Cisco Talos Incident Response Report Q2 2023 25 Prozent Anstieg von Datendiebstahl ohne Verschlüsselung

Anbieter zum Thema

Cisco Systems GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Im zweiten Quartal 2023 registrierte Cisco Talos einen ungewöhnlich hohen Anstieg von Vorfällen bei Erpressung durch Datendiebstahl. Mit einem Wachstum um 25 Prozent im Vergleich zum Vorquartal rückt diese Angriffsart mit insgesamt 30 Prozent auf Platz eins aller Bedrohungen. Die Besonderheit dabei: Bei diesen Attacken wurden keine Daten verschlüsselt. Der Grund: Auch Cyberkriminelle achten auf Effizienz.

Die Threat Intelligence Einheit Talos von Cisco hat in ihrem aktuellen Report zu Cyberangriffen im zweiten Quartal 2023 einen Trend zu Datendiebstahl ohne Verschlüsselung identifiziert. Es wird bewusst auf den Einsatz der Ransomware verzichtet. „Auch Cyberkriminelle trimmen ihr Geschäft auf Effizienz“, sagt Thorsten Rosendahl, Technical Leader Cisco Talos Deutschland. „Die Verschlüsselung wird immer häufiger als unnötiger und zeitintensiver Arbeitsschritt angesehen. Das macht es schwieriger, diese Angriffe zu erkennen und zu stoppen.“

Diese Verschlankung der kriminellen Operationen werden zunehmend als beste Möglichkeit angesehen, um an das Geld der Opfer zu gelangen. Die Ursache, so die Einschätzung des Reports, liegt an den weltweiten Aktionen von Strafverfolgungsbehörden sowie verbesserten Schutzmaßnahmen der Unternehmen. Dazu gehören etwa die verhaltensbasierte Erkennung von Angriffen und EDR-Lösungen (Endpoint Detection and Response), besonders in Hybrid Work-Umgebungen und ausdifferenzierten IT-Netzwerken. Damit wird die Durchführung von klassischen Ransomware-Angriffen mit Verschlüsselungen immer schwieriger – und auch gefährlicher für die Angreifer selbst. Ein weiterer Grund für den sinkenden Einsatz ist die Verfügbarkeit von kostenlosen Entschlüsselungsprogramm, zum Beispiel für die BianLian-Ransomware.

Ransomware bleibt gefährlich

Obwohl einige Gruppen also vermehrt auf Verschlüsselung verzichten, haben die Ransomware-Fälle dennoch zugenommen. Zusätzlich zu den bekannten Vertretern LockBit und Royal, beobachteten die Cisco-Experten zum ersten Mal die Ransomware-Varianten 8base und MoneyMessage. 8base wurde im März 2022 entdeckt, doch erst im Juni 2023 stiegen ihre Aktivitäten deutlich an. Die Gruppe verwendet eine angepasste Version der Ransomware Phobos und stiehlt Daten vor ihrer Verschlüsselung.

MoneyMessage ist eine relativ neue Ransomware-Gruppe, die erst im März 2023 auftauchte. Ähnlich wie 8base arbeitet sie nach dem Modell der doppelten Erpressung. In einem Fall wurde die Malware im Netlogon-Verzeichnis abgelegt. Dies ermöglicht die Verbreitung der Ransomware auf mehreren Hosts. Vor der Ausführung der Ransomware deinstallierten die Angreifer außerdem verschiedene Sicherheitstools wie EDR-Lösungen über PowerShell-Skripte, um die Schutzvorkehrungen auszuhebeln.

Einfallstore immer häufiger über gültige Nutzerkonten

Ein weiterer Schwerpunkt des Reports liegt auf der Analyse der initialen Angriffsvektoren. Bei fast 40 Prozent aller Fälle kamen gestohlene Anmeldedaten zum Einsatz, um auf gültige Konten zuzugreifen – also für E-Mail, Videokonferenzen oder Social Media. Das ist ein Anstieg um 22 Prozent gegenüber dem ersten Quartal 2023. Ransomware-Angriffe erfolgten sogar zu 75 Prozent über den Zugang durch gültige Konten.

Eine der Hauptursachen, dass solche Angriffe erfolgreich sein können, ist die oft fehlende oder unsachgemäße Implementierung von MFA bei kritischen Diensten. Das spielte bei über 40 Prozent der Fälle eine Rolle, so die Analyse von Cisco Talos. MFA war sogar bei 90 Prozent der gültigen Konten nicht aktiviert. In einigen Fällen konnte auch beobachtet werden, dass Bedrohungsakteure mit sogenannten „MFA exhaustion/fatigue“-Angriffen erfolgreich waren. Hierbei werden die potenziellen Opfer beispielsweise mit Push Nachrichten überschwemmt, in der Hoffnung, dass aus Unachtsamkeit eine der Aufforderungen akzeptiert wird.

„MFA ist einer der besten Wege, um mit wenig Aufwand und Budget ein vergleichsweise hohes Maß an Cybersicherheit zu erlangen – solange es sauber implementiert wird“, sagt Thorsten Rosendahl.

(ID:49639318)