Untersuchung m\u00f6glicher Angriffe betrachtet werden sollte. Au\u00dferdem sollten zus\u00e4tzliche Sicherheitsma\u00dfnahmen in Betracht gezogen werden, die dazu in der Lage sind: <\/p>\n