- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Einen Angriff mit Ransomware abwehren


Verschlüsselungs-Malware: Zahlen – oder lieber in den Urlaub fahren?
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt

- Anzeigen -





Autor Darren Windham
Autor Darren Windham Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten, Bild: Verizon

Von Darren Windham, Senior Security SpecialistRISK Team, Verizon Enterprise Solutions

Die Tageszeitungen berichten immer häufiger über Vorfälle mit Verschlüsselungs-Malware. Auch bei Verizon wurden in den vergangenen Monaten verschiedene Varianten von Ransomware, CryptoWall, tesla-crypt, KeRanger und den jüngsten Locky-Versionen gesehen. Diese Angriffe, die es bis in die Schlagzeilen der Medien schaffen, sind so erfolgreich, dass ich mir vorstellen kann, dass sie wiederkehren oder noch häufiger auftreten werden.

Uns begegnet dieses Szenario derart häufig, dass wir es als eines der "fatalsten" in unseren Report "Data Breach Digest" aufgenommen haben: Scenario #15 – Data Ransomware – The Catch 22.Solche Vorfälle werden nicht unbedingt als Datenverletzung eingestuft, denn gewöhnlich verlassen dadurch keine Daten das Netzwerk. Doch ohne ein vernünftiges Backup kann der Datenverlust sehr real spürbar sein. Was also kann man tun, um einen typischen Angriff mit Ransomware abzuwehren? Hier unsere Empfehlungen, die "Top 5×5 Maßnahmen" zur Abwehr von Ransomware-Angriffen.

Empfehlungen zur Abwehr
Die Top-5-Abwehrmaßnahmen, die Anwender im Vorfeld treffen sollte:

1. GPO zum Blockieren von ausführbaren Dateien und Deaktivieren von Microsoft Office Makros installieren
Malware wird gewöhnlich aus den Windows-Verzeichnissen ProzenttempProzent und AppData heraus ausgeführt. Indem man das Ausführen von Dateien an diesen Orten heraus blockiert, lässt sich das Risiko senken, dass ein unbekannter Code auf den Endgeräten läuft. Dies ist eine gute Vorgehensweise, um unterschiedliche Windows-basierte Infektionen zu verhindern.

Die aktuellen Versionen von Verschlüsselungs-Ransomware nutzen Makros, die in Microsoft Office-Dokumenten versteckt sind. Mit den Office Administrative Template-Dateien haben Anwender die Möglichkeit, die Nutzung solcher Makros via Windows Group Policy Objects einzuschränken.

2. Anwendungen Dritter schnellstmöglich patchen
Beliebte Anwendungen wie Java, Adobe Reader, Adobe Flash und Adobe Shockwave werden häufig dazu missbraucht, Malware zu verbreiten. Daher ist es wichtig, diese Desktop-Anwendungen von Drittanbietern immer auf dem neuesten Stand zu halten. Ältere Versionen und besonders Anwendungen, die von bestimmten Endgeräten nicht mehr benötigt werden, sollten deinstalliert werden. So reduziert sich die Zahl der angreifbaren Anwendungen, die sich noch irgendwo im System oder im Netz befinden.

3. Backup-Prozesse testen und bewerten
Die jüngsten Varianten von Verschlüsselungs-Ransomware löschen Windows System-Wiederherstellungspunkte und Schattenkopien, mit denen man üblicherweise gekaperte Daten wiederherstellt. Damit Firmen und Behörden kein Lösegeld an den Angreifer zahlen müssen, sollten sie daher gute Backup-Strategien entwickeln, mit denen sie ihre Daten wiederherstellen können. Dabei erweisen sich zusätzliche Backups auf separaten Systemen als Trumpf in vielen Ransomware-Situationen. Beim Wiederherstellen der Daten sollte unbedingt darauf geachtet werden, dass nur die für die Organisation relevanten Dateien und nicht der Code der Ransomware oder anderer Malware wiederhergestellt werden.

4. Lokale Admin-Rechte entfernen
Ein Angreifer, der im Besitz von Admin-Zugangsdaten ist, kann auf einem kompromittierten System große Schäden anrichten. Durch das Löschen der lokalen Admin-Rechte verringert sich das Risiko, dass die Malware Persistence-Mechanismen ausnutzt oder sich seitlich innerhalb ihrer Umgebung bewegt.

5. E-Mail-Anhänge blockieren
In jüngster Zeit wurden nach unseren Beobachtungen Dateien mit der Erweiterung ".doc" und ActiveMime-Headers verwendet, um signaturbasiertes Blockieren zu umgehen. Daher sollten Anwendersignatur- und erweiterungsbasierte Regeln zum Blockieren von E-Mail-Anhängen einführen, um das Risiko zu verringern, dass Personen auf Anhänge klicken und diese öffnen.

Reaktive Empfehlungen
Hier die Top 5 der reaktiven Maßnahmen:

1. Zugang zu Command- und Control-Servern blockieren
Wie bei vielen anderen Malware-Angriffen sind Command- und Control-Server (C2-Server) entscheidend für Ransomware-Angriffe. Ist die Domain oder IP-Adresse der Malware bekannt, können Anwender an ihren Endpunkten netzwerkbasierte Blockierungen installieren. Dies kann Firewalls, Router oder sogar Web-Proxies einschließen. Einzelheiten dazu, wie diese Änderungen vorzunehmen sind, geben die Anbieter. Wichtig ist, dass bei vielen Ransomware-Feldzügen Domain-Generierungs-Algorithmen genutzt werden, die dann unter Umständen die Domainnamen so rasch ändern, dass effektives Blockieren unmöglich ist.

2. Datei-Freigaben auf Read-only setzen
Verschlüsselungs-Ransomware verbreitet sich gerne über Netzwerk-Freigaben. Um zu verhindern, dass die Malware Ihre Daten ändert und verschlüsselt, sollte im Netzwerk die Genehmigungen für gemeinsame Dateinutzung bei allen Usern für einen befristeten Zeitraum auf Read-only gesetzt werden.

3. Infizierte System offline nehmen
Infizierte Systeme sollten zwar eingeschaltet bleiben, Sie sollten jedoch den Zugang zum Netzwerk unterbrechen (einschließlich WLAN), um mögliche Artefakte im physischen Speicher für Analysezwecke zu erhalten. Die Informationen für den Zugriff auf Dateien oder für die Entschlüsselung sind nur im Speicher zu finden. Diese Daten wären sehr wahrscheinlich für immer verloren, wenn das System abgeschaltet wird.

4. Bekannte Phishing-Mails aus den Mailboxen der Empfänger zurückholen
Nachdem man die bösartige Mail identifiziert hat, sollte eine weitere Verbreitung verhindert werden. Sofern das E-Mail-System die Möglichkeit bietet, bereits zugestellte Mails zurückzurufen oder zu entfernen, sollten Anwender diese Funktion nutzen, um solche gefährlichen Mails zu löschen. Anwender können diese Nachrichten nach Absender, Betreff, Anhang oder sogar abgehendem SMTP suchen. Dadurch wird auch das Risiko verringert, dass die Ransomware von noch mehr Usern angeklickt wird.

5. Infizierte Anwender identifizieren
Wichtig ist zu prüfen, wem die Datei oder das Verzeichnis gehört oder wer zuletzt darauf zugegriffen hat, wenn eine freigegebene Datei oder die Daten eines Servers in Folge einer Attacke verschlüsselt sind. Dadurch sind die User unter Umständen in der Lage, die Infektionsquelle innerhalb ihres Netzwerks ausfindig zu machen und können Hinweise geben, wie die Infektion frühzeitig eingedämmt werden kann.

Generell sollten sich Unternehmen bei der IT-Sicherheit und der Datenverfügbarkeit nicht auf ihr Glück verlassen. Die hier vorstellten Empfehlungen helfen zu verhindern, dass Unternehmen in den Schlagzeilen landen. Denn wer will schon ernsthaft Lösegeld in Bitcoins an die Angreifer zahlen, um wieder auf die eigenen Daten zugreifen zu können. (Verizon: ra)

eingetragen: 18.09.16
Home & Newsletterlauf: 04.10.16


Verizon: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 (!) verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Vorschriften im Gesundheitswesen

    Personenbezogene Daten geheim und sicher zu halten, ist im Gesundheitssektor immens wichtig. Mittlerweile ist es bereits 21 Jahre her seit Titel I des Health Insurance Portability and Accountability Act (HIPAA) in den Vereinigten Staaten verabschiedet wurde, um den Krankenversicherungsschutz für Arbeitnehmer und Familien zu gewährleisten. 2003 wurde Titel II als nationaler Standard für elektronische Transaktionen im Gesundheitswesen und nationale Kennzeichnungsvorschriften für Versorger, Krankenversicherungen und Mitarbeiter eingerichtet. Zu diesem Zeitpunkt wurden etliche Datenschutz- und Sicherheitsregeln zum Schutz elektronischer Gesundheitsdaten (e-PHI) definiert. Vor einigen Jahren haben der US-Kongress und das Department of Health and Human Services (Gesundheitsministerium HHS) im Cybersecurity Act von 2015 die Health Care Industry Cybersecurity (HCIC) Task Force eingerichtet. Grund war die wachsende Sorge um Risiken und Bedrohungen der Cybersicherheit für das Gesundheitswesen. Erst vor kurzem hat die Task Force ihre Ergebnisse in einem sehr detaillierten Report on Improving Cybersecurity in the Health Care Industry veröffentlicht. Der Report betont die Dringlichkeit der empfohlenen Maßnahmen angesichts der wachsenden Zahl komplexer Cyberbedrohungen. Das Gesundheitswesen müsse eben diese Maßnahmen zeitnah zum Schutz von Systeme und Patienten umsetzen.

  • Datensicherheit und Datenschutz

    Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät. Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

  • Googeln für Hacker

    Google ist die Suchmaschine schlechthin, auch wenn die Datensammelwut des Weltkonzerns aus Mountainview immer wieder kontrovers diskutiert wird. Fast 80 Prozent der Suchanfragen weltweit gehen an Google, während andere Suchmaschinen noch nicht einmal die 10-Prozent-Hürde schaffen. Bei Mobilgeräten liegt der Anteil von Google sogar bei mehr als 96 Prozent. Das ist selbst für Laien keine Überraschung. Weniger verbreitet ist das Wissen, dass Google sich auch bei Hackern großer Beliebtheit erfreut. Verschiedene versteckte Funktionen ermöglichen es Eingeweihten, sehr schnell an umfangreiche Listen potenzieller Opfer zu kommen. Versehentlich freigegebene Dokumente ausspähen, verwundbare Log-in-Seiten finden oder sich in schlecht geschützte Webcams einloggen - Google liefert bequem die einfachsten Ziele. Das ist nicht alles: durch verschiedene Tricks kann sich ein Angreifer quasi hinter der "harmlosen" Suchmaschine verstecken und so gezielt seine Spuren verwischen.