Einblicke in Ransomware-Verbreitung

Jedes Jahr veröffentlicht das Federal Bureau of Investigation (FBI) der USA einen Bericht über Internetkriminalität, in dem es seine Erkenntnisse über Trends und Bedrohungen durch Cyberkriminelle auf der Grundlage aller von der amerikanischen Öffentlichkeit an das FBI gemeldeten Cyberstraftaten zusammenfasst. Dieser Jahresbericht bietet interessante Einblicke in die Bedrohungslandschaft, wichtige Trends, Statistiken über die Art der Straftaten, die daraus resultierenden realen Verluste und, was vielleicht am wichtigsten ist, wichtige Einblicke in die Arbeitsweise von Cyberkriminellen, sodass Unternehmen sich besser darauf vorbereiten können, sich vor ihnen zu schützen.

Für 2021 meldete das FBI fünf Hauptbedrohungen:

1. Business Email Compromise (BEC)
2. Confidence Fraud/Romance Scams
3. Kryptowährung
4. Ransomware
5. Betrug beim technischen Support

Von diesen Bedrohungen nimmt nur Ransomware weiter zu. Ransomware-Meldungen nahmen im Vergleich zu 2020 um fast 51 Prozent zu.

Diese Probleme führten zu einem Gesamtschaden von 50 Millionen US-Dollar im Jahr 2021, verglichen mit 30 Millionen US-Dollar im Jahr 2020 – ein Anstieg der Gesamtschäden um 66 Prozent. Im Jahr 2021 waren mehr als 290 Unternehmen von Ransomware-Angriffen betroffen, darunter große Organisationen wie Colonial Pipeline, Accenture, Acer und andere.

Die wichtigsten Ransomware-Angriffsvektoren 2021

Ransomware-Taktiken und -Techniken entwickeln sich ständig weiter, sodass Angreifer ihre Angriffe immer raffinierter gestalten können, was zu einer zunehmenden Ransomware-Bedrohung für Unternehmen auf der ganzen Welt führt. Obwohl Cyberkriminelle eine Vielzahl von Techniken einsetzen, um ihre Opfer mit Ransomware zu infizieren, sind die drei am häufigsten gemeldeten Erstinfektionsvektoren nach wie vor Phishing-E-Mails, die Ausnutzung des Remote Desktop Protocol (RDP) und Software-Schwachstellen.

Die wichtigsten Ransomware-Varianten nutzen Schwachstellen aus

Die Ermittlungen des FBI haben die drei wichtigsten Ransomware-Varianten identifiziert, mit denen die Opfer zu kämpfen hatten: CONTI, LockBit und REvil/Sodinokibi. In der Grafik des FBI Report (siehe oben) ist die Anzahl der für jede Variante gemeldeten Vorfälle aufgeführt.

In dem Bericht heißt es: „Nach den Informationen, die dem Internet Crime Complaint Center (IC3) übermittelt wurden, war CONTI am häufigsten in den Bereichen kritische Fertigung, kommerzielle Einrichtungen sowie Lebensmittel und Landwirtschaft zu finden. LockBit war am häufigsten in den Sektoren Regierungseinrichtungen, Gesundheitswesen/öffentliche Gesundheit und Finanzdienstleistungen aktiv. REvil/Sodinokibi betraf am häufigsten die Sektoren Finanzdienstleistungen, Informationstechnologie und Gesundheitswesen/öffentliche Gesundheit.“

Durch die Zunahme der Fernarbeit aufgrund der Pandemie wurden vier spezifische Infektionsvektoren immer beliebter. Typische Übertragungsmethoden für diese Ransomware-Varianten waren:

• Spear-Phishing – Kampagnen mit maßgeschneiderten E-Mails, die schadhafte Anhänge oder schadhafte Links enthalten
• Remote Desktop Protocol (RDP)-Anmeldeinformationen, die entweder gestohlen oder schwach sind
• Gefälschte Software, die über Suchmaschinenoptimierung beworben wird und Benutzer zur Installation verleitet
• Häufige Schwachstellen, die in externen IT-Ressourcen ausgenutzt werden

Hier sind einige Beispiele für Schwachstellen, die im Jahr 2021 für erfolgreiche Ransomware-Angriffe ausgenutzt wurden:

Conti

• „PrintNightmare“-Schwachstelle (CVE-2021-34527) im Windows-Druckspoolerdienst
• „Zerologon“-Schwachstelle (CVE-2020-1472) in Microsoft Active Directory Domain Controller-Systemen

LockBit

• CVE-2021-22986 ist eine kritische, nicht authentifizierte Sicherheitslücke für die Remotecodeausführung in der iControl REST-Schnittstelle, die BIG-IP- und BIG-IQ-Produkte betrifft. Sie wurde bei dem Angriff von Accenture ausgenutzt.

REvil/Sodinokibi

• Die Sicherheitslücke CVE-2018-8453 wird ausgenutzt, um die Berechtigungen zu erhöhen.

Empfohlene Abwehrmaßnahmen

Aktualisieren des Betriebssystems und der Software: Server, die mit dem Internet verbunden sind, sollten regelmäßig auf bekannte Schwachstellen gepatcht werden, ebenso wie Software, die Internetdaten verarbeitet, z. B. Webbrowser, Browser-Plugins und Dokumentenleser. Software und Betriebssysteme sollten regelmäßig auf die neueste verfügbare Version aktualisiert werden. Höchste Priorität sollte das Patchen von Software und Betriebssystemen mit Versionen haben, die von den Herstellern nicht mehr unterstützt werden.

Durchführen von Mitarbeiterschulungen und Phishing-Übungen: Durch Benutzerschulungen lernen die Mitarbeiter nachweislich, Ransomware-Angriffe durch Phishing und gefälschte Software zu vermeiden.

Remote Desktop Protocol (RDP) sichern und überwachen: Den Zugriff auf Ressourcen über interne Netzwerke beschränken und RDP-Zugriffsprotokolle überwachen. Sicherstellen, dass die Geräte richtig konfiguriert und die Sicherheitsfunktionen aktiviert sind.

Erstellen einer Offline-Sicherung der Daten: Regelmäßig verschlüsselte Offline-Backups durchführen und diese testen. Den Backup-Zeitplan des Unternehmens prüfen und das mögliche Risiko von Backup-Unterbrechungen an Wochenenden und Feiertagen berücksichtigen.

Verwenden sicherer Passwörter: Sicherstellen, dass es eine streng definierte Passwortrichtlinie gibt und dass diese im gesamten Unternehmen befolgt wird.

Verwenden einer Multi-Faktor-Authentifizierung: So weit wie möglich die Multi-Faktor-Authentifizierung (MFA) für alle Dienste anwenden, insbesondere für den Fernzugriff, virtuelle private Netzwerke und Konten, die auf kritische Systeme zugreifen.

Absichern der Netzwerke: Implementieren einer Segmentierung, den Datenverkehr filtern und Ports scannen: Die kritischste Kommunikation sollte auf der sichersten und zuverlässigsten Ebene stattfinden. Den Netzwerkverkehr filtern, um die ein- und ausgehende Kommunikation mit bekannten schadhaften IP-Adressen zu unterbinden. Schadhafte URLs/Websites sollten auf eine schwarze Liste gesetzt werden. Netzwerke regelmäßig auf offene und überwachte Ports scannen und unnötige Ports schließen.

Der FBI-Bericht aus dem Jahr 2021 verdeutlicht, dass die Ausnutzung von Softwareschwachstellen nach wie vor zu den drei Hauptinfektionsvektoren für Ransomware-Vorfälle zählt. Besonders bemerkenswert ist, dass die größten Schwachstellen mit gefälschter Software und/oder Softwareversionen, die vom Hersteller nicht mehr unterstützt werden, ausgenutzt werden.

Umfassende Sichtbarkeit der kritischen Ransomware-Risikoexposition

Einen vollständigen Überblick über das Ransomware-Risiko zu erhalten, ist für Unternehmen eine große Herausforderung. Sie benötigen zur Absicherung gegen Ransomware-Angriffe einen Einblick in nicht autorisierte und nicht mehr unterstützte Software. Wenn Unternehmen eine Liste nicht autorisierter Software vorliegt, dann hilft ihnen diese, gefälschte Software zu identifizieren, die aus unbekannten Quellen installiert wurde.

Eine Lösung für Cybersecurity Asset Management verschafft Unternehmen diesen Überblick und verringert somit Angriffsvektoren. Die Lösung gibt einen umfassenden Einblick in die Schwachstellen, Fehlkonfigurationen und nicht autorisierte Software, die auf allen Assets im Unternehmen installiert ist. Darüber hinaus erhalten Unternehmen einen Überblick über verfügbare Patches und können diese auf den betroffenen Assets installieren.

Kontinuierliche Erkennung und Priorisierung

Der erste Schritt zum Schutz von Assets vor Ransomware besteht darin, einen vollständigen Überblick über alle Assets im Unternehmen zu erhalten und „blinde Flecken“ zu beseitigen. Auch ein Einblick in nicht verwaltete Assets ist grundlegend.

Fehlkonfigurationen spielen bei Ransomware-Angriffen oft eine entscheidende Rolle, da sie dem Angreifer helfen können, Zugang zu den Assets im Unternehmen zu erhalten. Ein Einblick in Ransomware-Fehlkonfigurationen und kritische Kontrollen können den anfänglichen Zugriff der Angreifer und ihre lateralen Bewegungen im Netzwerk einschränken.

Werden entsprechende Ransomware-Richtlinien auf sämtliche Assets im Unternehmen angewendet, dann kann sichergestellt werden, dass alle Assets korrekt konfiguriert sind und die Eintrittsstellen für Ransomware-Angriffe auf einem Minimum gehalten werden.