Ransomware abwehren Fünf Schritte gegen Erpresser-Malware

Ransomware war lange ein wenig lukratives Randphänomen der Schattenwirtschaft, kaum einer hat die Lösegeld-Forderungen der Cyber-Erpresser wirklich ernst genommen. Heute agieren die Angreifer professioneller. Die Abwehr und Eindämmung von Ransomware-Angriffen wird deshalb immer wichtiger, vor allem für Unternehmen.

Anbieter zum Thema

Arvato Systems

Cohesity GmbH

Rubrik Germany GmbH

LogRhythm Germany GmbH

Seit drei Jahren rückt Ransomware immer stärker in den Fokus. Gemeint sind damit Erpressungs-, Krypto- oder Verschlüsselungstrojaner, die wichtige Daten auf befallenen Computern verschlüsseln, so dass kein Zugriff mehr darauf möglich ist.

Für die Entschlüsselung oder Freigabe verlangen die Täter ein Lösegeld. Betroffen waren bislang meist die Computer einzelner Nutzer oder kleiner Unternehmen. Entsprechend gering sind bisher die geforderten Lösegeldbeträge: Sie belaufen sich typisch auf wenige hundert Euro pro PC.

Diese Situation wandelt sich schnell. Die Kriminellen nehmen verstärkt große und finanzstarke Unternehmen ins Visier – und fordern deutlich mehr Geld. Diese Unternehmen bieten eine größere Angriffsfläche: Mehr wichtige Dateien und mehr unternehmenskritische Systeme, die für das tägliche Geschäft unabdingbar sind.

In der Konsequenz sollten sich Unternehmen genau anschauen, was in den unterschiedlichen Phasen einer solchen Attacke passiert und wie Indikatoren einer Gefährdung (IOC, Indicators of Compromise) aussehen. Ein Ransomware-Angriff lässt sich in fünf Phasen unterteilen:

Phase 1: Schwachstelle nutzen und Infektion

Zunächst muss die Schadsoftware auf einen Computer gelangen. Das passiert häufig mithilfe einer Phishing-E-Mail oder eines Exploit-Kits. Also einer Sammlung von Programmen, mit denen Cyber-Kriminelle Sicherheitslücken in Anwendungen aufspüren und für das Injizieren der Ransomware vorbereiten.

Phase 2: Injizieren und Ausführen

Durch die Sicherheitslücke schleusen die Täter das ausführbare Schadprogramm auf den Computer des Opfers. Das dauert meist nur wenige Sekunden. Häufig werden die ausführbaren Dateien in Ordnern im Umfeld des Benutzerprofils abgelegt. Das Wissen darüber ist wichtig für das Entwickeln einer Abwehrstrategie.

Phase 3: Backup infizieren

Typisch für Ransomware – und einzigartig: Sofort nach ihrem Start sucht die Malware nach Sicherungsdateien und löscht diese. Dadurch lässt sich der Computer nicht mehr aus einem Backup wiederherstellen. Einige Ransomware-Varianten versuchen, konsequent alle Daten zu vernichten, aus denen der Anwender ohne Bezahlen des Lösegeldes seinen PC wiederherstellen könnte.

Phase 4: Daten verschlüsseln

Danach tauscht die Ransomware einen Sicherheitsschlüssel mit dem Command- and Control-Server (auch: C2-Server) aus und codiert die Dateien auf dem lokalen System. Die meisten Varianten nutzen eine starke, praktisch nicht zu knackende Verschlüsselung wie AES 256.

Phase 5: Benachrichtigen und Sauber machen

Schließlich fordert die Malware ein Lösegeld. Oft gewähren die Kriminellen ihren Opfern nur wenige Tage Zeit zum Zahlen – danach erhöht sich der Betrag. Bezahlt der Anwender, löscht sich die Ransomware selbsttätig, um möglichst wenig forensisch auswertbare Spuren zu hinterlassen, auf deren Basis man die Abwehrstrategie verbessern könnte.

Aus diesen fünf Phasen leiten sich wiederum fünf Schritte zur Abwehr von Ransomware ab:

Vorbereitung

Verfügbare Sicherheits-Patches so schnell wie möglich aufspielen, um Sicherheitslücken zu schließen und Zugriffswege zu blockieren. Endpunkte müssen mit Werkzeugen geschützt werden, die Infektionen automatisch erkennen und darauf reagieren können, bevor sie zu einer ernsthaften Bedrohung auswachsen.

Erkennung

Ein möglichst frühes Erkennen der Malware erhöht die Chancen, die Folgen des Angriffs zu minimieren. Intelligente IT-Sicherheitsvorrichtungen können beim Auftreten von Anomalien im Netzwerk-Traffic die Bedrohung stoppen oder zumindest davor warnen. Stellen Sie sicher, dass E-Mails permanent nach verräterischen Links und Anhängen gescannt werden, und verwenden Sie Regeln für die Suche nach Dateien, die von verbreiteten Ransomware-Ordnern ausgeführt werden. Dann lässt sich Ransomware dingfest machen, bevor alle Dateien verschlüsselt sind.

Eindämmung

Falls Ransomware auf einem Gerät aktiv ist, besteht die Möglichkeit, die Schadsoftware lokal einzudämmen. Oft ist eine Endpunkt-Schutzlösung die beste Lösung: Sie fahndet nach dem ausgeführten Prozess und stoppt diesen. Der lokale Host muss geblockt und vom Netzwerk isoliert werden – dies verhindert, dass weitere Dateien im Netzwerk verschlüsselt werden.

Entfernung

Nach dem Auftreten und Eindämmen eines Ransomware-Ereignisses muss die Schadsoftware vollständig von allen betroffenen Systemen gelöscht werden. Die beste Option ist das Ersetzen beziehungsweise Neu-Aufsetzen der Maschinen.

Inaktive Teile der Ransomware könnten sich irgendwo im System verstecken und in der Lage sind, ein Gerät erneut zu infizieren. E-Mail-Postfächer oder Netzlaufwerke müssen genau gescannt schädliche E-Mail-Nachrichten gelöscht werden. Im Nachgang sollte der Datenverkehr besonders sorgfältig und dauerhaft nach Signaturen und anderen IOCs überwacht werden.

Wiederherstellung

Hier geht es primär um das Wiederherstellen der Nutzerdaten betroffener Systeme aus einem Backup. Darüber hinaus sollten Unternehmen nun genau untersuchen, über welchen Weg die Ransomware in das System gelangen konnte.

Ransomware-Angriffe auf Organisationen werden stark zunehmen. Denn die Erfolgsaussichten für die Cyber-Kriminellen sind vielversprechend, und die Kosten und Risiken für die Angriffe gering. Die Auswirkungen auf Unternehmen können gravierend sein: verringerte Produktivität, operative Verluste, Unannehmlichkeiten für Kunden und permanenter Datenverlust.

Wie stark Ransomware ein Unternehmen schädigen kann, hängt in erster Linie davon ab, wie gut sich dieses auf potenzielle Angriffe vorbereitet – und von den eingesetzten IT-Sicherheitseinrichtungen zum Überwachen, Erkennen, Ausschalten und Eindämmen auffälliger Aktivitäten.

* Roland Messmer ist Regional Director Central and Eastern Europe von LogRhythm.

(ID:44180332)