Kampf gegen Cybercrime: Ist Emotet endlich geschlagen?

Wie Polizei und Gerichtsbehörden diese Woche bekanntgaben,  wurde im Rahmen einer international konzertierten Aktion mit Strafverfolgungsbehörden aus den Niederlanden, der Ukraine, Litauen, Frankreich sowie England, Kanada und den USA die Infrastruktur der Schadsoftware Emotet zerschlagen.

Einige der Cyber-Kriminellen wurden letzte Woche ausser Gefecht gesetzt. Wir
dürfen davon ausgehen, dass es davon noch viele mehr gibt.                Bild PfW

Emotet gibt es seit 2014, und die Malware galt gegenwärtig als die gefährlichste Schadsoftware weltweit. Sie hat weltweit neben den Computern zehntausender Privatpersonen eine hohe Anzahl von IT-Systemen von Unternehmen, Behörden und Institutionen infiziert. In Deutschland waren das zum Beispiel das Klinikum Fürth, das Kammergericht Berlin und die  Stadt Frankfurt am Main. Emotet besass als sogenannter Downloader die Fähigkeit, unbemerkt ein System zu infizieren und weitere Schadsoftware nachzuladen, etwa zur Manipulation des Online-Bankings, zum Ausspähen von gespeicherten Passwörtern oder zur Verschlüsselung des Systems für Erpressungen. Die Nutzung dieses durch die Täter geschaffenen Botnetzes wurde zusammen mit der Nachladefunktion von beliebiger Schadsoftware in der Underground Economy zum Verkauf angeboten:  Das kriminelle Geschäftsmodell von Emotet funktionierte als Malware-as-a-Service.

Im Rahmen des Emotet-Ermittlungsverfahrens wurden zunächst in Deutschland verschiedene Server identifiziert, mit denen die Schadsoftware verteilt und die Opfersysteme mittels verschlüsselter Kommunikation kontrolliert und gesteuert werden. Umfangreiche Analysen der ermittelten Daten führten zu der Identifizierung weiterer Server in mehreren europäischen Staaten. Da sich die Bestandteile  der Emotet-Infrastruktur in mehreren Ländern befinden, wurde der Takedown in enger Kooperation mit den betroffenen internationalen Strafverfolgungsbehörden durchgeführt. Dabei wurden in Deutschland bisher 17 Server beschlagnahmt. Weitere Server wurden in den Niederlanden, in Litauen und in der Ukraine beschlagnahmt.

Durch dieses von Europol und Eurojust koordinierte Vorgehen sei es gelungen, den Zugriff der Täter auf die Emotet-Infrastruktur zu unterbinden. Auch umfangreiche Beweismittel seien gesichert worden, teilen die Behörden mit. Zudem habe man in der Ukraine bei einem der mutmasslichen Betreiber die Kontrolle über die Emotet-Infrastruktur übernommen. Diese Übernahme machte es möglich, die Schadsoftware auf betroffenen deutschen Systemen für die Täter unbrauchbar zu machen.

Emotet stand ganz zuoberst auf der Liste der gefährlichen Schadsoftware. Emotet gibt es nicht mehr – die Liste hingegen schon. Trickbot, Ryuk, Maze und Clop sind die vier Namen, die jetzt an der Spitze stehen. Den Ermittlern wird die Arbeit nicht ausgehen.

Ransomware: Auch private Informationen werden anvisiert

Hier ist ein Tipp, den Führungskräfte im Zusammenhang mit Ransomware-Attacken brauchen können: Speichern Sie keine privaten Informationen auf ihrem Computer, die dazu benutzt werden könnten, Sie zu erpressen. 

Ein privates Geheimnis auf dem Geschäfts-PC kann genauso gestohlen werden, wie ein 
Geschäftsgeheimnis.                                                                                          Bild Pixabay

Die neuste Ransomware-Masche besteht gemäss Medienberichten darin, dass die Hacker private vertrauliche Informationen, die auf den Computern der Top-Führungskräfte gespeichert sind, zu stehlen versuchen. Wenn dann kompromittierende Daten gefunden werden, können sie dazu benutzt werden, im Fall eines Ransomware-Angriffs die Chefs dermassen unter Druck zu setzen, dass sie der Zahlung eines hohen Lösegeldes zustimmen:

“Nicht mehr nur die Informationen des Unternehmens allgemein, sondern auch Ehebruch, Betrug, Rechtsstreitigkeiten und andere Details, die Führungskräfte lieber unter der Decke halten, wird zur Erpressung genutzt…“ (ZDNet)

Wie gehen die Erpresser vor? Ransomware-Banden können natürlich nicht immer erfolgreich proprietäre Daten oder vertrauliche Informationen stehlen.

“Aus diesem Grund hat eine Gruppe, die häufig den Clop-Ransomware-Stamm verwendet hat, bei den jüngsten Einbrüchen gezielt nach Computern gesucht, die von Top-Managern verwendet werden. Die Gruppe durchforstet die Dateien und E-Mails eines Managers und stiehlt Daten, von denen sie glaubt, dass sie nützlich sein könnten, um das Management eines Unternehmens zu bedrohen, in Verlegenheit zu bringen oder unter Druck zu setzen – dieselben Personen, die höchstwahrscheinlich Tage später die Lösegeldforderung genehmigen würden.“ (ZDNet)

Graham Cluley von tripwire.com weiss, dass diese Technik  auch bei Angriffen mit anderen berüchtigten Ransomware-Familien wie Ragnar Locker, Egregor und Maze beobachtet worden ist. Das könne bedeuten, dass jene Leute, die ein Netzwerk hacken und Daten stehlen, andere sind als diejenigen, welche die Ransomware erstellt haben - sie basieren ihren Angriff auf Ransomware as a Service: 

“Die Entwickler der Ransomware vermieten ihren bösartigen Code an weniger technisch versierte Cyberkriminelle, die ihn für ihre Angriffe verwenden oder sogar andere Spezialisten für unbefugtes Eindringen in Netzwerke anheuern, um in das Netzwerk eines Unternehmens einzudringen, sensible Daten zu stehlen und dann so viel Schaden wie möglich anzurichten…"

Das tönt alles sehr unangenehm, und könnte tatsächlich enorme persönliche Folgen für einen Manager nach sich ziehen. Doch die Suppe wird wohl nicht ganz so heiss gegessen, wie es die Erpresser gerne hätten. Gemäss ZDNet relativiert ein Experte die Gefahr. Bill Siegel, der CEO und Mitbegründer der Sicherheitsfirma Coveware weist darauf hin, dass seine Firma “noch nie auf einen Fall gestossen sei, in dem die gestohlenen Daten tatsächlich Beweise für unternehmerisches oder persönliches Fehlverhalten enthielten“. In den meisten Fällen handle es sich nur um eine Panikmache, um die Wahrscheinlichkeit einer Zahlung zu erhöhen. Man dürfe nicht vergessen, dass es sich bei derartigen Erpressern um Kriminelle handle – “um Geld zu machen, schrecken die vor keiner Lüge zurück“.