Ransomware-Angriffe Das Gesundheitswesen im Visier

Anbieter zum Thema

Moxa Europe GmbH

TXOne Networks

Arctic Wolf Networks Germany GmbH

Das Gesundheitswesen hat den Dienstleistungssektor als Hacker-Ziel Nummer eins abgelöst. Vor allem die steigende Zahl an Ransomware-Angriffe trägt zu dieser Entwicklung bei. Besonders die Hackergruppe Hive hat ein Auge auf die Branche geworfen.

Früh morgens im Büro. Beim Sichten der eMails endlich die langersehnte Mail einer externen Kontaktperson entdeckt. Darin enthalten: ein angefordertes Dokument – oder eben auch nicht. So oder so ähnlich beginnen wohl viele Cyberangriffe. Wie eine aktuelle Untersuchung des US-amerikanischen Datenschutzspezialisten Kroll zeigt, ist Phishing nämlich immer noch der beliebteste Weg, um Schadsoftware in ein Unternehmen oder eine Organisation einzuschleusen (41 Prozent). Gleichzeitig ist allerdings ein Anstieg bei Angriffen über externe Remote-Dienste – Remote-Desktop-Protokoll (RDP) und virtuelle private Netzwerke (VPN) – zu beobachten – und der hat es in sich: Wurde diese Variante in Q1/22 noch lediglich in 3 Prozent der Fällen genutzt, sind es mittlerweile 24 Prozent – eine Steigerung von 700 Prozent in kürzester Zeit.

90 Prozent mehr Angriffe im Gesundheitswesen

Mit Abstand am häufigsten attackiert wurde dabei das Gesundheitswesen (21 Prozent). Im Gegensatz zu den vorherigen Quartalen hat Kroll hier eine Zunahme um 90 Prozent – von 11 auf 21 Prozent – verzeichnet. Auch der Finanzsektor ist bei den Hackern immer beliebter (9 auf 12 Prozent). In den anderen Brachen sind die Angriffe hingegen entweder gleich geblieben oder sogar zurückgegangen:

• Dienstleistungs-Sektor: 12 Prozent (Q1: 16 Prozent)

• Technologie/Hardware-Bereich: 11 Prozent (Q1: 11 Prozent)

• Herstellungs-Sektor: 5 Prozent (Q1: 12 Prozent)

• Government/Public Sector: 4 Prozent (Q1: 4 Prozent)

„Historisch gesehen ist das Gesundheitswesen ein attraktives Ziel für Ransomware-Gruppen, da die Unterbrechung kritischer Netzwerke, die sich auf lebenswichtige Dienste auswirken, Organisationen dazu bewegen kann, Lösegeldforderungen zu zahlen“, weiß Derek Rieck, Associate Managing Director Cyber Risk practice bei Kroll. „Dies wird durch die doppelte Erpressungstaktik noch verstärkt, bei der die Drohung mit der Veröffentlichung vertraulicher Informationen, wie zum Beispiel geschützter Gesundheitsdaten, die Opfer weiter einschüchtern kann.“ Das die Angriffe auf das Gesundheitswesen erst jetzt zunehmen führt Rieck darauf zurück, dass die Hackergruppen das Gesundheitswesen während der Pandemie geschont haben.

Ransomware-Varianten

Die Analyse von Kroll hat sich auch die genutzten Ransomware-Varianten genauer angeschaut. Obwohl Conti bereits am 19. Mai 2022 nach einer Reihe von öffentlichkeitswirksamen Lecks samt der von den Akteuren kontrollierten Website und der Chat-Verhandlungsseite offline genommen wurde, machten damit verbundene Ransomware-Fälle immer noch 18 Prozent der Gesamtangriffe aus. Dennoch ist bereits ein deutlicher Rückgang bei dieser Schadsoftware zu erkennen: Noch Ende vergangenen Jahres lag der Anteil der Conti-Ransomware bei 35 Prozent, in Quartal 1/2022 bei 20 Prozent. Ebenso verzeichnete Kroll einen Rückgang der LockBit 2.0-Aktivitäten (von 15 auf 3 Prozent).

Zu den zunehmenden Varianten gehörte hingegen Black-Basta-Ransomware (von 0 auf 13 Prozent). Die Hackergruppe setzt vor allem auf Qakbot-Maleware, um sich Zugang zum System zu verschaffen. Andere Gruppen, die ihre Aktivitäten im 2. Quartal verstärkten, waren BlackCat (von 5 auf 10 Prozent), QuantumLocker (von 7 auch 8 Prozent) und Hive (von 5 auf 8 Prozent).

Hive fokussiert Gesundheitswesen

Letztere fokussiert sich vor allem auf das Gesundheitswesen, wie das U.S. Health Sector Cybersecurity Coordination Center (HC3) im April bekanntgab. Für den Zugriff auf die Systeme nutzt die Gruppe dabei Remote-Dienste aus. „Es ist ratsam, auf diesen Systemen eine Multi-Faktor-Authentifizierung zu implementieren und Remote-Dienste vom Internet aus unzugänglich zu halten“, raten die Studienautoren daher. „Darüber hinaus sollte ein regelmäßiger Zeitplan für Patches, Tests und Schwachstellen-Scans eingehalten werden, insbesondere für Schwachstellen in VPNs und RDP-Diensten.“ Zudem sei es unerlässlich die Verfügbarkeit von Sicherungskopien und Wiederherstellungsfunktionen sowie manuelle Alternativen für elektronische Aufgaben zu überprüfen.

Die gesamte Analyse von Kroll können Sie hier nachlesen (englisch):

(ID:48564320)