Double-Exfill-Attacken Vorsicht, doppelte Abzocke!

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Während ein Hacker Lösegeld für die Entschlüsselung der verschlüsselten Informationen verlangt, fordert ein anderer Geld für die Nichtveröffentlichung der gestohlenen Daten. Wie können sich Unternehmen dagegen schützen?

Mittlerweile haben sich doppelte Erpressungsangriffe erschreckend weit verbreitet. Hacker profitieren davon, indem sie auf diese Weise ein breites Spektrum an Organisationen ins Visier nehmen können. Das heißt, von kleinen Unternehmen über große Unternehmen bis hin zu öffentlichen Institutionen. Bei den gestohlenen Daten handelt es sich meist um sensible Kundeninformationen, geschütztes geistiges Eigentum sowie vertrauliche interne Dokumente.

Funktion doppelter Erpresser-Attacken

Im Prinzip kombiniert eine solche Hacker-Attacke einen traditionellen Ransomware-Angriff mit einer Daten-Exfiltration. Zunächst infiltrieren Hacker das Netzwerk eines Opfers, verschlüsseln kritische Daten und fordern dann ein Lösegeld für deren Entschlüsselung. Und jetzt kommt der Clou: Bevor sie die Daten verschlüsseln, stehlen sie heimlich sensible Informationen.

Wenn das Opfer sich weigert, das Lösegeld für die Entschlüsselung zu zahlen, drohen die Angreifer damit, die gestohlenen Daten öffentlich zugänglich zu machen oder zu verkaufen, was für Unternehmen Reputationsschäden, rechtliche Konsequenzen und behördliche Bußgelder zur Folge hat.

Eine solche Vorgehensweise hat die Auswirkungen von Ransomware-Angriffen deutlich verstärkt und sie finanziell noch gefährlicher gemacht. Es zwingt die Opfer dazu, sich für die Zahlung von Lösegeldern zu entscheiden. Dadurch werden Hacker wiederum ermutigt, auch künftig mit ihren kriminellen Attacken weiterzumachen.

Effektive Verteidigungsstrategien

Die Methode der doppelten Erpressung unterstreicht die zunehmende Komplexität von IT-Bedrohungen und betont die Notwendigkeit eines ganzheitlichen Ansatzes zur IT-Security. Im Idealfall schließt er nicht nur robuste Abwehrmaßnahmen gegen Ransomware, sondern auch sorgfältige Datenschutz- und Reaktionsstrategien mit ein.

Für den Aufbau einer durchgehenden Verteidigungslinie empfiehlt sich eine robuste Bedrohungserkennung und -prävention, regelmäßige und automatisierte Datensicherungen, Mitarbeiterschulungen zum Erkennen von Phishing-Versuchen und einen klar definierten Incident Response Plan (IRP). Dieser Ansatz lässt sich in verschiedene Einzelmaßnahmen herunterbrechen, die sich unter anderem in folgende Maßnahmen aufschlüsseln lassen:

Backups: Pflege verschlüsselter Offline-Backups und regelmäßiges Testen von Wiederherstellungsverfahren.

Reaktionsplan: Erstellung und Aktualisierung eines Reaktionsplans für IT-Security-Vorfälle und einen zugehörigen Kommunikationsplan, der Reaktions- und Benachrichtigungsverfahren umfasst.

Datenmanagement: Identifizierung verschiedener Datentypen auf Systemen. Katalogisierung aller Speicherorte, an denen besonders vertrauliche Daten und anderes geistiges Eigentum gespeichert sind, und wer Zugriffsrechte auf diese Daten hat. Implementierung robuster Kontrollrichtlinien für die Zugriffe. Entfernung sensibler Daten oder Systeme aus dem Netzwerk, auf die nicht regelmäßig zugegriffen wird. Diese Systeme dürfen nur als eigenständige Systeme von der Geschäftseinheit verwendet werden.

Netzwerksegmentierung: Einrichtung einer physischen Netzwerksegmentierung, um verschiedene Geschäftseinheiten bzw. Abteilungen zu trennen.

Schulungen: Regelmäßig Schulungen für Mitarbeiter zur Problem-Sensibilisierung durchführen, um zu erfahren, wie beispielsweise verdächtige E-Mails erkannt und darauf reagiert werden kann.

Sicherheitslücken im Fernzugriff: Regelmäßige Schwachstellenscans, Patchings und Aktualisierungen von Software und Betriebssystemen durchführen.

Zugriffskontrolllisten: Alle auf Systemen gespeicherten Informationen mit Dateisystem-, Netzwerkfreigabe-, Anspruchs-, Anwendungs- oder datenbankspezifischen Zugriffskontrolllisten schützen. Diese Kontrollen helfen dabei, Richtlinien durchzusetzen.

Erkennung: Sicherstellung, dass Antimalware-Software und Signaturen auf dem neuesten Stand sind. Automatische Updates aktivieren. Erwägung der Implementierung eines Intrusion Detection Systems (IDS), Intrusion Prevention Systems (IPS) oder einer Endpoint Detection and Response (EDR)-Lösung.

Netzwerkaktivitäten: Erfassung und Analyse der Aktivitäten in den Netzwerken über einen Zeitraum von mehreren Monaten, um Verhaltensmuster zu ermitteln. Die Unterscheidung zwischen normaler und anormaler Netzwerkaktivität ist ein wichtiger Schritt bei der Erkennung krimineller Netzwerkaktivitäten.

Exfiltration: Einsatz von Protokollen für die Authentifizierung wie Kerberos. Sicherstellen, dass der Webverkehr, der Anmeldeinformationen enthalten kann, über SSL/TLS geschützt ist. Ordnungsgemäße Verschlüsselung des gesamten kabelgebundenen oder kabellosen Datenverkehrs. Einsatz von netzwerkbasierten Intrusion Prevention Systems (IPS), um böswilligen Netzwerkverkehr an allen Netzwerkgrenzen des Unternehmens zu blockieren.

Autorisierung für Anwendungen etc.: Erstellung einer Zulassungsliste für Anwendungen auf allen Assets, um zu gewährleisten, dass nur autorisierte Software ausgeführt und die Ausführung aller nicht autorisierten Software auf Assets blockiert bzw. entfernt wird. Zudem dürfen nur autorisierte Softwarebibliotheken in einen Systemprozess geladen werden. Dies gilt auch für alle nicht autorisierten Browser-, E-Mail-Client-Plugins oder Add-on-Anwendungen.

Internetnutzung: Beschränkung der Nutzung auf bestimmte Websites sowie Blockierung von Downloads bzw. Anhängen. Beschränkung von Browsererweiterungen usw. Verweigerung der Kommunikation mit bekanntermaßen schädlichen oder ungenutzten Internet-IP-Adressen. Beschränkung der Zugriffe auf vertrauenswürdige und notwendige IP-Adressbereiche.

Konten: Deaktivierung aller Konten, die keinem Geschäftsprozess oder Eigentümer zugeordnet werden können.

Fazit

Bei doppelten Erpressungsangriffen wird die Angst von Unternehmen vor Datenschutz­verletzungen und Rufschädigung ausgenutzt, was viele dazu zwingt, Lösegeld zu zahlen, selbst wenn sie über Backups verfügen. Da Hacker ihre Taktiken ständig verfeinern, müssen Unternehmen wachsam bleiben, ihre Sicherheitsmaßnahmen anpassen und eine proaktive Haltung einnehmen.

(ID:50066412)