- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Lösegeld-Erpressung über Ransomware


Bei Cyberattacken geht es heute vor allem ums Geld
Ransomware gibt es bereits seit etwa 25 Jahren - Eines der ersten Beispiele war PC Cyborg, ein Trojaner, der sämtliche Dateinamen auf dem C-Laufwerk verschlüsselte und den PC so unbrauchbar machte

- Anzeigen -





Von Georgeta Toth, Regional Director DACH bei Radware

Die Erpressung von Lösegeld war im abgelaufenen Jahr weltweit das häufigste Motiv für Angriffe auf Netzwerke, Server und Anwendungen von Unternehmen und Organisationen. Das geht aus dem jetzt veröffentlichten Global Application and Network Security Report 2016-2017 von Radware hervor, in dem über 40 Prozent der knapp 600 befragten Unternehmen angaben, dass die Lösegelderpressung 2016 der häufigste Grund für Angriffe auf ihre Netzwerke gewesen sei. Speziell in Europa liegt dieser Wert mit 49 Prozent noch deutlich höher als im weltweiten Durchschnitt.

Die Erpressung von Lösegeld erfolgt in der Regel über Ransomware oder über Ransom Denial of Service (RDoS). Ransomware nennt man einen Trojaner, einen Wurm oder eine andere Schadsoftware, die ein System unter ihre Kontrolle bringt und den legitimen Zugriff darauf unmöglich macht, bis ein Lösegeld gezahlt wird (und manchmal auch darüber hinaus). In der Regel werden dabei die Daten verschlüsselt, und das Opfer muss für die Entschlüsselung zahlen.

Es gibt jedoch auch eine Vielzahl anderer Methoden, die Verfügbarkeit von Daten und Anwendungen zu beeinträchtigen. Ransomware richtet sich bisher vor allem gegen Unternehmen, aber auch Privatpersonen werden auf diese Weise erpresst; heute meist über die Verschlüsselung ihrer Smartphones. Ransomware gibt es bereits seit etwa 25 Jahren; eines der ersten Beispiele war PC Cyborg, ein Trojaner, der sämtliche Dateinamen auf dem C-Laufwerk verschlüsselte und den PC so unbrauchbar machte. Für 189 Dollar, zu senden an eine Postfach-Adresse in Panama, konnte das Opfer dann den Schlüssel erwerben. Mit Bitcoin geht das heute eleganter und auch mit geringerer Entdeckungsgefahr für den Angreifer.

Ransom Denial of Service
Bei einer RDoS-Attacke gehen die Angreifer völlig anders vor. Hier wird dem Opfer zunächst ein Angriff angedroht, der den Zugang zum Unternehmensnetz lahmlegen oder zumindest erheblich beeinträchtigen wird, so dass Daten und Anwendungen den legitimen Nutzern nicht mehr zur Verfügung stehen. Verbunden mit dieser Ankündigung ist die Forderung nach einem Lösegeld, mit dessen Zahlung das Opfer diesen Angriff verhindern kann. Dieses Vorgehen wird seit 2010 beobachtet und verzeichnet seitdem ein starkes Wachstum. Die Angriffe bestehen in der Regel aus volumetrischen DDoS-Attacken; derzeit werden aber zunehmend auch effizientere Angriffsmethoden verwendet, die mit geringeren Datenraten zum gleichen Ergebnis führen. Besonders ausgefeilte Angriffe kombinieren volumetrische mit nicht-volumetrischen Angriffen. Ziele von RDoS-Attacken sind Unternehmen jeder Größenordnung und jeder Branche, aber auch Regierungsorganisationen und der Öffentliche Dienst.

Neue Ziele für Erpresser
In seinen Voraussagen für 2017 innerhalb des Global Application and Network Security Report erwartet Radware, dass öffentliche Verkehrsinfrastrukturen sowie militärische Ziele zunehmend ins Fadenkreuz von Erpressern geraten werden. Fluglinien, Flughäfen oder Bahnunternehmen und öffentlicher Nahverkehr stellten für viele den ultimativen Hack dar, so Radware. Mit RDoS-Attacken auf solche Strukturen nehmen Angreifer praktisch die gesamte Kundenbasis in Geiselhaft. Die möglichen Auswirkungen eines solchen Angriffes kennt fast jeder aus eigener Erfahrung – es sind praktisch die gleichen wie bei einem Streik. Doch den Verkehrsunternehmen, insbesondere in der Luftfahrt, drohen auch noch andere Gefahren. Verkehrssysteme wie Flugzeuge, Eisenbahn, Busse und auch Automobile werden autonomer, zunehmend automatisiert und ins Internet of Things (IoT) eingebunden. Sollte es Terroristen gelingen, über die dafür benötigten Kommunikationsverbindungen die Kontrolle über kritische Systeme an Bord zu erlangen, drohen katastrophale Konsequenzen.

Auch militärische Einrichtungen werden zunehmend zu einem attraktiven Ziel. Wurden früher praktisch nur nach strengsten militärischen Standards gefertigte Systeme eingesetzt, deren (möglichst inländische) Herkunft bis auf Komponentenebene genauestens bekannt war, kommen heute auch im militärischen Bereich häufig kommerzielle Standardprodukte zum Einsatz. Das herkömmliche und leicht xenophobische Beschaffungsmodell hat vielfach ausgedient, und gekauft wird, was auf dem Markt angeboten wird. Auf diese Weise gelangen Kameras, Sensoren oder andere IoT-Geräte aus unbekannten Quellen in militärische Anwendungen – und zwar mit allen Schwachstellen, die sie auch im kommerziellen Einsatz haben. Waffensysteme, die wegen verschlüsselter Daten nicht einsatzbereit sind, wären vermutlich für so manche Regierung ein guter Grund, Lösegeld zu zahlen.

Als weiteres potentielles Ziel von Lösegelderpressern nennt Radware in seinem Bericht implantierte medizinische Geräte wie Defibrillatoren oder Herzschrittmacher. Auch solche Geräte kommunizieren heute mit der Außenwelt, sind daher prinzipiell angreifbar und stellen aufgrund ihrer kritischen Funktion ein lohnendes Ziel für besonders skrupellose Erpresser dar. Und während Unternehmen sich vor RDoS-Attacken mit den gleichen Mitteln schützen können wie vor anderen DDoS-Angriffen, sind Anwender medizinischer Geräte oder von günstigen IoT-Komponenten einer Ransomware-Attacke meist schutzlos ausgeliefert. Hier sind die Hersteller gefragt, der Sicherheit schon bei der Produktentwicklung den erforderlichen Stellenwert beizumessen, um Ransomware-Angriffe von vornherein unmöglich zu machen. (Radware: ra)

eingetragen: 14.03.17
Home & Newsletterlauf: 13.04.17


Radware: Kontakt & Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.

  • Ransomware: Es kommt schlimmer

    Seit ich im Jahr 2014 meine erste Keynote zu diesem Thema gehalten habe beschäftige ich mich mit Ransomware-Prognosen. Seinerzeit wagte ich etwa ein Dutzend Vorhersagen und tatsächlich sind alle eingetroffen. Vor kurzem wurde ich gebeten einen Beitrag für das ITSP Magazine beizusteuern. Und dieses Mal sollten die Prognosen nicht nur spezifischer sein, sondern die Sache auf die Spitze treiben. Sprich, welche Prognosen kommen dabei heraus, wenn man die aktuellen Szenarien bis zu Ende denkt. Soviel lässt sich sagen, alle sind einigermaßen beängstigend. Soeben hat eine Analyse von @David Formby eine der schlimmsten Befürchtungen bestätigt: Kritische Infrastrukturen geraten zunehmend ins Visier von Ransomware-Attacken (Targeting Critical Infrastructure for Ransom). Im letzten Frühjahr litten vornehmlich Krankenhäuser unter der sogenannten SamSam-Ransomware, und im Rahmen unserer Incident Containment-Methode haben wir drei Dinge übereinstimmend festgestellt.