- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Was tun? Ransomware-Angriff "WannaCry"


Fünf konkrete Handlungsempfehlungen zur Ransomware "WannaCry"
Der WannaCry-Angriff ist jedoch noch nicht ausgestanden oder gar beendet, da zwar diese Welle durch den Kill-Switch beendet wurde, aber jederzeit eine neue Angriffswelle denselben Exploit ausnutzen kann

- Anzeigen -





Von Oliver Keizers, Regional Director DACH, Fidelis Cybersecurity

Der bekannt gewordene Ransomware-Angriff mit den Namen "WannaCry" hat nach Presseberichten nie zuvor dagewesenen Ausmaße an Geschwindigkeit und Verbreitung erreicht. Fünf konkrete Handlungsempfehlungen zur Ransomware "WannaCry"

1. Umgehend den Patch MS17-010 (https://technet.microsoft.com/en-us/library/security/ms17-010.aspx) installieren. Wer noch Windows XP, Windows 8, oder Windows Server 2003 nutzt findet unter https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/ weitere Informationen.

2. Auf der Firewall die TCP Ports 137, 139 und 445 und UDP Ports 137 und 138 blockieren, über welchen die Kommunikation mit den Backend Services des Schadcodes läuft.

3. Server Message Block (SMB) Deaktivieren: Folgen Sie den Anleitungen von Microsoft um SMB zu deaktivieren.
https://support.microsoft.com/en-in/help/2696547/how-to-enable-and-disable-smbv1,-smbv2,-and-smbv3-in-windows-vista,-windows-server-2008,-windows-7,-windows-server-2008-r2,-windows-8,-and-windows-server-2012
4. Der Schadcode in der aktuellen Version hat einen Kill-Switch und lässt sich beenden durch eine URL-Abfrage auf: www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. Eine neuere Version benutzt jedoch auch die URL www[.]ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. Wer einen Proxy im Unternehmen einsetzt, muss sicherstellen, dass diese URLs erreichbar sind oder ein Redirect auf ein eigenes Sink-Hole mit einer validen Antwort auf eine Webanfrage einrichten. (Trittbrettfahrer haben mittlerweile auch Versionen ohne diesen Kill-Switch gehackt, so dass dies alleine nicht ausreichend ist.)

5. Der Schadcode kommuniziert mit seinen Command & Control Servern über das Tor Protokoll, welches deshalb am Perimeter unbedingt geblockt werden muss. Bisher bekannte C&C Server sind

a. cwwnhwhlz52ma.onion

b. gx7ekbenv2riucmf.onion

c. xxlvbrloxvriy2c5.onion

d. 57g7spgrzlojinas.onion

e. 76jdd2ir2embyv47.onion

Dass unbedingt die jeweiligen Updates für Anti-Virus und Anti-Ransomware Software eingespielt werden müssen, sollte nicht erwähnt werden müssen, sondern selbstverständlich sein. Auch eine funktionierende Backup-Strategie ist immer eine gute Sache.

Erkennungsmethoden für "WannaCry"
Prozesse des Schadcodes lassen sich durch geeignete Tools am Endpunkt erkennen, indem die folgenden vier Erkennungsmerkmale aktiviert werden:

a. Shadow Copy: delete
b. Persistence: File created in roaming startup folder.
c. Behavior: Process executed by cmd.exe /c start
d. Behavior: Filename with one character

Ebenso erstellt der Schadcode auf dem Endpunkt Registry Einträge, über welche er erkennbar ist:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = "\tasksche.exe”
HKLM\SOFTWARE\WanaCrypt0r\\wd = "”
HKCU\Control Panel\Desktop\Wallpaper: "\@WanaDecryptor@.bmp”

Es ist jedoch zu beachten, dass die Empfehlung die Ports zu blockieren nur vor dem SMB-Wurm schützen. Sollten Sie den Schadcode via E-Mail, einem böswilligen Torrent oder andere Angriffsvektoren außerhalb des SMB-Protokolls erhalten haben, so gilt zumindest die Aufforderung des Patches von Microsoft weiterhin und unbedingt.

Fidelis hat für Unternehmen entsprechende Yara-Regeln zur Erkennung verfügbar gemacht, welche unter der URL https://raw.githubusercontent.com/felmoltor/rules/5be0f43f2fca0b5ff0e385534da9a94c273c172f/malware/malw_ms17-010_wannacrypt.yar geladen werden können.

Der Angriff ist jedoch noch nicht ausgestanden oder gar beendet, da zwar diese Welle durch den Kill-Switch beendet wurde, aber jederzeit eine neue Angriffswelle denselben Exploit ausnutzen kann. Ohne die Umsetzung dieser Empfehlungen ist die Gefahr hoch, weiterhin für diese Sicherheitslücke verwundbar zu sein. (Fidelis Cybersecurity: ra)

eingetragen: 15.05.17

Fidelis Cybersecurity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Häufigste Schwachstellen in Firmennetzwerken

    Zahlreiche Unternehmen weisen in ihren Netzwerken deutliche Sicherheitslecks auf und lassen damit Hackern und Spionen unbewusst völlig freie Hand. Mangelnde Kenntnis und Sensibilisierung zum Thema IT-Sicherheit lässt unter anderem un­sichere Konfigurationen, Passwörter und Netzwerkarchitekturen entstehen. In vielen Firmen wird zudem oft mit fehlenden oder unzureichenden Updates sowie mit unsicheren Produkten und Software gearbeitet. Die Blue Frost Security GmbH, Spezialistin für IT-Sicherheitsanalysen, zeigt die häufigsten Schwachstellen und Einfallstore - auch in Bezug auf die zunehmend vernetzten Produktionsumgebungen in der Industrie 4.0. Die Lücken sind oft hausgemacht: Zahlreiche Sicherheitsprobleme in Unternehmen entstehen dadurch, dass niemand die konkrete Verantwortung oder das notwendige Bewusstsein dafür besitzt, an welchen Stellen die bestehenden und kritischen Schwachstellen der IT-Infrastruktur liegen. Diese können so mehrere Jahre unbemerkt bleiben. Im Laufe der Jahre wächst zudem in Unternehmen in der Regel die IT-Infrastruktur. Das birgt Risiken, denn je heterogener eine IT-Landschaft ist, desto schwieriger ist es für alle Beteiligten, den Überblick über das Netzwerk zu behalten. Dies wird durch Industrie 4.0-Software- und -Hardware noch potenziert, da diese oft noch keinen Standards folgen.

  • Privatsphäre und Sicherheit schützen

    Nachdem zwei große Ransomware-Angriffe über den Globus gefegt sind und zahlreiche große Organisationen davon betroffen waren, haben viele Unternehmen begonnen, ihre Cyber-Sicherheitspolitik zu überdenken. Doch viele kleine Unternehmen sind immer noch ungeschützt - und sie könnten jederzeit Ziel eines Ransomware-Angriffs werden, da solche Angriffe in Intensität und Raffinesse zunehmen werden. "Kleine Unternehmer und CEOs sollten sich darauf konzentrieren, eine Denkweise in ihrem Unternehmen zu pflegen, die - anstatt die Menschen ohne Grund zu verschrecken - die Kultur der Cybersicherheit und einen vorsichtigen Ansatz für alle Online-Aktivitäten aufbaut", sagte Marty P. Kamden, CMO von NordVPN. "Eine Organisation vor Cyberattacken zu schützen, bedeutet eine vollständige Zusammenarbeit aller Mitarbeiter - und jeder muss die Do's und Don'ts des Online-Verhaltens kennen."

  • Online-Sicherheit auf dem Campus

    Laut einer Studie der digitalen Sicherheitsfirma Gemalto, wurden in der ersten Hälfte des Jahres 2017 mehr Daten verbreitet oder gestohlen (1,9 Milliarden), als im ganzen Jahr 2016 (1,37 Milliarden). Zusätzlich haben erst vor kurzem zwei große Erpressungssoftware-Attacken die Runde gemacht und auch E-Mail-Phishing geschieht immer häufiger. Gemaltos Studie nennt die Regierung als die größte Quelle für Sicherheitslücken, aber auch Universitäten mit umfangreichen Datenbanken voll persönlicher Daten sind gefährdet. "Obwohl es viele Informationen darüber gibt, wie man die eigenen Daten online schützt, sind Studenten diejenigen, die leicht gehackt werden können, wenn ihre Daten nicht richtig geschützt werden", sagt Marty P. Kamden, Vertriebsleiter bei NordVPN. "Große Datenbanken locken Hacker aus der ganzen Welt an, da diese gestohlene Identitäten nutzen können, um Geld von Bankkonten zu veruntreuen oder andere bösartige Taten zu begehen. Eine weitere Gefahr stellt die Nutzung des öffentlichen WLANs auf dem Campus ohne VPN dar, die es Hackern erleichtert, sich in Computer von Studenten einzuhacken."

  • Tipps für Online-Grundschutz

    Mittelständler schützen ihre IT oft schlechter als börsennotierte Konzerne und gefährden so ihr Unternehmen: Viele Handwerks- oder mittelständische Produktionsbetriebe sind sich häufig der Risiken einer schlecht gewarteten IT-Infrastruktur nicht bewusst. Dabei steigt die Bedrohungslage, denken 95 Prozent der Security-Experten laut eco-Umfrage. Rund jeder Dritte (28 Prozent) der Befragten hatte in letzter Zeit mindestens einen Sicherheitsvorfall im Unternehmen. Neben Erpressungstrojanern wie Locky und Betrugsversuchen mittels CEO-Fraud sind unsichere Webseiten ein beliebtes Einfallstor für Cyberkriminelle. "Viele kleinere und mittlere Unternehmen (KMU) versäumen es, ihr Content-Management-System (CMS) zeitnah zu aktualisieren, so dass der Internetauftritt dadurch große Sicherheitslücken aufweist und damit Hackern ein einfaches Ziel bietet", sagt Peter Meyer, Leiter Cyber Security Services im eco - Verband der Internetwirtschaft e. V. Insbesondere viele Plugins unterschiedlicher Anbieter im CMS erhöhen die Komplexität. Das versuchen Cyberkriminelle auszunutzen. So entstehen mögliche Schwachstellen, die beispielsweise einen Diebstahl der Nutzerdaten über Cross-Site-Scripting ermöglichen.

  • Störlichtbögen - die unterschätzte Gefahr

    Die Energiezufuhr ist für Betreiber von Rechenzentren das zentrale Thema: Unterbrechungen und Störungen können sich massiv auf Produktion und Umsatz auswirken und auch der größte Anteil der Betriebskosten entfällt auf den Energieverbrauch. Neue Entwicklungen bei der Rechenzentrumsinfrastruktur sowie bei der unterbrechungsfreien Stromversorgung (USV) bieten Unternehmen bessere Möglichkeiten, ihr Rechenzentrum energieeffizient und sicher zu betreiben. Ob KMU oder Großunternehmen - diese fünf vom Energiemanagement-Unternehmen Eaton aufgezeigten Aspekte sollten Unternehmen aller Art berücksichtigen.