Die Evolution von Ransomware und aktuelle Maschen der Hacker.

Zu Gast in dieser Folge ist zum einen Christoph Fischer, Geschäftsführer der bFK edv-consulting GmbH aus Karlsruhe. Christoph ist Incident-Response Experte und seit über 30 Jahren im Bereich IT-Sicherheit tätig. 1990 gründete er die BFK edv-consulting GmbH. Sein Unternehmen berät seine Kunden zu den Themenbereichen Computersicherheit, Incident-Response, Computerforensik, System- und Netzwerksicherheit, Virenschutz und Auditing.

Als zweiten Gast begrüßt Thorsten Urbanski Michael Schröder, Security Business Strategy Manager DACH bei ESET. Michael ist als Technologieexperte und Datenschutzbeauftragter für die strategische Ausrichtung von ESET Produkten und Services in Deutschland, Österreich und der Schweiz zuständig. Michael ist seit mehr als 25 in der IT-Welt unterwegs und kennt die Branche aus verschiedenen Blickwinkeln.

Die Agentur der EU für Cybersicherheit (ENISA) schätzt, dass allein 2019 10 Milliarden Euro an Lösegelder aufgrund von Ransomware Angriffen gezahlt wurden. Ransomware ist aber nicht neu. Erste Varianten gab es bereits Ender der Achtziger Jahre. Christoph Fischer schätzt, dass Ransomware zu den größten Bedrohungen zählt. Hierdurch werden gnadenlos Lösegelder erpresst. Dies läuft in zwei Stufen ab: Angreifer versuchen das Netzwerk zu infiltrieren und sensible Daten zu verschlüsseln. In der zweiten Stufe stehlen die Täter Daten und versuchen das Unternehmen bei ausbleibender Zahlung damit zu erpressen.

WannaCry war hier eher noch der Schuss mit der Schrotflinte. Heute haben sich die Methoden verfeinert. Gerade das Home-Office in der Arbeitswelt, bedingt durch die Corona-Pandemie, hat breit gefächerte Angriffe wieder populärer bei Hacker werden lassen. Emotet ist hier sicherlich einer der bekanntesten Schädlinge. Dennoch haben sich die Angreifer auch weiterentwickelt und gehen bei High Potential Ziel deutlich anders vor. Beispielsweise schauen Hacker nach Unternehmen, die Cyberversicherungen haben und so deutlich geneigter sind Lösegelder zu zahlen. Dabei wird ganz genau geschaut, was Themen sind, die Mitarbeiter des Unternehmens interessieren könnte.

70 Prozent der Angriffe kommen geschätzt per Mail. Technologisch gibt es für Unternehmen zwei Möglichkeiten. Ein Malwareschutz ist die Basis zum Schutz vor Schadcode. Gefährlich wird es insbesondere, wenn Zero Day Malware zum Einsatz kommt. Hier reicht eine einfache Internet Security oder Endpoint Security im Unternehmensumfeld nicht mehr aus und es muss weitergedacht werden. Wichtig sind hier Technologien wie Cloud-Sandboxing etablieren. Mehrschichtige Schutz-Technologien sind elementar wichtig, um gegen alle Arten von Malware einen umfassenden Schutz zu erhalten.

Laut Christoph Fischer sind die Strukturen der Hacker ähnlich einem Franchise-System. Eine Gruppe der Täter schreibt die Schadsoftware und den Angriffsvektor. Diese Werkzeuge werden dann an andere Täter vermietet, die die Attacken durchführen und die Netzwerke der Unternehmen infiltrieren bzw. erkunden. GandCrab oder REvil sind Beispiele dafür, dass eine Infrastruktur über das Darknet betrieben und vermietet wird. Darüber findet die Kommunikation, Lösegeldzahlungen und die Bereitstellung der Entschlüsselungssoftware dort statt.

Beweise, wer hinter den Hackern steckt, sind immer schwierig zu beschaffen. Es gibt Gerüchte, dass Nordkorea beispielsweise Hackergruppen zur Devisenbeschaffung finanziert. Durch die bestehenden Wirtschaftsembargos wäre das eine der wenigen Möglichkeiten an Geld zu gelangen.

Die USA sind bemüht den Zahlungsverkehr zu unterbinden in diesen Bereichen.

Was ist der Weg des Geldes? Die USA sind hier umtriebig und haben eine Verordnung auf den Weg gebracht, die Lösegeldzahlungen nach Ransomware-Angriffen verhindern soll. Laut Christoph Fischer werden alle Zahlungen an Gruppierungen, die auf einer Embargo-Liste stehen, sanktioniert. So sollen von Cyberattacken betroffene Unternehmen, aber auch Versicherungen und Banken, durch diese Verordnung bestraft werden, wenn sie Lösegeld zahlen. Diese OFAC-Sanktionsliste wird vom Office of Foreign Assets Control (OFAC, Amt zur Kontrolle von Auslandsvermögen) veranlasst. Mit diesem Instrument können Bankkonten eines Unternehmens in den USA eingefroren werden.

Privat- und Unternehmenskunden sollten ihre Geräte schützen und weitere Technologien wie Cloud-Sandboxing einsetzen. Dabei ist es wichtig den einzelnen Nutzer bzw. Mitarbeiter zu entlasten. Hier gilt es beispielsweise den Mail-Verkehr abzusichern, so dass schädliche Mail erst gar nicht in das Postfach des Anwenders gelangen. Bei einem Unternehmen kommt zudem der Schutz insbesondere vor APT-Angriffen hinzu. Hier müssen bereits Anomalien im Netzwerk erkannt werden können. Stichworte sind hier Endpoint Detection and Response (kurz: EDR) oder Extended Detection and Response. Mit diesen Technologien gewinnen Unternehmen ein großes Maß an Sicherheit und können frühzeitig Angriffe unterbinden.

Christoph Fischer vermutet, dass eine Weiterentwicklung stattfinden wird. Kriminelle werden neue Cash-Out Funktionen entwickeln, weil die Lösegeldzahlungen auch durch die Drohungen der USA zurückgehen.

Michael Schröder geht auch davon aus, dass Ransomware Angriffe zunehmen werden und sich die Methodiken verfeinern. Durch die gestohlenen Daten lassen sich Methoden verfeinern und die Ansprache an die potentiellen Opfer viel gezielter durchführen.

Die Experten haben auch ihre Top-Tipps mitgegeben, die Christian Lueg im Serviceteil des Podcasts vorstellt.