- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Einen Angriff mit Ransomware abwehren


Verschlüsselungs-Malware: Zahlen – oder lieber in den Urlaub fahren?
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt

- Anzeigen -





Autor Darren Windham
Autor Darren Windham Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten, Bild: Verizon

Von Darren Windham, Senior Security SpecialistRISK Team, Verizon Enterprise Solutions

Die Tageszeitungen berichten immer häufiger über Vorfälle mit Verschlüsselungs-Malware. Auch bei Verizon wurden in den vergangenen Monaten verschiedene Varianten von Ransomware, CryptoWall, tesla-crypt, KeRanger und den jüngsten Locky-Versionen gesehen. Diese Angriffe, die es bis in die Schlagzeilen der Medien schaffen, sind so erfolgreich, dass ich mir vorstellen kann, dass sie wiederkehren oder noch häufiger auftreten werden.

Uns begegnet dieses Szenario derart häufig, dass wir es als eines der "fatalsten" in unseren Report "Data Breach Digest" aufgenommen haben: Scenario #15 – Data Ransomware – The Catch 22.Solche Vorfälle werden nicht unbedingt als Datenverletzung eingestuft, denn gewöhnlich verlassen dadurch keine Daten das Netzwerk. Doch ohne ein vernünftiges Backup kann der Datenverlust sehr real spürbar sein. Was also kann man tun, um einen typischen Angriff mit Ransomware abzuwehren? Hier unsere Empfehlungen, die "Top 5×5 Maßnahmen" zur Abwehr von Ransomware-Angriffen.

Empfehlungen zur Abwehr
Die Top-5-Abwehrmaßnahmen, die Anwender im Vorfeld treffen sollte:

1. GPO zum Blockieren von ausführbaren Dateien und Deaktivieren von Microsoft Office Makros installieren
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt. Indem man das Ausführen von Dateien an diesen Orten heraus blockiert, lässt sich das Risiko senken, dass ein unbekannter Code auf den Endgeräten läuft. Dies ist eine gute Vorgehensweise, um unterschiedliche Windows-basierte Infektionen zu verhindern.

Die aktuellen Versionen von Verschlüsselungs-Ransomware nutzen Makros, die in Microsoft Office-Dokumenten versteckt sind. Mit den Office Administrative Template-Dateien haben Anwender die Möglichkeit, die Nutzung solcher Makros via Windows Group Policy Objects einzuschränken.

2. Anwendungen Dritter schnellstmöglich patchen
Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten. Daher ist es wichtig, diese Desktop-Anwendungen von Drittanbietern immer auf dem neuesten Stand zu halten. Ältere Versionen und besonders Anwendungen, die von bestimmten Endgeräten nicht mehr benötigt werden, sollten deinstalliert werden. So reduziert sich die Zahl der angreifbaren Anwendungen, die sich noch irgendwo im System oder im Netz befinden.

3. Backup-Prozesse testen und bewerten
Die jüngsten Varianten von Verschlüsselungs-Ransomware löschen Windows System-Wiederherstellungspunkte und Schattenkopien, mit denen man üblicherweise gekaperte Daten wiederherstellt. Damit Firmen und Behörden kein Lösegeld an den Angreifer zahlen müssen, sollten sie daher gute Backup-Strategien entwickeln, mit denen sie ihre Daten wiederherstellen können. Dabei erweisen sich zusätzliche Backups auf separaten Systemen als Trumpf in vielen Ransomware-Situationen. Beim Wiederherstellen der Daten sollte unbedingt darauf geachtet werden, dass nur die für die Organisation relevanten Dateien und nicht der Code der Ransomware oder anderer Malware wiederhergestellt werden.

4. Lokale Admin-Rechte entfernen
Ein Angreifer, der im Besitz von Admin-Zugangsdaten ist, kann auf einem kompromittierten System große Schäden anrichten. Durch das Löschen der lokalen Admin-Rechte verringert sich das Risiko, dass die Malware Persistence-Mechanismen ausnutzt oder sich seitlich innerhalb ihrer Umgebung bewegt.

5. E-Mail-Anhänge blockieren
In jüngster Zeit wurden nach unseren Beobachtungen Dateien mit der Erweiterung ".doc" und ActiveMime-Headers verwendet, um signaturbasiertes Blockieren zu umgehen. Daher sollten Anwendersignatur- und erweiterungsbasierte Regeln zum Blockieren von E-Mail-Anhängen einführen, um das Risiko zu verringern, dass Personen auf Anhänge klicken und diese öffnen.

Reaktive Empfehlungen
Hier die Top 5 der reaktiven Maßnahmen:

1. Zugang zu Command- und Control-Servern blockieren
Wie bei vielen anderen Malware-Angriffen sind Command- und Control-Server (C2-Server) entscheidend für Ransomware-Angriffe. Ist die Domain oder IP-Adresse der Malware bekannt, können Anwender an ihren Endpunkten netzwerkbasierte Blockierungen installieren. Dies kann Firewalls, Router oder sogar Web-Proxies einschließen. Einzelheiten dazu, wie diese Änderungen vorzunehmen sind, geben die Anbieter. Wichtig ist, dass bei vielen Ransomware-Feldzügen Domain-Generierungs-Algorithmen genutzt werden, die dann unter Umständen die Domainnamen so rasch ändern, dass effektives Blockieren unmöglich ist.

2. Datei-Freigaben auf Read-only setzen
Verschlüsselungs-Ransomware verbreitet sich gerne über Netzwerk-Freigaben. Um zu verhindern, dass die Malware Ihre Daten ändert und verschlüsselt, sollte im Netzwerk die Genehmigungen für gemeinsame Dateinutzung bei allen Usern für einen befristeten Zeitraum auf Read-only gesetzt werden.

3. Infizierte System offline nehmen
Infizierte Systeme sollten zwar eingeschaltet bleiben, Sie sollten jedoch den Zugang zum Netzwerk unterbrechen (einschließlich WLAN), um mögliche Artefakte im physischen Speicher für Analysezwecke zu erhalten. Die Informationen für den Zugriff auf Dateien oder für die Entschlüsselung sind nur im Speicher zu finden. Diese Daten wären sehr wahrscheinlich für immer verloren, wenn das System abgeschaltet wird.

4. Bekannte Phishing-Mails aus den Mailboxen der Empfänger zurückholen
Nachdem man die bösartige Mail identifiziert hat, sollte eine weitere Verbreitung verhindert werden. Sofern das E-Mail-System die Möglichkeit bietet, bereits zugestellte Mails zurückzurufen oder zu entfernen, sollten Anwender diese Funktion nutzen, um solche gefährlichen Mails zu löschen. Anwender können diese Nachrichten nach Absender, Betreff, Anhang oder sogar abgehendem SMTP suchen. Dadurch wird auch das Risiko verringert, dass die Ransomware von noch mehr Usern angeklickt wird.

5. Infizierte Anwender identifizieren
Wichtig ist zu prüfen, wem die Datei oder das Verzeichnis gehört oder wer zuletzt darauf zugegriffen hat, wenn eine freigegebene Datei oder die Daten eines Servers in Folge einer Attacke verschlüsselt sind. Dadurch sind die User unter Umständen in der Lage, die Infektionsquelle innerhalb ihres Netzwerks ausfindig zu machen und können Hinweise geben, wie die Infektion frühzeitig eingedämmt werden kann.

Generell sollten sich Unternehmen bei der IT-Sicherheit und der Datenverfügbarkeit nicht auf ihr Glück verlassen. Die hier vorstellten Empfehlungen helfen zu verhindern, dass Unternehmen in den Schlagzeilen landen. Denn wer will schon ernsthaft Lösegeld in Bitcoins an die Angreifer zahlen, um wieder auf die eigenen Daten zugreifen zu können. (Verizon: ra)

eingetragen: 18.09.16
Home & Newsletterlauf: 04.10.16


Verizon: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Mehr wissen: Insider versus Algorithmus?

    Russische Hacker? Eher nicht. Nach Informationen des Nachrichtenmagazins Spiegel vermutet die Bundespolizei nach ihren Ermittlungen, dass im Bundestag möglicherweise ein sogenannter "Maulwurf" - also ein Insider - sitzt und die Daten aus dem Untersuchungsausschuss an die Enthüllungsplattform WikiLeaks weitergegeben hat. Nach Angaben von WikiLeaks sollen die rund 2.400 Dokumente zum NSA-Ausschuss aus verschiedenen Quellen stammen und nachweisen, dass die amerikanischen National Security Agency (NSA) und der BND zusammengearbeitet haben. Noch vor einigen Wochen hatte die "Frankfurter Allgemeine Sonntagszeitung" einen hohen Sicherheitsbeamten mit den Worten zitiert, "es gebe eine "hohe Plausibilität" dafür, dass die von WikiLeaks veröffentlichten Geheimakten beim Cyberangriff auf den Bundestag erbeutet wurden. Für den Angriff machten Sicherheitskreise russische Hacker verantwortlich."

  • Rohde & Schwarz Cybersecurity

    Cyber-Attacken nehmen zu, werden raffinierter und kosten Unternehmen inzwischen Milliarden. Herkömmliche Sicherheitskonzepte sind zunehmend machtlos. Die Digitalisierung vieler Branchen sowie die Themen Internet of Things und Industrie 4.0 verschärfen die Notwendigkeit nach wirksamen und praktikablen Sicherheitslösungen. Wer sich schützen will muss umdenken. 51 Milliarden Euro - so hoch ist laut Bitkom der Schaden, der deutschen Unternehmen durch Plagiate und den Verlust der Wettbewerbsfähigkeit in Folge von Cyber-Angriffen in einem einzigen Jahr entstanden ist. Cybercrime ist inzwischen ein lukratives Geschäftsmodell und in seiner finanziellen Dimension vergleichbar mit dem weltweiten Drogenhandel. Die Zahl der Angriffe steigt stetig - eine manuelle Bewältigung ist unmöglich. Volkswagen beispielsweise beziffert die Cyber-Attacken auf sein IT-Netz mit rund 6.000 pro Tag.

  • Code Signing-Attacken verhindern

    Das Certification Authority Security Council (CASC) hat seine neuen Minimum Requirements für öffentlich vertrauenswürdige Code- Signing-Zertifikate offiziell bekannt gegeben. Zum ersten Mal sind Zertifizierungsstellen (CAs) damit an eine Reihe von standardisierten Ausstellungs- und Managementrichtlinien gebunden, die speziell für das Code Signing entwickelt wurden. Die Requirements gehen ausführlich auf CA-Richtlinien ein und behandeln Themen wie Zertifikatinhalte, Widerruf- und Statusprüfungen, Verifizierungspraktiken und vieles mehr. Zertifizierungsstellen haben hinter den Kulissen schon recht eifrig daran gearbeitet das Anforderungsprofil umzusetzen. Was aber heißt das für die Benutzer? Wir wollen einen Blick darauf werfen, welche Anforderungen die User betreffen, die überhaupt Zertifikate zum Signieren von Code benutzen.

  • Ransomware-Attacken und Anzeigepflicht

    In vielerlei Hinsicht unterscheiden sich die Reaktionen auf eine Ransomware-Attacke nicht grundlegend von dem, was grundsätzlich im Falle eines Datenschutzvorfalls zu tun ist. Kurzgefasst: jedes Unternehmen sollte einen Plan haben wie die Malware zu analysieren und zu isolieren ist, um den Schaden zu begrenzen, laufende Geschäftsprozesse müssen gegebenenfalls wiederhergestellt und die entsprechenden Aufsichts- und Strafverfolgungsbehörden in Kenntnis gesetzt werden. Dabei sollten die verschiedenen Abteilungen eines Unternehmens Hand in Hand arbeiten. Ist eine Datenschutzverletzung entdeckt worden, sind insbesondere die Firmenjuristen, die IT-Abteilung und die Unternehmenskommunikation gefragt. Gerade den juristisch und technisch Verantwortlichen kommt eine Schlüsselrolle zu, wenn es gilt den Schaden zu begrenzen und die vorgeschriebenen Maßnahmen zu ergreifen. Soweit so gut.

  • Bewusstsein für Cybersicherheitsfragen entwickeln

    Was haben das ukrainische Stromnetz, die Zentralbank von Bangladesch und die Welt-Antidoping-Agentur gemeinsam? Alle wurden in den vergangenen Monaten Opferhochkarätiger Cyberangriffe, die finanzielle Folgen wie auch Imageprobleme auslösten. Darüber hinaus kehrten 2016ältere Angriffsarten zurück, um Unternehmen erneut heimzusuchen: sowohl LinkedIn als auch Yahoo! erleben die Auswirkungen historischer Diebstähle Hunderter Millionen von Nutzernamen, Passwörtern und mehr. Wieder hatten es die Cyberkriminellen auf die Nutzerdaten abgesehen und wieder tauchten Datensätze auf einschlägig bekannten Plattformen im Darkweb auf.