Im Überblick
Stadtverwaltungen, Kliniken und Universitäten hatten in letzter Zeit vermehrt mit Hackerangriffen zu kämpfen. Sie alle wurden von Emotet lahmgelegt. Der Trojaner zählt aktuell zu den gefährlichsten Schadprogrammen, warnt das BSI. Gegen Malware jeglicher Art können sich Unternehmen allerdings schützen, wenn E-Mail-Links und -Anhänge in Hardware-isolierten Micro-VMs ausgeführt werden. Die Schadsoftware Emotet wird nicht ohne Grund als eine der größten Gefahren für die Unternehmens-IT bezeichnet. Die Kombination aus Dynamit-Phishing und Ransomware kann für Unternehmen und Organisationen zu einer Bedrohung werden, die existenzgefährdende Ausmaße annimmt. Das Kammergericht Berlin, die Universität Gießen, das Klinikum Fürth sowie die Städte Frankfurt und Bad Homburg wurden zuletzt von Cyber-Kriminellen angegriffen. Auch Bundesbehörden waren unter den Opfern – die dabei kopierten Daten nutzten die Angreifer dazu, betrügerische E-Mails im Namen zahlreicher Ämter zu verschicken.
Im Überblick
Das CERT von Retarus warnt vor Phishing-Mails, welche die Empfänger auf ein mit Microsoft Forms erstelltes Formular leiten. Dort sollen sie die Login-Daten ihres Accounts preisgeben. Angeblich seien ihre Security-Einstellungen veraltet und müssen erneuert werden. Die in englischer Sprache verfasste Phishing-Mail richtet sich offensichtlich an Unternehmensanwender und fordert den Empfänger auf, in einem Wartungsportal die Einstellungen seines E-Mail-Accounts zu ändern. Der entsprechende Link führt auf ein mit Microsoft Forms erstelltes Formular, in dem man sich mit seiner E-Mail-Adresse und dem zugehörigen Passwort anmelden soll.
Meldungen: Hintergrund
Die Security-Analysten des Zscaler-ThreatlabZ-Teams analysieren die Vorgehensweise des jüngsten Sodinokibi-Ransomware-Angriffs auf eine Devisengesellschaft, der das Remote Access VPN-System als Einfallstor verwendete. Aufgrund eines ungepatchten VPN-Servers gelang es den Angreifern, das IT-System der englischen Devisengesellschaft bereits am Neujahrsabend stillzulegen. Da zunehmend Angriffe über VPNs erfolgen, wirft das Zscaler-Team einen Blick auf die Vorgehensweise.
Die Sicherheitsexperten von SentinelLabs warnen vor einem neuem Hacking-Tool der russischen Crimewave-Organisation TrickBot. Wie jüngste Untersuchungen des Forschungslabors von SentinelOne offenbaren, zeichnet sich die PowerShell-basierte Backdoor namens PowerTrick durch eine außerordentliche Verschleierung, Hartnäckigkeit und Auskundschaftungsfähigkeiten aus und richtet sich vor allem gegen erfolgversprechende Ziele wie Banken und Finanzinstitute. Anders als beim Einsatz größerer quelloffener Systeme wie etwa PowerShell Empire, ist das PowerTrick-Tool äußerst offensiv und flexibel und ermöglicht es den Angreifern, möglichst lange ungestört zu agieren und sich spontan auszubreiten. Ziel der PowerTrick-Backdoor sei es, auch effektive Sicherheitskontrollen und Beschränkungen zu umgehen, sich denen Gegebenheiten moderner Security-Maßnahmen erfolgreich anzupassen und auf diese Weise auch die am besten abgesicherten und Air Gap-geschützten Netzwerke zu bezwingen.
Die Gefährlichkeit der Schadsoftware Emotet hat insbesondere Ende 2019 in den Medien für Schlagzeilen gesorgt. Eine Gruppe von Cyberkriminellen, die diese Malware in extrem großem Umfang einsetzt, sticht besonders hervor: TA542 (Threat Actor 542). Diese Gruppe ist in der Lage, Angriffe in einer Größenordnung und einem Maßstab durchzuführen, wie wohl keine andere Gruppe Cyberkrimineller derzeit in der Lage ist. Nun hat sich die Gruppe über Weihnachten eine Pause gegönnt und keine neuen Angriffskampagnen durchgeführt. Doch die einseitige "Waffenruhe" ist schon wieder vorbei. Die Experten des US-amerikanischen Cybersecurity-Experten Proofpoint beobachten verstärkte Aktivitäten von TA542, bei der die Kriminellen Emotet zum Einsatz bringen.
Guardicore hat einen neuartigen Angriff auf ein mittelständisches Unternehmen im Medizintechniksektor aufgedeckt und unterbunden. Die Krypto-Miner-Attacke erfolgte über eine gut versteckte Malware, die per WAV-Audiodatei ins Firmennetzwerk eingeschleust wurde. Ziel der Infektion waren Windows-7-Systeme, die per EternalBlue-Exploit angegriffen wurden. Erste Hinweise auf die Sicherheitsverletzung im betroffenen Unternehmensnetz traten am 14. Oktober 2019 in Form von BSOD-Fehlermeldungen (Blue Screens of Death) auf mehreren Windows-Rechnern auf. Als Hinweis auf einen Kernel-Mode-Fehler sind die blau eingefärbten Hinweise an und für sich unverdächtig, aber eine genauere Analyse durch die Visibilitätswerkzeuge der Sicherheitsplattform "Guardicore Centra" brachte beunruhigende Erkenntnisse. Einer der Rechner führte demnach eine lange Befehlszeile aus und änderte Daten in der Windows-Registrierungsdatenbank (Registry Key HKLM\Software\Microsoft\Windows\CurrentVersion\Shell) zu. Ein kompletter Netzwerk-Scan zeigte, dass über 800 Endpunkte — mehr als die Hälfte des gesamten Netzwerks — ungewöhnliche Aktivitäten zeigten.
