Cyberattacken mit Verschlüsselungstrojanern Prävention und Vorgehen bei einem Ransomware-Angriff

Anbieter zum Thema

Netzlink Informationstechnik GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Arctic Wolf Networks Germany GmbH

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm und bewertet die Sicherheitslage im aktuellen Bericht zur Lage der IT-Sicherheit in Deutschland als besorgniserregend. Insbesondere die Schäden durch Ransomware-Attacken sind laut dem Digitalverband Bitkom e.V. seit 2019 um 358 Prozent angestiegen und treffen heute Betriebe aller Branchen und Größen. Dieser Beitrag zeigt, wie Unternehmen sich präventiv schützen können und was im Falle einer Verschlüsselung durch Ransomware zu tun ist.

Bei Cyberattacken mithilfe von Verschlüsselungstrojanern werden über verschiedene Einfallstore Malware-Codes in ein System oder Netzwerk eingeschleust, die in der Lage sind, Dateien (z. B. Dokumente, Bilder oder Videos) zu verschlüsseln und damit für den Anwender unbrauchbar zu machen. Betroffene können ihre Dateien zwar sehen, aber nicht darauf zugreifen. In aller Regel geht damit eine Lösegeldforderung der Cyberkriminellen einher, um die Dateien vermeintlich wieder zu entschlüsseln oder von einer etwaigen Veröffentlichung der mitunter sensiblen Daten abzusehen. Dabei fügen Cyberkriminelle ihrer Lösegeldforderung oft einen Countdown bei, nach dessen Ablauf die Dateien bei ausbleibender Zahlung automatisch gelöscht werden.

Planung und Koordination von Angriffen organisierter Gruppen

Ransomware-Angriffe können sich für Cyberkriminelle mitunter als sehr lukrativ erweisen, was ein Hauptgrund für die alarmierende Verbreitung dieser Angriffsart darstellt. Während früher noch gezielt Unternehmen bestimmter Branchen etwa aus dem Finanzdienstleistungs-, Logistik-, Gesundheitswesen- oder Energie-Sektor von den Angreifern ins Visier genommen wurden, werden heute Organisationen jeglicher Couleur und Größe Ziel von Ransomware-Attacken. So sind es auch vermehrt organisierte Gruppen, die die Angriffe sehr gezielt und koordiniert planen. Innerhalb dieser Gruppen arbeiten die Angreifer vielfach mit Spezialisten, die sich für einzelne Bereiche wie Informationsbeschaffung zu den Zielen, Schwachstellenanalyse, Kommunikation und Ausführung verantwortlich zeichnen. Aufgrund dieser Vorabrecherchen wissen die Angreifer meist schon ganz genau, auf welche Daten sich die Attacken richten und können die Angriffe sehr gezielt ausrichten. Wenn die Attacken sich auf bestimmte Server oder Daten richten, birgt das für Angreifer den Vorteil, dass nur ein kleiner, dafür aber sehr wichtiger Teilbereich verschlüsselt und der Vorfall nicht unbedingt sofort bekannt wird. Dies gibt den Angreifern ausreichend Zeit, weitere Schritte vorzubereiten, bevor eine Kontaktaufnahme erfolgt. Der Zeitraum von der Infiltrierung bis zur Aktivierung der Malware beträgt in aller Regel zwei Stunden bis zwei Wochen.

Einsatz von RSA-Verschlüsselungsmethoden

Ob sich die betroffenen Dateien entschlüsseln lassen, hängt maßgeblich vom Verschlüsselungsgrad und der eingesetzten Verschlüsselungsmethode ab. Die am häufigsten von Ransomware verwendete kryptografische Methode basiert auf dem AES+RSA-Paar. Bei diesem System erstellt der Server einen Satz von Schlüsseln für die asymmetrische RSA-Verschlüsselungsmethode (rsa-public + rsa-private). Während rsa-public an die Malware weitergegeben wird, verbleibt der private Schlüssel, rsa-private, auf dem Server. Die Malware erstellt dann einen neuen Schlüssel („aes-key"), der von der symmetrischen Blocktechnik AES verwendet wird, um alle Dateien des Opfers zu öffnen. Jede Datei wird zunächst mit AES verschlüsselt, gefolgt von der RSA-Verschlüsselung des aes-Schlüssels, der dann in der Datei gespeichert wird.

Decryptoren unterliegen Einschränkungen

Nach herrschender Meinung von Sicherheitsforscher*innen entschlüsseln die Programme AtomSilo und LockFile etwa nur Daten mit einem anerkannten Dateiformat. Die Entschlüsselung funktioniert nicht bei Dateien, die ein proprietäres, obskures oder gar kein Dateiformat haben (z. B. Textdateien). Laut Avast sollen die Einschränkungen gar für beliebte Dateitypen wie .exe und .html gelten. LockFile-Benutzer*innen unterliegen zudem weiteren Einschränkungen: das Programm kann unter anderem auch verschlüsselte.jpg- und.bmp-Dateien nicht öffnen.

Wenn die notwendigen Bedingungen erfüllt sind, können Opfer ganze Festplatten, deren Dateien von der Ransomware verschlüsselt wurden, direkt entsperren. Der Quellcode und die Schlüssel, die im Avast Decryption Tool für die Ransomware Babuk verwendet werden, wurden offengelegt. Mit nur wenigen Klicks können mit diesem Programm auch ganze Partitionen entschlüsselt werden, die verschlüsselte Dateien enthalten.

Angriffe auf Sharepoint-Server

Microsoft veröffentlichte im April 2020 einen Blogbeitrag, in dem Administrator*innen aufgefordert wurden eine Reihe von Sicherheitslücken, darunter CVE-2019-0604, zu schließen. Der Betriebssystemhersteller nahm an, dass diese bald von Ransomware-Gruppen genutzt werden würden. Zu dieser Zeit gab es eine Epidemie von Ransomware-Gruppen, die Netzwerkgeräte als Einfallstore für ihre Angriffe nutzten. Spätestens seit Mai 2019, als Exploits für das CVE-2019-0604-Problem online zur Verfügung gestellt wurden, haben sowohl Cyberkriminelle als auch staatlich geförderte Spionageorganisationen SharePoint-Systeme mit Exploits für die Schwachstelle ins Visier genommen.

Angreifer nutzen öffentliche CVE-Listen auch für die Planung von Angriffen

Das Haupteinfallstor ist vor allem der „Faktor Mensch“ durch E-Mails, bei denen Anhänge, die Schadsoftware enthalten, unachtsam geöffnet oder Links zu Webseiten ohne vorherige Prüfung angeklickt werden. In diesem Fall können schnell kompromittierte Dateien heruntergeladen werden. Besonders paradox: Die öffentlichen CVE-Listen (Common Vulnerabilities and Exposures) und öffentlichen Datenbanken wie MITRE, die von Unternehmen gerne genutzt werden, um bekannte Schwachstellen nachzuschlagen und Sicherheitspatches herunterzuladen, werden auch von Angreifern frequentiert. Diese Plattformen werden von Angreifern dazu genutzt, um sich über Schwachstellen zu informieren und gezielt Unternehmen anzugreifen, die eben nicht über die entsprechenden Sicherheitspatches verfügen.

Wie erkenne ich, dass ich angegriffen wurde?

Abhängig davon, wie gut das eigene System überwacht wird, treten erfolgreich durchgeführte Angriffe erst in Erscheinung, wenn entweder eine nicht autorisierte Kommunikation identifiziert wird oder erste Dateien verschlüsselt werden. Mitunter aber rückt die Attacke auch erst mit der Kommunikationsaufnahme der Angreifer in das Blickfeld des Unternehmens. Diese kann auf unterschiedlichen Wegen erfolgen: In der Regel erscheinen auf dem betroffenen System Meldungen, die bereits beim Angriff hinterlegt sind und nach einer bestimmten Zeit aktiviert werden. Diese besagen üblicherweise, dass das System verschlüsselt wurde und eine Entschlüsselung der Unternehmensdaten erst erfolgt, nachdem die Zahlung eines bestimmten Betrages, üblicherweise an ein Bitcoin Wallet mit einer spezifischen Kennung, getätigt wurde. Mitunter kommt es aber auch vor, dass telefonisch Kontakt aufgenommen wird, um Druck auszuüben, Drohkulissen aufzubauen (nächste Schritte, Veröffentlichung der Daten) und die „Bereitschaft“ für die Auslösung zu erhöhen.

Was kann ich tun, wenn ich angegriffen wurde?

Als Sofortmaßnahme gilt es zunächst, das betroffene System vollständig zu isolieren und die weiteren Systeme im Netzwerk zu schützen, um weiteren Schaden und die Ausbreitung der Malware abzuwenden. Ein Herunterfahren des Systems sollte jedoch unbedingt vermieden werden, da viele Informationen im RAM-Speicher, die für die forensische Analyse hilfreich sind, damit gelöscht werden. Bei ersten Hinweisen auf eine Verschlüsselung gilt: sofort das Netzwerkkabel ziehen, das WLAN ausschalten und nicht mehr an dem System arbeiten. Es empfiehlt sich ebenfalls, im Falle eines Angriffs die Polizei zu benachrichtigen und eine Fachfirma einzuschalten. Die Analyse, wann eine Malware über welche Wege eingeschleust wurde, wie sie sich verbreitet hat und wie man die betroffenen Systeme sicher bereinigt, übersteigt in aller Regel die Kompetenzen der eigenen IT-Abteilung. Hilfestellung gibt hier das BSI, die eine Liste qualifizierter Fachfirmen mit spezieller Expertise im Bereich Advanced Persistent Threats und auch der Ransomware-Forensik führt. Wir als IT-Systemhaus haben immer häufiger mit Ransomware-Attacken zu tun und verfügen bereits über ein breites Netzwerk an Forensik-Experten, um zum einen das Unternehmen aus der „Schusslinie“ des Angreifers zu bewegen, die IT von der Malware zu befreien und das System vom Notbetrieb wieder in den Produktivbetrieb zu überführen, aber auch um Schwachstellen in der Infrastruktur zu identifizieren und Penetrationstests durchzuführen.

Die Feststellung, um welche Art von Malware es sich handelt und den Code zu identifizieren ist immer dann erfolgsversprechend, sofern Entschlüsselungstools für die jeweiligen Malware-Codes bereits zur Verfügung stehen. Viele Ransomware-Programmcodes sind heute bereits entschlüsselt und es stehen entsprechende Tools zur Entschlüsselung der Daten bereit. Besonders gefährlich sind jedoch die sogenannten Zero-Day Attacken, deren Angriffsmethodiken in der Öffentlichkeit noch gar nicht bekannt sind und keine wirkungsvollen bekannten Gegenmaßnahmen existieren.

Die oftmals naheliegende Lösung, einfach ein neues Backup aufzuspielen, ist nicht unbedingt erfolgsversprechend, da man in aller Regel zunächst nicht weiß, ob auch das Backup bereits kompromittiert wurde und man Gefahr läuft, dass sich die Malware wieder ausbreitet. Je älter das Backup ist, desto größer ist zwar die Wahrscheinlichkeit, dass das Backup nicht kompromittiert ist – jedoch ist auch eine signifikant größere Menge von verlorengegangenen Daten seit dem letzten Backup wahrscheinlicher. Diese Überlegungen unterliegen einer Risikoabwägung und sind daher nicht unbedingt der erste Schritt, um weiteren Schaden abzuwenden. Hinzu kommt: wird ein Backup vom letzten Jahr eingespielt, aber die Schwachstelle, über die das System angegriffen wurde, ist noch aktiv, dann schützt auch ein vorübergehendes Datenbackup in aller Regel nicht.

Wie kann ich mich vor Ransomware-Attacken schützen?

Der kritischste Punkt in der Sicherheitskette ist wie so oft der „Faktor Mensch“, ist er doch für über 80 Prozent aller IT-Sicherheitsvorfälle verantwortlich. Die Sicherheitstechnik und -Konzepte können noch so gut sein – sofern sie den Menschen nicht berücksichtigen, verbleibt immer eine zentrale Schwachstelle. Eine erfolgreiche und nachhaltige IT-Sicherheitsstrategie muss daher auch die Belegschaft einbeziehen. Durch Awareness-Trainings (online, vor Ort oder hybrid) etwa werden die Mitarbeitenden für die Risiken und Stolpersteine beim Umgang mit der IT und Unternehmensdaten (Passwortschutz und Zweifaktorauthentifizierung, Einsatz von Mobilgeräten, sicherer E-Mail Umgang, sicher unterwegs im www etc.) sensibilisiert, um ein einheitliches Sicherheitsniveau bei Technik und Mensch zu erreichen. Es ist menschlich Fehler zu machen, aber die Menschen müssen auch in der Lage sein zu erkennen, dass sie Fehler gemacht haben, um das Ausmaß einzugrenzen. Durch die Etablierung einer einheitlichen Sicherheitskultur können betriebswirtschaftliche Risiken durch Hacking, Malware, Datendiebstahl und Betriebsausfälle signifikant vermindert werden.

Zur Prävention von Malware-Angriffen ist zudem ein konstantes und sorgfältiges Patch Management notwendig: CVEs müssen regelmäßig überprüft werden, um Schwachstellen im System zu identifizieren und mögliche Einfallstore schnell zu beheben. Im Bereich der Netzsicherheit sollten sowohl Strategien zur Netzsegmentierung als auch zur Mikrosegmentierung eingesetzt werden. Die Mikrosegmentierung bietet Ost-West-Schutz innerhalb eines Netzwerks, während sich die Netzwerksegmentierung auf die Begrenzung des Nord-Süd-Verkehrs über verschiedene Netzwerke oder VLANs hinweg konzentriert. Dies bedeutet, dass der Zugriff auf alle Hardware, Software und Dienste, die miteinander interagieren, begrenzt werden muss. Während die Mikrosegmentierung eine spezifischere, granulare Technik für den netzinternen Verkehr ist, kann die Netzwerksegmentierung als übergreifende Sicherheitsstrategie für die gesamte Infrastruktur betrachtet werden. Ein mikrosegmentiertes Computernetz hindert Bedrohungsakteur*innen daran, sich frei zu bewegen, selbst wenn es ihnen gelingt, in das System einzudringen.

Über eine sinnvolle Netzwerksegmentierung, beispielsweise durch die Separation von Servern, Clients und Produktionsnetzen, lassen sich bereits in 80 – 90 Prozent aller Fälle verhindern, dass sich Schadsoftware auf weitere Systeme ausbreitet. Größtmögliche Sicherheit bietet aber nur ein konsequentes Zero-Trust-Konzept in Verbindung mit einer Zweifaktorauthentifizierung zu den jeweiligen Systemen. Zero-Trust ist aber nicht nur ein Security-Thema, sondern eine Strategie, die in der gesamten Organisationsstruktur verankert werden muss. „Die Erstellung eines Notfallhandbuches und ein Business Continuity Management (BCM) geben Unternehmen darüber hinaus ein Schritt-für-Schritt Umsetzungsrahmenwerk an die Hand, um sich optimal auf Angriffe und Ausfälle in der IT-Infrastruktur vorzubereiten.“

Über den Autor: Sven-Ove Wähling ist Geschäftsführer des Braunschweiger IT-Systemhauses Netzlink Informationstechnik GmbH.

(ID:49214669)