- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Trend zu gezielter Ransomware hält an


Ransomware "Matrix": SophosLabs-Experten geben sich als Opfer aus, um die ganze Angriffskette nachzuvollziehen
Unternehmen können Zugriffen dieser Art mit vier Maßnahmen einen Riegel vorschieben

- Anzeigen -





Sophos hat in einem umfangreichen Forschungsprojekt die Ransomware-Familie "Matrix" unter die Lupe genommen. Die Malware ist seit 2016 im Umlauf und Sophos hat 96 Proben intensiv verfolgt. Wie frühere gezielte Ransomware, darunter BitPaymer, Dharma und SamSam, brechen die Matrix-Angreifer in Unternehmensnetzwerke ein und infizieren Computer über das Remote Desktop Protocol (RDP), ein integriertes Remote Access Tool für Windows-Computer. Der Unterschied zu anderen Ransomware-Varianten: Matrix zielt "nur" auf einen einzelnen Computer im Netzwerk ab, anstatt sich unternehmensweit zu verbreiten.

Im Rahmen der Untersuchung haben die SophosLabs den Code und die Techniken der Angreifer inklusive der Methoden und Lösegeldforderungen zurückverfolgt. Dabei kam schnell heraus, dass die kriminellen Macher von Matrix ihre Angriffsparameter im Laufe der Zeit mit neuen Dateien und Skripten weiterentwickelt haben, um unterschiedliche Vorgänge und Aktionen bei ihren Netzwerkattacken auszulösen.

Variabel zeigten sich auch die Lösegeldforderungen, die originär in den Angriffscode eingebettet sind. Seit der Existenz von Matrix wurde hierfür meist ein kryptographisch geschützter und anonymer Instant-Messaging-Dienst namens bitmsg.me genutzt. Dieser Dienst wurde aber inzwischen eingestellt, worauf die Autoren der Ransomware zur Kommunikation über herkömmliche E-Mail-Konten übergegangen sind. Die Akteure hinter Matrix stellen ihre Lösegeldforderung in Kryptowährung, äquivalent zu einem Betrag in US-Dollar. Dies ist ungewöhnlich, da Forderungen normalerweise direkt in Kryptowährung und nicht als Dollar-Gegenwert gestellt werden. Es ist unklar, ob diese Form der Lösegeldforderung der Irreführung dient, oder nur ein Versuch ist, stark schwankende Kryptowährungskurse zu nutzen.

Bei einem fingierten Angriffserfolg und der anschließenden Kommunikation, die die Experten der SophosLabs mit den Angreifern hatten, lagen die Lösegeldforderung inizial bei 2.500 US-Dollar. Dieser Betrag wurde von den Angreifern im Verlauf der Kommunikation auf 1.500 US-Dollar reduziert, als die SophosLabs-Spezialisten aufhörten, auf die Forderungen zu reagieren.

"Matrix ist ein Äquivalent zum Schweizer Taschenmesser. Neuere Varianten sind in der Lage, potenzielle Opfer zu scannen und zu finden sobald sie in das Netzwerk integriert sind", so Michael Veit, IT-Security-Experte bei Sophos. "Trotz der geringen Anzahl an Varianten ist Matrix extrem durchschlagskräftig. Der Code entwickelt sich weiter und es erscheinen immer neue Versionen auf Basis der Erkenntnisse, welche die Angreifer aus ihren Attacken gewinnen."

Bereits im Sophos 2019 Threat Report wurde darauf eingegangen, dass gezielte Ransomware das Verhalten von Hackern beeinflussen wird. Unternehmen müssen weiterhin wachsam sein und sicherstellen, dass sie kein einfaches Ziel sind.

Sophos empfiehlt vier grundlegende Sicherheitsmaßnahmen gegen Ransomware-Attacken:

>> Den Zugriff auf Remote-Control-Anwendungen wie Remote Desktop (RDP) und VNC beschränken.

>> Regelmäßige Schwachstellenüberprüfungen und Penetrationstests im gesamten Netzwerk durchführen. Wenn die letzten Pen-Testberichte nicht beachtet wurden, ist es jetzt an der Zeit. Wenn der Rat des Pen-Testers nicht befolgt wird, haben Cyberkriminelle leichtes Spiel.

>> Der Einsatz einer Multifaktor-Authentifizierung für sensible interne Systeme, auch für Mitarbeiter, die via LAN oder VPN ins Netzwerk eingebunden sind.

>> Erstellen von Backups, die anschließend offline und an einem anderen Ort sind. Zudem sollte ein Recovery-Plan existieren, der die Wiederherstellung von Daten und Systemen für das komplette Unternehmen umfasst.
(Sophos: ra)

eingetragen: 05.02.19
Newsletterlauf: 11.03.19

Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Hintergrund

  • Warnung vor vor RTM-Banking-Trojanern

    Experten von Kaspersky Lab warnen vor dem "RTM-Banking-Trojaner": Der Schädling hat es speziell auf die Finanzressourcen kleiner und mittelständischer Unternehmen abgesehen und im Jahr 2018 insgesamt über 130.000 Nutzer angegriffen - ein immenser Anstieg, wenn man bedenkt, dass im Jahr 2017 lediglich 2.376 Opfer attackiert wurden. Das Tempo der Attacken scheint sich 2019 fortzusetzen. Bereits mehr als 30.000 Nutzer wurden bisher im Jahresverlauf attackiert. Damit zählt RTM zu den derzeit aktivsten Bank-Trojanern in der IT-Bedrohungslandschaft. Auch wenn die meisten Angriffsziele bisher in Russland lagen, ist weltweit gerade für Mitarbeiter mit Zugang zu firmeninternen Bankkonten und Finanzressourcen höchste Cybervorsicht geboten.

  • Trend zu gezielter Ransomware hält an

    Sophos hat in einem umfangreichen Forschungsprojekt die Ransomware-Familie "Matrix" unter die Lupe genommen. Die Malware ist seit 2016 im Umlauf und Sophos hat 96 Proben intensiv verfolgt. Wie frühere gezielte Ransomware, darunter BitPaymer, Dharma und SamSam, brechen die Matrix-Angreifer in Unternehmensnetzwerke ein und infizieren Computer über das Remote Desktop Protocol (RDP), ein integriertes Remote Access Tool für Windows-Computer. Der Unterschied zu anderen Ransomware-Varianten: Matrix zielt "nur" auf einen einzelnen Computer im Netzwerk ab, anstatt sich unternehmensweit zu verbreiten.

  • Aktualisierte Remexi-Backdoor gefunden

    Die Experten von Kaspersky Lab haben mehrere Kompromittierungsversuche gegen ausländische diplomatische Einrichtungen im Iran mittels einer selbst entwickelten Spyware identifiziert. Bei den Angriffen kamen wohl eine aktualisierte Version des Remexi-Backdoor-Programms sowie verschiedene legitime Tools zum Einsatz. Hinter der Remexi-Backdoor wird eine verdächtige Farsi sprechende Cyberspionagegruppe namens ,Chafer' vermutet, die zuvor mit digitalen Observationen von Einzelpersonen im Nahen Osten in Verbindung gebracht wurde. Der Fokus auf Botschaften könnte eine Neuorientierung der Gruppe sein.

  • Emotet: Allzweckwaffe des Cybercrime

    Die Emotet-Schadsoftware wird derzeit über gefälschte Amazon-Versandbestätigungen verteilt. G Data erklärt, was hinter der Malware steckt und warum sie so gefährlich ist. Emotet ist eine der langlebigsten und professionellsten Cybercrime-Kampagnen der vergangenen Jahre. Erstmals im Jahr 2014 als Banking-Trojaner entdeckt hat die Malware sich über die Jahre zu einer umfassenden Lösung für das Cybercrime entwickelt. Die Schadsoftware nimmt dabei in der Regel nur die Funktion des Türöffners ein, der dann weiteren Schadcode auf dem Rechner installiert. Aktuell wird Emotet über sehr gut gefälschte Amazon-E-Mails verteilt, die Nutzer zum Herunterladen eines Word-Dokuments nötigen wollen. Nach einem Klick auf den angeblichen Tracking-Link öffnet sich das Word-Dokument, das Nutzer auffordert, aktive Inhalte zuzulassen und dann die Infektion des PCs veranlasst.

  • Überwachungs- & Verfolgungsoperationen

    Im Dezember 2018 identifizierte FireEye APT39 als eine iranische Cyber-Spionagegruppe, die mit dem weitreichenden Diebstahl persönlicher Daten in Verbindung steht. Seit November 2014 hat FireEye Aktivitäten im Zusammenhang mit dieser Gruppe verfolgt, um Organisationen vor APT39 zu schützen. Mit ihrem Fokus auf personenbezogenen Daten unterscheidet sich APT39 von anderen iranischen Gruppen, die FireEye beobachtet und die mit Einflussoperationen, Störungsangriffen und anderen Bedrohungen in Verbindung stehen. Mit dem Fokus auf personenbezogene Daten soll APT39 wahrscheinlich Überwachungs- und Verfolgungsoperationen im nationalen Interesse des Irans unterstützen, oder zusätzliche Zugangsmöglichkeiten und -Vektoren für spätere Kampagnen vorbereiten.