Entwicklung der Cyberangriffe Immer mehr Angriffsflächen und Schwachstellen

Komplexere Bedrohungen und größere Angriffsflächen erschweren Unternehmen zunehmend den Schutz ihrer Systeme und Infrastruktur vor Cyberattacken. Cyber­kriminelle gehen mit immer raffinierteren Methoden gegen Unternehmen vor, so dass ausgeklügelte Cyberangriffe oft monatelang unentdeckt bleiben können.

Anbieter zum Thema

TXOne Networks

Outpost24 GmbH

Vor kurzem ist bekannt geworden, dass das deutsche Softwareunternehmen Teamviewer Opfer eines Cyberangriffs war - vermutlich ausgehend von Hackern, die im Auftrag des chinesischen Staates arbeiten. Die dabei eingesetzte Schadsoftware Winnti hat auch schon Thyssenkrupp sowie Bayer getroffen, wie der Spiegel berichtet. Solche gezielten Angriffe sind beunruhigend. Aber ein neuer Jahresbericht des Threat Intelligence-Anbieters Blueliv zeigt, dass staatlich geförderte Cyberangriffe zwar eine durchaus reale Bedrohung für Unternehmen sind, viele der 2018 entdeckten Attacken jedoch vornehmlich finanziell motiviert waren.

Dabei gingen Cyberkriminelle mit immer raffinierteren Methoden gegen Unternehmen vor; ausgeklügelte Cyberangriffe konnten monatelang unentdeckt bleiben. Der Bericht enthält eine umfassende Analyse von Cybervorfällen der letzten zwölf Monate, die deutlich zeigt, wie sich die Bedrohungslandschaft ändert – und warum eine wirksame Verteidigung gegen Cyberangriffe immer schwieriger wird.

Warnung vor wurmartigen Angriffen

BSI warnt erneut vor Windows-Schwachstelle Bluekeep

Ein Faktor: Die potenzielle Angriffsfläche von Organisationen wächst schneller als je zuvor. Gründe dafür sind der zunehmende Einsatz von Mobilgeräten und Apps sowie die Digitalisierung zahlreicher zuvor analoger Prozesse. IoT-Endpunkte (Internet of Things, Internet der Dinge) gehören heute zu den am schnellsten wachsenden digitalen Schwachstellen in Unternehmen. Neue Malware-Exemplare mit innovativen Angriffstaktiken zielen denn auch auf diese vernetzten Endgeräte ab. So verzeichneten die Blueliv-Sicherheitsforscher im vergangenen Jahr eine Anzahl neuer Malware-Stämme wie Mirai Sora oder Torii, deren Funktionen es erlaubten, IP-Kameras, Android-Smartphones oder Router zu infizieren.

Diebstahl von Zugangsdaten mit Stealer-Schadsoftware boomt

Gestohlene oder geknackte Login-Daten sind für Hacker meist der erste Einstiegspunkt ins Unternehmensnetzwerk. In vielen Unternehmen sind die Mitarbeiter das schwächste Glied der Verteidigungskette, denn nach wie vor fallen Nutzer Malspam-Angriffen zum Opfer, die darauf ausgelegt sind, Anmeldedaten abzugreifen.

Beim Zugangsdatenklau mittels Botnets verzeichnete Blueliv einen regelrechten Boom mit einem Anstieg von 50 Prozent gegenüber dem Vorjahr. Vorfälle mit Stealer-Schadsoftware betrafen insbesondere die Technologie- und Telekommunikationsbranche, aber auch Medienunternehmen, Finanzdienstleister und soziale Netzwerke. Die Hacker setzten zum Diebstahl der Anmeldedaten am häufigsten die Pony-Malware ein, gefolgt von Emotet, AZORult und LokiPWS. Das Wachstum dieser ohnehin schon potenten Botnets verheißt nichts Gutes.

Bei Emotet etwa handelte es sich ursprünglich um einen Banking-Trojaner. Eine neue Version mit erheblichen Änderungen kam im Dezember 2016 in Umlauf; mit einem Stealer-Modul sammelt Emotet nun Login-Daten und E-Mail-Adressen. Zudem verteilt es als Spambot zusätzliche Malware, als Dropper nutzt es dabei PDF- und DOC-Dateien im Email-Anhang. In vielen Fällen ist die Malware selbstvermehrend.

Vom Banker zum Türöffner und Profiler

Wie Emotet zur Allzweckwaffe wurde

Wie die Sicherheitsforscher beobachteten, versandte Emotet im November 2018 täglich 185.000 Spam-Nachrichten mit über 50.000 verschiedenen Absenderadressen, und zwar überwiegend an Unternehmen. Jede zehnte Spam-Nachricht in dieser Kampagne war an Firmen in Deutschland adressiert, wobei rund sechs Prozent der 15.000 Absenderdomänen ebenfalls aus Deutschland stammten.

Parellel zu dieser Entwicklung wurde auf dem Cyber-Schwarzmarkt auch neue Stealer-Schadsoftware gehandelt. Im Jahr 2018 erlangte eine ganze Reihe neuer Tools Popularität, darunter N0f1l3 (häufig auch als „1ms0rry“ bezeichnet), Arkei und KPOT. Diese neuen Typen von Schadsoftware wurden interessanterweise zunächst in Foren vermarktet, die nicht im Zusammenhang mit den bekannten Cyberkriminalitätsforen in russischer Sprache stehen. Daraus lässt sich schließen, dass eine Liberalisierung des cyberkriminellen Ökosystems für Stealer-Tools stattfindet. Neueinsteiger kommen damit bequemer an solche kriminellen Tools – eine zusätzliche Bedrohung für Unternehmen und Internetnutzer.

Einfacher Einstieg in die Cyberkriminalität

Tatsächlich ist der Einstieg in die Cyberkriminalität so einfach wie nie. Auch Anfänger können inzwischen im Darkweb auf ein umfassendes Sortiment an Malware und andere kriminelle Ressourcen zugreifen. Exploit-Kits, Hosting-Services, Stealer sowie Listen von kompromittierten Konten und Zugangsdaten werden professionell und kundenfreundlich zum Kauf angeboten – fast wie im legalen Online-Handel. So kommen auch unerfahrene Hacker schnell zum Ziel. Untergrund-Communitys vereinfachen den Austausch untereinander noch, so dass Cyberkriminelle sich auf die Bereitstellung bestimmter illegaler Produkte und Dienstleistungen spezialisieren können.

Neues eBook „Cybercrime as a Service“

Cyber-Attacken für jedermann auf Bestellung

Ein zunehmend beliebtes Geschäftsmodell der Hacker ist das Cryptojacking, um mit fremder Rechenleistung Krypto-Währungen zu „schürfen“. Für die Opfer äußert sich ein Befall beispielsweise in reduzierter Rechenleistung, höheren Stromkosten oder überhitzten Batterien. Aber es ist genauso gut möglich, dass Cryptojacking längere Zeit unerkannt bleibt. Auch weniger kompetente Angreifer kommen so relativ schnell und einfach zu Geld.

Professionelle Hacker wiederum arbeiten weiter an ausgeklügelten Methoden, um so lange wie möglich unentdeckt zu bleiben und immer neue Schwachstellen auszunutzen. Dazu kombinieren sie Angriffstechniken, testen neue Angriffsvektoren wie das Internet der Dinge oder setzen auf Automatisierung.

Unternehmen bleibt vor dem Hintergrund dieser immer neuen Bedrohungen nur übrig, ihre bestehende Sicherheitsstrategie von Grund auf zu überdenken. Ein umfassendes, detailliertes und zeitnahes Verständnis der für sie relevanten Bedrohungen ist dabei unverzichtbar. Sicherheitsteams sind jedoch oft überlastet und haben schlichtweg nicht die Bandbreite, auf jede Warnmeldung angemessen zu reagieren. Die Lösung ist eine mehrschichtige Verteidigungsstrategie, die aktuelle Threat Intelligence mit einer soliden Cybersicherheitskultur im ganzen Unternehmen kombiniert und daneben eine enge Zusammenarbeit mit anderen Organisationen und Experten aus der Sicherheitsbranche erlaubt. Nur durch gemeinsame, firmen- und branchenübergreifende Bemühungen wird es am Ende gelingen, Cyberkriminalität wirksam zu bekämpfen.

Über den Autor: Victor Acin ist Threat Intelligence Analyst bei Blueliv.

(ID:45981540)