Basisschutz statt Versicherungsfall Ransomware früh erkennen und stoppen

Anbieter zum Thema

Moxa Europe GmbH

Specops Software GmbH

NinjaOne GmbH

Die Erpressung von Unternehmen durch Ransomware bleibt ein lukratives Cyberverbrechen. Immer häufiger werden die verlangten Lösegelder von den betroffenen Unternehmen oder Versicherern bezahlt, was auch eine politische Debatte mit sich bringt. Eine aktuelle Entwicklung: Bei den Cyberkriminellen bleiben leichte Ziele immer noch am beliebtesten – ein effektiver Basisschutz und Früherkennung müssen nicht teuer sein.

Vor fünf Jahren galt Ransomware noch nicht als besonders zuverlässige Einnahmequelle für Cyberkriminelle: Nur 55 Prozent der Opfer zahlten ihre Lösegelder in 2017. Heute liegt diese Zahl laut einer CyberEdge Group-Befragung schon bei 63 Prozent. Warum ist diese Zahl angestiegen? Kurz gesagt, weil es sich lohnt.

Zum Einen ist die tatsächliche Datenwiederherstellung zuverlässiger geworden, wenn gezahlt wird. Zum Anderen kam neben dem Verschlüsseln der Daten vermehrt noch die Drohung hinzu, die vertraulichen Daten zu veröffentlichen, was den Zahlungsdruck selbst bei vorhandenen Backups noch einmal erhöht. Und zu guter Letzt ist es oftmals einfach wirtschaftlicher, eine hohe Geldsumme zu zahlen, als potentiell mehrere Wochen Downtime zur Datenwiederherstellung in Kauf zu nehmen. Teilweise übernehmen sogar Versicherungen die Kosten, die in Folge einer Ransomware-Attacke anfallen. Doch das Problem wird dadurch nicht unbedingt kleiner.

Debatte um die Ethik des Lösegelds

Ende Juni wandten sich Wissenschaftler:innen und Expert:innen in einem offenen Brief an die Politik und forderten, die Zahlungen von Lösegeldern durch Verbote und Anreize zu unterbinden. Die Zahlungsbereitschaft habe sich zu einem geostrategischen Risiko für Deutschland entwickelt, heißt es darin, und unterstütze weitere Gefahren für die kritische Infrastruktur.

Mit dieser Finanzierung erschließt sich entsprechendes Budget für die anspruchsvollsten Angriffstechnologien wie die neuesten Zero-Day-Exploits auf dem Schwarzmarkt. Es ist also abzusehen, dass die technischen Möglichkeiten der kriminellen Gruppen hinter Ransomware auch in Zukunft weiter reifen.

Leichte Ziele sind beliebte Ziele

Organisierte Cyberkriminalität, die durch die Beute ihrer Opfer an die neuesten Ransomware-Technologen kommt, klingt erst einmal sehr unheimlich. Und die Debatte, inwiefern man sie weiter finanzieren sollte, ist eine, die geführt werden muss. Aber bei aller Unheimlichkeit sollte nicht außer Acht gelassen werden, dass die einfachsten Einfallstore nach wie vor die beliebtesten Ziele für Cyberkriminelle sind:

• Colonial Pipeline zahlte 4,4 Millionen Dollar nach einem Angriff über einen inaktiven Nutzeraccount mit fehlender Multi-Faktor-Authentifizierung.

• Das irische Gesundheitssystem erlag einer bösartigen Excel-Datei.

• Der Tech-Riese Acer wurde durch eine nicht-gepatchte Schwachstelle in Microsoft Exchange kompromittiert.

Diese Beispiele zeigen vor allem, dass auch mit den größten und modernsten Ressourcen für Cyberangriffe weiterhin die gängigen Methoden beliebt bleiben. Besonders für Sicherheitsverantwortliche in KMUs bestätigt es, was sie ohnehin schon wissen: Schon die Security-Basics machen einen großen Unterschied.

Zwölf Tipps zur Früherkennung von Ransomware

Der Weg eines Ransomware-Angriffs bis zum Erfolg führt über viele Stationen eines Systems. Diese müssen überwacht und auf die jeweiligen Ungereimtheiten, die auf einen Angriff hindeuten, geprüft werden. Manuell ist das ein großer Aufwand, vor allem im 24/7-Betrieb, daher bieten sich hierfür automatisierte Alerting-Systeme in RMM- oder Endpoint-Management-Lösungen an.

Der genaue Ablauf einer Ransomware-Attacke variiert je nach Angreifenden, Zielunternehmen und eingesetzter Software. Die meisten gezielten Angriffe folgen aber in der Regel dem gleichen Playbook aus Erstzugriff, Persistenz, Rechteausweitung, Umgehung von Abwehrmaßnahmen (Defense Evasion), Discovery, Lateral Movement und immer häufiger auch Datendiebstahl. Bei jedem dieser Schritte hinterlassen Angreifende Hinweise auf ihre Aktivitäten, die für ein Frühwarnsystem zu beobachten, unerlässlich sind.

Erstzugriff

• Verdächtige E-Mails: Sie können jeden und jede im Unternehmen treffen, daher sind firmenweite, regelmäßige Sicherheitstrainings essentiell. Kulturell sollten Mitarbeitende aktiv ermutigt sein, verdächtige E-Mails zu melden und im Sinne der Transparenz auch Fehler machen zu dürfen, ohne Bestrafung zu fürchten.

• Verdächtige Remote Desktop Protocol (RDP)-Verbindungen: Noch heute sind offene Remotedesktopverbindungen ein beliebtes Einfallstor für Erstzugriff. Verschiedene Softwares bieten einen Überblick über installierte RDP-Tools und protokollieren eingehende Verbindungen, sodass diese früh genug aufgehalten werden können.

Persistenz

• Verdächtige Task-Erstellung: Über Tasks, zum Beispiel in der Windows PowerShell, sichern Cyberkriminelle sich nach dem Erstkontakt die weitere Präsenz auf einem kompromittierten System. Abhilfe kann zum Beispiel ein Monitoring und Alert auf die Windows Event IDs 4698 und 4700 liefern.

• Unerwartete Einrichtung von Remote Access-Software: Dritthersteller-Tools wie AnyDesk, Atera und Co. sind auch zur weiteren Kontrolle von Systemen beliebt. Werden diese nicht planmäßig im Unternehmen benutzt, sollte ein Alert für ihre Präsenz im Einsatz sein.

Rechteausweitung

LSASS-Missbrauch: Das Windows Local Security Subsystem (LSASS) ist eines der häufigsten Vehikel, das Cyberkriminelle nutzen, um sich Administratorrechte auf einem kompromittierten Windows-System zu sichern. Microsoft selbst bietet mit der Attack Surface Reduction (ASR)-Regel eine Einstellung, die die gängigsten Einfallstore hierfür deaktiviert. Darüber hinaus bieten viele EDR-Tools Blockier- und Alert-Einstellungen, um LSASS vor Missbrauch zu schützen.

Umgehung von Abwehrmaßnahmen

Deaktivieren / Deinstallieren von Antiviren- und Sicherheits-Software: Nichts umgeht Sicherheitstools zuverlässiger, als sie einfach abzuschalten. Remote Monitoring und Management (RMM)-Umgebungen können kontinuierlich prüfen, ob Sicherheitssoftware installiert und aktiv ist, und gegebenenfalls einen Alert senden.

Discovery

Untypischer Einsatz von Port- und Netzwerk-Scan-Tools: Schaffen Cyberkriminelle es, ihre Präsenz im Zielsystem unentdeckt zu sichern, müssen sie sich als nächstes orientieren, wo sie gelandet sind und wohin sie sich bewegen können. Hierfür bieten sich Windows-eigene Tools wie nltest.exe, ipconfig, whoami und Port-Scan-Tools wie Advanced IP Scanner an. Analog zu Fernzugriffstools sollten diese, gerade wenn nicht im täglichen Gebrauch relevant, überwacht bzw. blockiert werden.

Lateral Movement

• Verdächtiger Einsatz von Cobalt Strike: Ursprünglich entwickelt, um Cyberangriffe für Verteidigungszwecke zu simulieren, ist das Tool Cobalt Strike mittlerweile ähnlich beliebt bei tatsächlichen Kriminellen. Das Tool automatisiert eine Reihe an Taktiken, die nach einem Exploit zum Einsatz kommen. Viele EDR-Tools haben bereits die Fähigkeit, den Einsatz von Cobalt Strike zu erkennen und zu blockieren.

• Verdächtige Remotezugriffsverbindungen: Besonders verdächtige Netzwerkaktivitäten, die zur seitlichen Bewegung im Zielnetzwerk dienen, lassen sich im Vorfeld überwachen und sind beispielsweise bei MITRE aufgelistet.

• PsExcec-Missbrauch: Das Windows-eigene Tool PsExec bietet Cyberkriminellen die Möglichkeit, Befehle oder Skripte wie SYSTEM aus der Ferne auszuführen. Der Einsatz des Tools lässt sich über die Suche nach bestimmten Windows Event IDs und Registry-Änderungen aufspüren.

Datendiebstahl

• Anstieg in Traffic und Netzwerkaktivität nach Außen: Immer häufiger werden die Daten im Zielsystem für Erpressungszwecke gestohlen, bevor sie verschlüsselt werden. Dieser Schritt ist erkennbar durch erhöhten Traffic, unerwartete Verbindungen mit öffentlichen IP-Adressen, untypische Port-Aktivitäten und mehr. Netzwerk-Monitoring und Firewall-Regeln leisten hier einen wichtigen Beitrag zur Früherkennung.

• Missbrauch von File-Transfer-Tools: Gerade legitime Tools, die zum Beispiel eingebaut oder Open Source sind, bieten eine gute Tarnung beim Datenupload. Beispiele hierfür sind Microsoft BITS, curl.exe, Rclone oder Mega. Oftmals ersparen sich Cyberkriminelle die Mühe, diese Programme umzubenennen, sodass sie zu blockieren und/oder zu überwachen bereits ein guter Anfang ist.

Fazit

Ransomware bleibt ein lukratives Mittel für Cyberkriminelle, um von großen wie kleinen Unternehmen beachtliche Geldsummen zu erbeuten und entsprechend legitim ist die politische Diskussion über die Ethik von Lösegeldzahlungen. Trotz aller globalen und politischen Fragen bleibt die unmittelbare Priorität für IT-Verantwortliche die gleiche: Ein effektiver Basisschutz und ein Frühwarnsystem mit effektiven Alerts und Überwachungen verringern die Chance, selbst einem erfolgreichen Ransomware-Angriff zum Opfer zu fallen, erheblich.

Über den Autor: André Schindler gründete als General Manager EMEA bei NinjaOne die EMEA-Niederlassung in Berlin und baute sowohl den Vertrieb als auch den Service in Europa auf. Als Vice President Strategic Partnerships verantwortet er die strategischen Geschäfts- und Technologiepartnerschaften einschließlich der Planung und Ausführung von Go-to-Market-Strategien. Vor seinem Einstieg bei NinjaOne wirkte André Schindler neuneinhalb Jahre in unterschiedlichen leitenden Funktionen für TeamViewer in den Bereichen Vertrieb, Konzernentwicklung, Value Creation und Strategische Partnerschaften.

(ID:48598601)