- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Einen Angriff mit Ransomware abwehren


Verschlüsselungs-Malware: Zahlen – oder lieber in den Urlaub fahren?
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt

- Anzeigen -





Autor Darren Windham
Autor Darren Windham Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten, Bild: Verizon

Von Darren Windham, Senior Security SpecialistRISK Team, Verizon Enterprise Solutions

Die Tageszeitungen berichten immer häufiger über Vorfälle mit Verschlüsselungs-Malware. Auch bei Verizon wurden in den vergangenen Monaten verschiedene Varianten von Ransomware, CryptoWall, tesla-crypt, KeRanger und den jüngsten Locky-Versionen gesehen. Diese Angriffe, die es bis in die Schlagzeilen der Medien schaffen, sind so erfolgreich, dass ich mir vorstellen kann, dass sie wiederkehren oder noch häufiger auftreten werden.

Uns begegnet dieses Szenario derart häufig, dass wir es als eines der "fatalsten" in unseren Report "Data Breach Digest" aufgenommen haben: Scenario #15 – Data Ransomware – The Catch 22.Solche Vorfälle werden nicht unbedingt als Datenverletzung eingestuft, denn gewöhnlich verlassen dadurch keine Daten das Netzwerk. Doch ohne ein vernünftiges Backup kann der Datenverlust sehr real spürbar sein. Was also kann man tun, um einen typischen Angriff mit Ransomware abzuwehren? Hier unsere Empfehlungen, die "Top 5×5 Maßnahmen" zur Abwehr von Ransomware-Angriffen.

Empfehlungen zur Abwehr
Die Top-5-Abwehrmaßnahmen, die Anwender im Vorfeld treffen sollte:

1. GPO zum Blockieren von ausführbaren Dateien und Deaktivieren von Microsoft Office Makros installieren
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt. Indem man das Ausführen von Dateien an diesen Orten heraus blockiert, lässt sich das Risiko senken, dass ein unbekannter Code auf den Endgeräten läuft. Dies ist eine gute Vorgehensweise, um unterschiedliche Windows-basierte Infektionen zu verhindern.

Die aktuellen Versionen von Verschlüsselungs-Ransomware nutzen Makros, die in Microsoft Office-Dokumenten versteckt sind. Mit den Office Administrative Template-Dateien haben Anwender die Möglichkeit, die Nutzung solcher Makros via Windows Group Policy Objects einzuschränken.

2. Anwendungen Dritter schnellstmöglich patchen
Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten. Daher ist es wichtig, diese Desktop-Anwendungen von Drittanbietern immer auf dem neuesten Stand zu halten. Ältere Versionen und besonders Anwendungen, die von bestimmten Endgeräten nicht mehr benötigt werden, sollten deinstalliert werden. So reduziert sich die Zahl der angreifbaren Anwendungen, die sich noch irgendwo im System oder im Netz befinden.

3. Backup-Prozesse testen und bewerten
Die jüngsten Varianten von Verschlüsselungs-Ransomware löschen Windows System-Wiederherstellungspunkte und Schattenkopien, mit denen man üblicherweise gekaperte Daten wiederherstellt. Damit Firmen und Behörden kein Lösegeld an den Angreifer zahlen müssen, sollten sie daher gute Backup-Strategien entwickeln, mit denen sie ihre Daten wiederherstellen können. Dabei erweisen sich zusätzliche Backups auf separaten Systemen als Trumpf in vielen Ransomware-Situationen. Beim Wiederherstellen der Daten sollte unbedingt darauf geachtet werden, dass nur die für die Organisation relevanten Dateien und nicht der Code der Ransomware oder anderer Malware wiederhergestellt werden.

4. Lokale Admin-Rechte entfernen
Ein Angreifer, der im Besitz von Admin-Zugangsdaten ist, kann auf einem kompromittierten System große Schäden anrichten. Durch das Löschen der lokalen Admin-Rechte verringert sich das Risiko, dass die Malware Persistence-Mechanismen ausnutzt oder sich seitlich innerhalb ihrer Umgebung bewegt.

5. E-Mail-Anhänge blockieren
In jüngster Zeit wurden nach unseren Beobachtungen Dateien mit der Erweiterung ".doc" und ActiveMime-Headers verwendet, um signaturbasiertes Blockieren zu umgehen. Daher sollten Anwendersignatur- und erweiterungsbasierte Regeln zum Blockieren von E-Mail-Anhängen einführen, um das Risiko zu verringern, dass Personen auf Anhänge klicken und diese öffnen.

Reaktive Empfehlungen
Hier die Top 5 der reaktiven Maßnahmen:

1. Zugang zu Command- und Control-Servern blockieren
Wie bei vielen anderen Malware-Angriffen sind Command- und Control-Server (C2-Server) entscheidend für Ransomware-Angriffe. Ist die Domain oder IP-Adresse der Malware bekannt, können Anwender an ihren Endpunkten netzwerkbasierte Blockierungen installieren. Dies kann Firewalls, Router oder sogar Web-Proxies einschließen. Einzelheiten dazu, wie diese Änderungen vorzunehmen sind, geben die Anbieter. Wichtig ist, dass bei vielen Ransomware-Feldzügen Domain-Generierungs-Algorithmen genutzt werden, die dann unter Umständen die Domainnamen so rasch ändern, dass effektives Blockieren unmöglich ist.

2. Datei-Freigaben auf Read-only setzen
Verschlüsselungs-Ransomware verbreitet sich gerne über Netzwerk-Freigaben. Um zu verhindern, dass die Malware Ihre Daten ändert und verschlüsselt, sollte im Netzwerk die Genehmigungen für gemeinsame Dateinutzung bei allen Usern für einen befristeten Zeitraum auf Read-only gesetzt werden.

3. Infizierte System offline nehmen
Infizierte Systeme sollten zwar eingeschaltet bleiben, Sie sollten jedoch den Zugang zum Netzwerk unterbrechen (einschließlich WLAN), um mögliche Artefakte im physischen Speicher für Analysezwecke zu erhalten. Die Informationen für den Zugriff auf Dateien oder für die Entschlüsselung sind nur im Speicher zu finden. Diese Daten wären sehr wahrscheinlich für immer verloren, wenn das System abgeschaltet wird.

4. Bekannte Phishing-Mails aus den Mailboxen der Empfänger zurückholen
Nachdem man die bösartige Mail identifiziert hat, sollte eine weitere Verbreitung verhindert werden. Sofern das E-Mail-System die Möglichkeit bietet, bereits zugestellte Mails zurückzurufen oder zu entfernen, sollten Anwender diese Funktion nutzen, um solche gefährlichen Mails zu löschen. Anwender können diese Nachrichten nach Absender, Betreff, Anhang oder sogar abgehendem SMTP suchen. Dadurch wird auch das Risiko verringert, dass die Ransomware von noch mehr Usern angeklickt wird.

5. Infizierte Anwender identifizieren
Wichtig ist zu prüfen, wem die Datei oder das Verzeichnis gehört oder wer zuletzt darauf zugegriffen hat, wenn eine freigegebene Datei oder die Daten eines Servers in Folge einer Attacke verschlüsselt sind. Dadurch sind die User unter Umständen in der Lage, die Infektionsquelle innerhalb ihres Netzwerks ausfindig zu machen und können Hinweise geben, wie die Infektion frühzeitig eingedämmt werden kann.

Generell sollten sich Unternehmen bei der IT-Sicherheit und der Datenverfügbarkeit nicht auf ihr Glück verlassen. Die hier vorstellten Empfehlungen helfen zu verhindern, dass Unternehmen in den Schlagzeilen landen. Denn wer will schon ernsthaft Lösegeld in Bitcoins an die Angreifer zahlen, um wieder auf die eigenen Daten zugreifen zu können. (Verizon: ra)

eingetragen: 18.09.16
Home & Newsletterlauf: 04.10.16


Verizon: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.

  • Detailliertes Profil der Angreifer entscheidend

    "Kill Chain" - dieser Begriff stammt eigentlich aus dem Militärjargon und bezeichnet ein Modell, das alle Phasen eines Angriffs beschreibt. Im Umkehrschluss zeigt es Wege auf, mit denen sich diese Angriffe vermeiden oder zumindest abschwächen lassen - eine Taktik, die auch hinsichtlich digitaler Bedrohungen und Hackangriffe interessant ist. Die Kill Chain digitaler Bedrohungen lässt sich in sieben verschiedene Phasen unterteilen.

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.