- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Trend zu gezielter Ransomware hält an


Ransomware "Matrix": SophosLabs-Experten geben sich als Opfer aus, um die ganze Angriffskette nachzuvollziehen
Unternehmen können Zugriffen dieser Art mit vier Maßnahmen einen Riegel vorschieben

- Anzeigen -





Sophos hat in einem umfangreichen Forschungsprojekt die Ransomware-Familie "Matrix" unter die Lupe genommen. Die Malware ist seit 2016 im Umlauf und Sophos hat 96 Proben intensiv verfolgt. Wie frühere gezielte Ransomware, darunter BitPaymer, Dharma und SamSam, brechen die Matrix-Angreifer in Unternehmensnetzwerke ein und infizieren Computer über das Remote Desktop Protocol (RDP), ein integriertes Remote Access Tool für Windows-Computer. Der Unterschied zu anderen Ransomware-Varianten: Matrix zielt "nur" auf einen einzelnen Computer im Netzwerk ab, anstatt sich unternehmensweit zu verbreiten.

Im Rahmen der Untersuchung haben die SophosLabs den Code und die Techniken der Angreifer inklusive der Methoden und Lösegeldforderungen zurückverfolgt. Dabei kam schnell heraus, dass die kriminellen Macher von Matrix ihre Angriffsparameter im Laufe der Zeit mit neuen Dateien und Skripten weiterentwickelt haben, um unterschiedliche Vorgänge und Aktionen bei ihren Netzwerkattacken auszulösen.

Variabel zeigten sich auch die Lösegeldforderungen, die originär in den Angriffscode eingebettet sind. Seit der Existenz von Matrix wurde hierfür meist ein kryptographisch geschützter und anonymer Instant-Messaging-Dienst namens bitmsg.me genutzt. Dieser Dienst wurde aber inzwischen eingestellt, worauf die Autoren der Ransomware zur Kommunikation über herkömmliche E-Mail-Konten übergegangen sind. Die Akteure hinter Matrix stellen ihre Lösegeldforderung in Kryptowährung, äquivalent zu einem Betrag in US-Dollar. Dies ist ungewöhnlich, da Forderungen normalerweise direkt in Kryptowährung und nicht als Dollar-Gegenwert gestellt werden. Es ist unklar, ob diese Form der Lösegeldforderung der Irreführung dient, oder nur ein Versuch ist, stark schwankende Kryptowährungskurse zu nutzen.

Bei einem fingierten Angriffserfolg und der anschließenden Kommunikation, die die Experten der SophosLabs mit den Angreifern hatten, lagen die Lösegeldforderung inizial bei 2.500 US-Dollar. Dieser Betrag wurde von den Angreifern im Verlauf der Kommunikation auf 1.500 US-Dollar reduziert, als die SophosLabs-Spezialisten aufhörten, auf die Forderungen zu reagieren.

"Matrix ist ein Äquivalent zum Schweizer Taschenmesser. Neuere Varianten sind in der Lage, potenzielle Opfer zu scannen und zu finden sobald sie in das Netzwerk integriert sind", so Michael Veit, IT-Security-Experte bei Sophos. "Trotz der geringen Anzahl an Varianten ist Matrix extrem durchschlagskräftig. Der Code entwickelt sich weiter und es erscheinen immer neue Versionen auf Basis der Erkenntnisse, welche die Angreifer aus ihren Attacken gewinnen."

Bereits im Sophos 2019 Threat Report wurde darauf eingegangen, dass gezielte Ransomware das Verhalten von Hackern beeinflussen wird. Unternehmen müssen weiterhin wachsam sein und sicherstellen, dass sie kein einfaches Ziel sind.

Sophos empfiehlt vier grundlegende Sicherheitsmaßnahmen gegen Ransomware-Attacken:

>> Den Zugriff auf Remote-Control-Anwendungen wie Remote Desktop (RDP) und VNC beschränken.

>> Regelmäßige Schwachstellenüberprüfungen und Penetrationstests im gesamten Netzwerk durchführen. Wenn die letzten Pen-Testberichte nicht beachtet wurden, ist es jetzt an der Zeit. Wenn der Rat des Pen-Testers nicht befolgt wird, haben Cyberkriminelle leichtes Spiel.

>> Der Einsatz einer Multifaktor-Authentifizierung für sensible interne Systeme, auch für Mitarbeiter, die via LAN oder VPN ins Netzwerk eingebunden sind.

>> Erstellen von Backups, die anschließend offline und an einem anderen Ort sind. Zudem sollte ein Recovery-Plan existieren, der die Wiederherstellung von Daten und Systemen für das komplette Unternehmen umfasst.
(Sophos: ra)

eingetragen: 05.02.19
Newsletterlauf: 11.03.19

Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.

  • Zukunft von unentdeckter Malware

    Malwarebytes veröffentlichte die Studie "Unter dem Radar - die Zukunft von unentdeckter Malware" und beleuchtet darin einige der neuesten Bedrohungen in diesem Bereich für Unternehmen: Emotet, TrickBot, Sobretec, SamSam und PowerShell. Widerstandsfähigkeit und Erkennungsvermeidung als neuer Fokus: Die stetige Weiterentwicklung von Cyberkriminalität ist eine Konstante in unserer heutigen digitalen Welt. Fast täglich gibt es Nachrichten von neuen Angriffsmethoden, einer neuen Angriffsstrategie oder einer Taktik, mit der Cyberkriminelle Benutzer infizieren, ihre Lebensgrundlage gefährden und oder ganz allgemein Chaos anrichten. Um ihren Profit zu steigern, wollen Cyberkriminellen Endpunkte zielgerichtet und vollständig besetzen. Sie haben das Ziel, Endpunkte unbemerkt zu infizieren, sowohl in dem Moment der ersten Gefährdung, als auch bei allen weiteren Versuchen, den Endpunkt zu besetzen.

  • Wesentlich effizientere DDoS-Bots

    Das Botnetz Mirai beschränkt sich nicht mehr länger auf ungesicherte IoT-Geräte. Das sind Erkenntnisse von Asert, ein Team aus Sicherheitsspezialisten des Unternehmens Netscout Arbor, ein Anbieter von Business Assurance-, Cybersicherheits- und Business-Intelligence-Lösungen.Kriminelle Betreiber der großen Botnetze haben die Malware von Mirai so angepasst, dass sie nun auch ungepatchte Linux-Server über die Schwachstelle Hadoop Yarn gefährden. Hadoop ist ein Framework von Apache, das Big Data-Anwendungen verarbeitet und speichert, die in geclusterten Systemen ausgeführt werden. Yarn ist für die Zuweisung von Systemressourcen und Planungsaufgaben verantwortlich.

  • Hacker gehen auf Butterfahrt

    GuardiCore hat eine Hacking-Kampagne aufgedeckt, bei der ein Remote-Access-Trojaner (RAT) mit DDoS-Funktion samt Krypto-Miner installiert werden. Die "Butter" genannte Schadsoftware agiert im Hintergrund und wird zur Verwischung ihrer Spuren als Linux-Kernel-Rootkit getarnt. GuardiCore entwickelt IT-Sicherheitstechnologien und erstellt mit einem weltweiten Forscherteam sicherheitsbezogene IT-Analysen, Rechercheberichte und Gegenmaßnahmen für aktuelle Bedrohungen.