Ransomware-Verschlüsselung geht schnell – oft sogar blitzschnell!

Die amerikanische Softwarefirma Splunk hat eine Ransomware-Studie veröffentlicht, in der untersucht wurde, wie schnell Ransomware wie Lockbit, REvil und Blackmatter, 100’000 Dateien verschlüsseln kann. Das Resultat zeigt: Wenn ein Ransomware-Angriff in einem Unternehmen im Gang ist, mag es bereits unmöglich sein, die Ausbreitung zu stoppen. 

Die schnellste Ransomware brauchte nur 4 Minuten für 100'000 files. Quelle Splunk

Die Untersuchung ergab, dass eine durchschnittliche Ransomware-Variante fast 100’000 Dateien mit einer Gesamtgrösse von 53,93 GB in zweiundvierzig Minuten und zweiundfünfzig Sekunden verschlüsseln kann. Eine erfolgreiche Ransomware-Infektion kann dazu führen, dass Unternehmen keinen Zugriff mehr auf kritische IP, Mitarbeiterinformationen und Kundendaten haben.  Das Splunk-Team hat die Verschlüsselungsgeschwindigkeit in einer kontrollierten Umgebung aufgrund wissenschaftlicher Grundlagen gemessen. Dabei wurden mit 100 Ransomware-Samples aus 10 populären Varianten fast 100’000 Dateien mit einer Gesamtgrösse von 53 GB auf verschiedenen Windows-Betriebssystemen und Hardware-Spezifikationen verschlüsselt.

 In einem Blogbeitrag erklärt Splunk, dass die Studie einen Bereich untersuche, der bisher nur von Ransomware-Betreibern erforscht worden sei:

«Viele Sicherheitsteams konzentrieren sich auf die Eindämmung von Ransomware und die Reaktion darauf, doch die Verschlüsselungsgeschwindigkeiten, die wir in unserem Bericht entdeckt haben, übersteigen die Möglichkeiten der meisten Unternehmen. Wenn ein Unternehmen von einem Ransomware-Angriff betroffen ist, kann es zu spät sein, um die Ausbreitung zu stoppen, so das Ergebnis der Studie.»

 Insgesamt ergab der Bericht, dass die Verschlüsselungsgeschwindigkeit der einzelnen Ransomware-Samples variierte - von vier Minuten bis zu dreieinhalb Stunden. Weitere Details:

•  LockBit ist schneller als die anderen: LockBit, ein bemerkenswerter Ransomware-as-a-Service (RaaS), war die schnellste Variante, die auf jedem System verschlüsselte, mit einer Geschwindigkeit, die 86 % über dem Mittelwert lag. Das schnellste LockBit-Beispiel verschlüsselte knapp 25.000 Dateien pro Minute.
• Identische Ransomware-Stämme können sich auf verschiedenen Systemen unterscheiden. Verbesserte Hardwarefunktionen ermöglichten den meisten Ransomware-Samples schnellere Verschlüsselungsgeschwindigkeiten, aber einige Samples und Varianten schienen nicht in der Lage zu sein, die Vorteile von Multithreading-Prozessoren zu nutzen. 
• Zusätzlicher Arbeitsspeicher schien keine signifikante Auswirkung auf irgendeine Variante zu haben. Höhere Festplattengeschwindigkeiten könnten eine Rolle bei der schnelleren Ausführung spielen, aber höchstwahrscheinlich in Kombination mit einer Variante, die zusätzliche CPU-Kerne nutzen kann.         

Letztendlich zeige diese Untersuchung, dass Unternehmen sich von der Reaktion und Schadensbegrenzung abwenden und sich auf die Verhinderung von Ransomware-Infektionen konzentrieren müssten, schreiben die Autoren. Sie empfehlen besseres Patching, Bestandsaufnahme von Anlagen, MFA und die Suche nach Ransomware-Akteuren im Netzwerk, bevor diese ihre Ransomware-Binärdateien verteilen. Das White Paper (in Englisch) kann hier heruntergeladen werden.

 

 

Cyberattacken sind die grösste Sorge der Manager

Cyberattacken sind die grösste Sorge für Unternehmen weltweit. Die Bedrohung durch Ransomware-Angriffe, Datenschutzverletzungen oder IT-Ausfälle beunruhigt Unternehmen mehr als Geschäfts- und Lieferkettenunterbrechungen, Naturkatastrophen oder die Pandemie. 

Unternehmensrisiken gibt es viele, aber für die meisten Manager steht das Risko einer
Cyberattacke zuoberst auf der Sorgenliste.          Bild pixabay

Die Furcht der Unternehmen, selbst Opfer einer Cyberattacke zu werden, steigt. Das zeigt das Allianz Risk Barometer, eine Versicherungsstudie, für die weltweit rund 2'700 Experten in 89 Ländern und Territorien befragt wurden. Cybervorfälle werden für Unternehmen als Top-Risiko gewertet. Generelle Betriebsunterbrechungen belegen weltweit den zweiten Rang, während Naturkatastrophen auf den dritten Rang vorgestossen sind. Pandemien und ihre Auswirkungen kommen erst auf dem vierten Rang, was die Einstufung als Geschäftsrisiko anbelangt.

Nicht nur international, sondern auch schweizerisch dominieren Cyber-Vorfälle und Betriebsunterbrechung das Ranking. Das liegt vor allem an der Zunahme von Ransomware-Angriffen., die von den Umfrageteilnehmern als die grösste Gefahr für das kommende Jahr bewertet wurden. Die jüngsten Angriffe zeigen besorgniserregende Trends, wie doppelte Erpressungstaktiken, bei denen die Verschlüsselung von Systemen mit Datendiebstahl kombiniert wird; die Ausnutzung von Softwareschwachstellen, die potenziell Tausende von Unternehmen betreffen (Log4J, Kaseya); oder Angriffe auf kritische physische Infrastrukturen (die Colonial-Pipeline in den USA). 

Aber auch Betriebsunterbrüche bleiben für Unternehmen ein grosses Risiko. In einem Jahr, das von weit verbreiteten Unterbrechungen geprägt war, ist das Ausmass der Schwachstellen in modernen Lieferketten und Produktionsnetzen offensichtlicher denn je. Neben Cybervorfällen sind auch die Auswirkungen der zunehmenden Abhängigkeit der Unternehmen von der Digitalisierung und die Verlagerung der Arbeit ins Homeoffice wichtige Ursachen. 

Der Ausbruch einer Pandemie ist für die Unternehmen nach wie vor eine grosse Sorge, fällt aber weltweit vom zweiten auf den vierten Platz zurück. In der Schweiz rangiert die Gefahr nur noch auf Rang 6 (wobei die Umfrage vor dem Auftreten der Omikron-Variante durchgeführt wurde). Die meisten befragten Unternehmen sind der Ansicht, dass sie angemessen oder gut auf eine künftige Pandemiewelle vorbereitet sind. Um dies zu erreichen, gilt die Verbesserung des Business Continuity Managements als wichtigste Massnahme. 

Media-Markt-Erpressung: Das wird so richtig teuer werden

Die Ransomware heisst Hive, und der Angriff auf den europäischen Elektronikhändler Media-Markt und Saturn begann am Sonntagabend. Dabei wurden angeblich verschiedene wichtige Dienste  des Einzelhändlers verschlüsselt und blockiert. Der Online-Verkauf ist den Berichten zufolge nicht beeinträchtigt.

Gemäss ersten Medienberichten verlangten die Kriminellen 240 Millionen Dollar (!) für die Freigabe der verschlüsselten Daten. Berichten zufolge wurde diese masslose Forderung schnell reduziert und liegt jetzt bei 50 Millionen Dollar (in Bitcoin), nachdem Media-Markt Verhandlungen mit den Angreifern aufgenommen hat.

“Die Ransomware-Attacke auf Media-Markt und Saturn ist ein derber Schlag für die beiden Tech-Märkte, die zum Ceconomy-Konzern gehören und die gleichen Backend-Systeme verwenden. Ca. 3100 Server wurden verschlüsselt – und vor Weihnachten zählt jede Stunde bei der Widerherstellung der Systeme, damit die Kernzeit der Weihnachtseinkäufe für diese Konsumriesen nicht zu der eigentlichen Finanzkatastrophe wird [...]Jetzt geht es um Zeit. Wie schnell können alle Systeme wiederhergestellt werden, damit das Geschäft wieder läuft?  Möglicherweise sind auch alle Active Directory Server (Domain Controller) betroffen und verschlüsselt.  Wie kann man Active Directory wiederherstellen, wenn das passiert – wenn alle Server nicht mehr laufen?  Zu wenige Unternehmen stellen sich diese Frage bevor etwas passiert. Fakt ist: Wenn die Active Directory Server nicht mehr laufen, läuft gar nichts mehr – sie sind die Grundlage für das Anmelden aller anderen Systeme in der Infrastruktur – inklusive der Kassensysteme und sonstigen Servern, die für die Abwicklung des eigentlichen Geschäfts notwendig sind.“ (ZDNet)

Bereits im August 2021 hatte das FBI vor Hive gewarnt. Die Kriminellen würden nach Prozessen für Backups, Dateikopien und Sicherheitslösungen suchen. Dabei würden Dateien wie "hive.bat" und "shadow.bat" abgelegt.

Für Mediamarkt werden die nächsten Wochen aufreibend und kostspielig werden. Es ist bekannt, dass die Datenwiederherstellung in vielen Fällen sehr teuer werden kann – auch oder gerade wenn Lösegeld bezahlt wird.

Einen kleinen Lichtblick am Horizont gibt es immerhin:  Gerade eben haben
Behörden aus 17 Ländern die Resultate einer monatelange Ermittlung gegen eine Cybererpressergruppe bekanntgegeben. Bei Razzien haben Ermittler in Rumänien, Polen, den USA und Südkorea sieben Cybererpresser festgenommen. Sie beschlagnahmten ausserdem 6,1 Million Dollar Lösegeld.

Ransomware: Mit Gesetzen gegen die Zahlung von Erpressergeld

Amerikanische Politiker schlagen vor, dass Unternehmen, die nach Ransomware-Attacken Erpressergeld bezahlen, damit sie ihre Daten wieder nutzen können, die Behörden genau über derartige Zahlungen informieren müssen. Ein derartiges Gesetzt müsste von beiden Häusern des amerikanischen Kongresses angenommen werden.

Ransomware-Attacken: Wie wirksam können Gesetze sein?        Bild Pixabay

Der vorgeschlagene "Ransom Disclosure Act" schlägt vor, dass Unternehmen, die Opfer von Ransomware-Angriffen werden und dann tatsächlich Lösegeld zahlen, detaillierte Informationen über die Zahlung liefern. Zum Beispiel: die Höhe des geforderten und gezahlten Lösegelds, die Art der Währung, in der das Lösegeld gezahlt wurde - üblicherweise in Bitcoin - und alle ihnen bekannten Informationen über die Angreifer, die das Lösegeld fordern. Die Informationen müssten vor Ablauf von 48 Stunden nach der Zahlung an das Department of Homeland Security (DHS) geliefert werden.

"Ransomware-Angriffe nehmen explosionsartig zu, doch uns fehlen wichtige Daten, um gegen Cyberkriminelle vorzugehen", sagte Senatorin Elisabeth Warren, eine der Initiantinnen. "Unser Gesetzesentwurf ermöglicht es herauszufinden, wie viel Geld Cyber-Kriminelle von amerikanischen Unternehmen erpressen, um kriminelle Unternehmen zu finanzieren - und das wiederum würde uns dabei unterstützen, sie zu verfolgen." Ransomware-Angriffe werden von Jahr zu Jahr häufiger und bedrohen die Sicherheit, die Wirtschaft sowie kritische Infrastrukturen. Da die Opfer nicht verpflichtet sind, Angriffe oder Zahlungen an die Behörden zu melden, fehlen die entscheidenden Daten, um gegen diese Angriffe vorzugehen.

Der Anstoss für den neuen Gesetzesvorschlag in den USA kam von den Strafverfolgungsbehörden. Diese gehen davon aus, dass nur etwa ein Viertel aller Ransomware-Angriffe gemeldet werden.

Tatsächlich gibt es (nicht nur in den USA sondern auch in Europa) Vorschläge, die Zahlung von Lösegeld im Falle von Ransomware-Attacken illegal zu machen, um den Kriminellen die Motivation für ihre Angriffe zu nehmen. Ein solches Vorgehen ist allerdings sehr umstritten. Experten gehen davon aus, dass die Wahrscheinlichkeit für die Offenlegung von Angriffen dann noch viel kleiner würde, als sie jetzt schon ist.

Erpressen lohnt sich, Bezahlen nicht immer

Comparis, das Schweizer Vergleichsportal untersucht Daten, Produkte und Preise. Nun hat Comparis im Zusammenhang mit einer Ransomware-Attacke auf das Unternehmen, einen weiteren Beweis geliefert: Erpressung lohnt sich.

Ransomware ist zu einer Plage geworden, die sich immer weiter ausbreitet.

                                                                                                                               Bild pixabay

Verschiedene Medienberichte holten sich die Bestätigung von Comparis: Nach der Cyberattacke von Anfang Juli war also doch Lösegeld geflossen. Zwar gab das Unternehmen nicht bekannt, wieviel Geld es den Erpressern bezahlt hat, verschiedene Medien nannten aber die Summe von 400‘000 US-Dollar – was wiederum eine vergleichsweise kleine Summe wäre. 
Comparis war am Morgen des 7. Juli Opfer einer Cyberattacke geworden. Kriminelle Hacker blockierten IT-Systeme, darunter auch die Webseite des Vergleichsdienstes. Für die Entschlüsselung der Daten verlangten die Angreifer Lösegeld. 
Die Zürcher Kantonspolizei teilte damals mit, dass die Täterschaft wahrscheinlich auch Zugang zu kundenbezogenen Daten der Comparis-Gruppe hatte. Bei diesen Daten handelte es sich demnach unter anderem um Email-Adressen der Nutzer.
Comparis hielt seinerzeit fest, man habe kein Lösegeld bezahlt. Nun tönt es allerdings anders. Man habe eine Einigung mit den Erpressern gefunden, liess Comparis in einer Stellungnahme gegenüber der Wirtschaftsagentur AWP verlauten. Zwar habe man den grössten Teil der Systeme selber wiederherstellen können. Durch die Einigung habe man aber einige “operativ essenzielle Dateien“ entschlüsseln können, die sonst nur mit grossem Aufwand und Zeit hätten wiederhergestellt werden können. Mit anderen Worten: Erpressergeld zahlen war die einfachere Lösung.

Wie eine Studie des Sicherheitsunternehmens Kaspersky zeigt, ist Comparis in guter Gesellschaft:
Mehr als die Hälfte der Opfer von Ransomware habe im vergangenen Jahr Lösegeld gezahlt, um den Zugriff auf ihre Daten wiederherzustellen. Unabhängig davon, ob sie bezahlt haben oder nicht, konnten aber nur gerade 29  Prozent der Opfer alle verschlüsselten oder gesperrten Dateien wiederherstellen. Die Hälfte verlor Daten: 32 Prozent eine beträchtliche Menge, 18 Prozent eine geringe Anzahl von Dateien. Bei 13 Prozent der Opfer gingen fast alle Daten verloren.

Der grösste Ransomware-Angriff – bis der nächste kommt

Zwar wissen wir noch nicht genau, wie viele Unternehmen Lösegeld zahlen sollen, um ihre Systeme wieder zum Laufen zu bringen. Aber einige Cybersecurity-Experten glauben, dass der Angriff auf Kunden des amerikanischen Softwareanbieters Kaseya einer der grössten Ransomware-Angriffe aller Zeiten war.

Über den Software-Provider Kaseya in die Computer der Opfer - Ransomware breitet sich schnell aus.
                                                                                                                              Screengrab Kaseya.com

Das erpresserische Geschäft der Hacker mit Ransomware läuft nun schon seit Jahren – und es läuft gut. Irgendwie scheint es aber für die Regierungen und Unternehmen der Welt nicht besonders dringlich zu sein, den Kriminellen das Handwerk zu legen. Grosse Worte hört man immer wieder, auch diesmal aus dem Biden Weissen Haus in Washington. Doch dann legt sich die Aufregung üblicherweise schnell wieder. Bis zum nächsten Angriff. Vielleicht hat das damit zu tun, dass sowohl mit Cybercrime-Versicherungen wie auch mit Kryptowährung sehr, sehr viel Geld verdient wird. Beides sind Bestandteile von Ransomware-Angriffen, ohne die solche nicht funktionieren würden.

 Cybersecurity-Experten sagen, dass die REvil-Gang, ein Ransomware-Syndikat, hinter dem Angriff auf das Softwareunternehmen Kaseya steckt. Laut Cybersecurity-Firma ESET gibt es Opfer in mindestens 17 Ländern, darunter Großbritannien, Südafrika, Kanada, Argentinien, Mexiko, Kenia und Deutschland. In Schweden konnten hunderte Filialen der Lebensmittelkette Coop nicht öffnen, weil ihre Kassen nicht funktionierten. Auch die schwedische Staatsbahn war betroffen.

Kaseya ist ein Unternehmen, das Software-Tools für IT-Outsourcing-Firmen bereitstellt. Eines dieser Tools ermöglichte es den Hackern, Hunderte von Unternehmen auf allen fünf Kontinenten lahmzulegen.

CEO Fred Voccola hat sich in einem Interview zum Angriff geäussert. Eine seiner Schlussfolgerungen: Die Hacker müssten sich eigentlich nicht mal davor fürchten, dass sie erwischt werden – dank anonymer Kryptowährungen.

Nicht alle Anwender werden aus Schaden klug

Internet-Kriminalität ist nicht nur eine Phantomgefahr, wie es vielen Usern erscheinen mag, die bis jetzt noch nie geschädigt wurden. Eine Umfrage in Deutschland zeigt, dass ein Viertel der Deutschen bereits Opfer von Kriminalität im Internet geworden sind. Trotzdem geben viele der Betroffenen an, dass sie sich nach einer derartigen negativen Erfahrung nicht besser schützen, als vorher.

Cybercrime ist zu einem gesellschaftlichen Problem geworden, das immense
Schäden anrichtet.                                                                        Bild Pixabay
 

Die Zahlen kommen vom Digitalbarometer 2020 des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes. Sie zeigen, dass rund zwei Drittel der Betroffenen User durch Internetkriminalität einen Schaden erlitten haben, ein Drittel davon einen finanziellen Schaden. Die höchste angegebene Schadenssumme lag bei 50‘000 Euro. Aber auch emotionale Schäden, zum Beispiel durch Cybermobbing, einen Verlust von Daten oder einen zeitlichen Schaden durch das aufwendige Wiederherstellen von Daten wurden genannt. Vier Prozent der Befragte User sind wiederholt Opfer von Cyber-Kriminalität geworden.Positiv sei immerhin, dass sich 35 Prozent der Betroffenen nach einer Straftat an die Polizei gewandt haben, heisst es in der Studie.

“Jeder Zehnte gibt an, sich ohne Schutzmassnahmen im Internet zu bewegen. Das ist wie Autofahren ohne Anschnallen oder Bahn fahren ohne Maske. Andere sichern sich bereits ab, vernachlässigen aber effiziente Massnahmen wie automatische Updates. Laut Umfrage nutzt diese Option bewusst nur jeder Vierte, obwohl diese Massnahme am besten und am schnellsten Sicherheitslücken schliessen kann." (BSI-Präsident Arne Schönbohm)

 Wer Sicherheitsempfehlungen direkt umsetzt, wird seltener Opfer von Kriminalität im Internet. So geben Befragte, die bisher gar nicht oder nur einmalig Opfer wurden, häufiger an, dass sie solche Empfehlungen direkt umzusetzen. Hingegen setzen ein Drittel der Menschen, die schon mehrfach Opfer waren, Sicherheitsempfehlungen erst im Problemfall um – auch wenn sie diese gekannt hätten.
Die Sicherheitsumfrage des BSI koinzidiert mit der Veröffentlichung des Bundelagebildes Cybercrime des deutschen Bundeskriminalamtes. Dort wird die Schlussfolgerung gezogen, dass Ransomware die grösste Bedrohung für Unternehmen und Staat darstelle. Die Professionalität von Cyberkriminellen nehme laufend zu:

“ Sie arbeiten inzwischen mit Spezialgebieten und bieten Outsourcing von Angriffen, "Cybercrime-as-a-Service". Dies bedinge "eine hohe Arbeitsteilung zwischen den Tatbeteiligten und eine Spezialisierung Einzelner auf ausgewählte relevante Tatteilbeiträge". Foren und Jabber-Server dienen dabei als "Branchenbücher" zwischen Anbietern und Interessenten, die sich in einem hochlukrativen Markt bewegen. Und die kriminellen IT-Fachkräfte entwickeln ihre Tools auch weiter. Über 1 Milliarde Malware-Familien habe man gezählt.Nach aktuellem Stand gelten als am häufigsten vorkommende Malware-Familien: Emotet, Dridex, Ryuk, Trickbot und Maze…“ (inside-it.ch)

Ransomware: Homeoffice öffnet Tür und Tor

Die News sprechen eine deutliche Sprache: Ransomware-Attacken passieren immer häufiger und scheinen zu oft mit einer Zahlung von Lösegeld zu enden. Allein letzte Woche wurden eine grosse nordamerikanische Kurierfirma, ein amerikanischer Schnapsbrenner (Jack Daniel’s), der grösste Kreuzfahrtveranstalter der Welt Carnival und der Technologie-Gigant Konica-Minolta Opfer von Ransomware-Attacken. Die Sicherheitsfirma Coveware stellt fest, dass  auch die Höhe der Zahlungen an die Erpresser seit dem ersten Quartal um 60 Prozent angestiegen ist.

Die Höhe der Zahlungen an Erpresser ist in den letzten Jahren
stetig angestiegen, wie Coveware im Ransomware Marketplace Report
belegt.                                                                    Screengrab coveware.com

Das Perfide daran:  Der Anstieg der Attacken und deren Erfolgsquote hängen direkt damit zusammen, dass in der Coronakrise ein grosser Prozentsatz von Mitarbeitern von Zuhause aus arbeiten. Diese Mitarbeiter benutzen unter anderem RDP. Einem McAfee-Bericht zufolge stieg die Zahl der RDP-Ports, die ungeschützt vom Internet aus angegangen werden können, von etwa 3 Millionen im Januar 2020 auf mehr als 4,5 Millionen nach Beginn der Covid-19-Pandemie.

RDP ist ein von Microsoft entwickeltes Netzwerkkommunikationsprotokoll. Es ist für die meisten Windows-Betriebssysteme verfügbar und bietet eine grafische Schnittstelle, über die Benutzer eine Fernverbindung zu einem Server oder einem anderen Computer herstellen können. RDP überträgt die Anzeige des Remote-Servers an den Client und die Eingabe von Peripheriegeräten (wie Tastatur und Maus) vom Client zum Remote-Server und ermöglicht es den Benutzern, einen Remote-Computer so zu steuern, als ob sie ihn vor Ort bedienen würden. RDP wird im Allgemeinen als ein sicheres Tool angesehen. Ernsthafte Probleme können aber auftreten, wenn RDP-Ports für das Internet offen gelassen werden, da plötzlich auch Kriminelle versuchen können, eine Verbindung zum Remote-Server herzustellen. Wenn die Verbindung erfolgreich ist, erhält der Angreifer Zugriff auf den Server.

Dies ist zwar keine neue Bedrohung, aber die globale Verlagerung hin zum Remote-Arbeiten hat die Tatsache unterstrichen, dass viele Organisationen RDP nicht ausreichend absichern. Einem Kaspersky-Bericht zufolge gab es Anfang März 2020 allein in den USA täglich etwa 200‘000 RDP-Angriffe. Bis Mitte April war diese Zahl auf fast 1,3 Millionen angestiegen. Heute gelte RDP als grösstes Einfallstor für Ransomware, erklärte das Cyber-Sicherheitsunternehmen Emsisoft im vergangenen Monat im Rahmen eines Leitfadens zur Sicherung von RDP-Endpunkten gegen Lösegeld-Banden. (emisoft.com)
RDP ist nicht das einzige Risiko, wenn es um den Fernzugriff auf IT geht:

“Im Jahr 2020 ist aber auch ein weiterer wichtiger Vektor für das Eindringen von Kriminellen in Unternehmensnetzwerke aufgekommen, nämlich die Nutzung von Virtual Private Networks (VPN) Appliances und anderen ähnlichen Netzwerkgeräten. Seit dem Sommer 2019 wurden mehrere schwerwiegende Schwachstellen in VPN-Appliances der wichtigsten Anbieter aufgedeckt, darunter Pulse Secure, Palo Alto Networks, Fortinet, Citrix, Secureworks und F5. Sobald Proof-of-Concept-Angriffscode für eine dieser Schwachstellen öffentlich wurde, begannen Hacker-Gruppen die Fehler auszunutzen, um Zugang zu Unternehmensnetzwerken zu erhalten. Was die Hacker mit diesem Zugang taten, variierte je nach Spezialisierung der einzelnen Gruppen. Einige Gruppen betrieben Cyber-Spionage auf nationaler Ebene, einige Gruppen waren in Finanzkriminalität und IP-Diebstahl verwickelt, während andere Gruppen den Ansatz der RDP Shops verfolgten und den Zugang an andere Banden weiterverkauften.” (ZDNet)

Umfrage zeigt: Lösegeld zahlen lohnt sich nicht

Ransomware-Angriffe sorgen regelmässig für Schlagzeilen, und die Folgen können für ein unvorbereitetes Unternehmen sehr teuer werden. Die britische IT-Sicherheitsfirma Sophos hat jetzt eine Umfrage unter 5000 IT-Managern durchgeführt, um herauszufinden, was Ransomware-Angriffe in einer Firma bewirken können und tatsächlich bewirkt haben.

Es lohnt sich, Firmendaten zu sichern, damit sie im Notfall wiederhergestellt
werden können.                                                         Bild Wikimedia commons

 Die Ergebnisse der Umfrage  sind teilweise überraschend: Fast drei Viertel der Lösegeld-Angriffe führten dazu, dass die betroffenen Daten tatsächlich verschlüsselt wurden. Von den befragten Unternehmen waren 51 Prozent im letzten Jahr mit Lösegeldforderungen konfrontiert worden. Bei rund drei Viertel dieser Angriffe gelang es den Kriminellen denn auch, die Daten zu verschlüsseln.

26 Prozent der Organisationen, deren Daten verschlüsselt wurden, erhielten ihre Daten durch Zahlung des Lösegelds zurück. 95 Prozent der Organisationen, die das Lösegeld zahlten, konnten ihre Daten wieder herstellen. Insgesamt gelang es 94 Prozent der Organisationen, deren Daten verschlüsselt wurden, diese wieder herzustellen. Mehr als doppelt so viele erhielten sie aber über ihre Backups zurück, als durch die Zahlung des Lösegelds.

Die Zahlung des Lösegelds verdoppelt die Kosten eines Lösegeldangriffs. Sophos gibt an, dass sich die  durchschnittlichen Kosten für die Behebung der Auswirkungen eines Lösegeldangriffs - unter Berücksichtigung von Ausfallzeiten, Personalzeit, Gerätekosten, Netzwerkkosten, entgangenen Gelegenheiten und gezahltem Lösegeld - auf rund 730‘000 US-Dollar für Organisationen, die das Lösegeld nicht zahlen und auf rund 1‘450‘000 US-Dollar für Organisationen, die es zahlen, belaufen.

Im Übrigen haben 84 Prozent der befragten Organisationen zwar eine Cybersicherheitsversicherung, aber nur 64 Prozent haben eine Versicherung, die auch Lösegeldforderungen abdeckt. Bei den Organisationen, die eine Lösegeld-Versicherung haben, ist es in 94 Prozent der Fälle, in denen das Lösegeld bezahlt wird, die Versicherungsgesellschaft, die zahlt.

59 Prozent der Angriffe, bei denen Daten verschlüsselt wurden, betrafen Daten in der öffentlichen Cloud. Es ist  wahrscheinlich, dass die Befragten den Begriff der öffentlichen Cloud weit auslegten, und auch Cloud-basierte Dienste wie Google Drive und Dropbox dazu zählen. Trotzdem ist klar: Cyberkriminelle zielen auf Daten ab, wo immer sie gespeichert sind, und die Daten zeigen, dass auch hier Vorsicht besser (und günstiger) ist als Nachsicht.

Detaillierte Informationen zu dieser Umfrage können Sie hier kostenfrei abrufen (pdf, englisch).

Cyberkriminalität: Werden Unternehmen erst aus Schaden klug?

Computerkriminalität trifft immer mehr Unternehmen. Trotzdem herrscht in vielen Unternehmen die Ansicht, dass das Risiko für andere Firmen deutlich höher sei, als für die eigene Organisation. Dies dürfte ein entscheidender Grund dafür sein, dass die Bereitschaft, in die Prävention zu investieren, nach wie vor gering ist.

In vielen Unternehmen glaubt man nicht so recht daran, dass man zum Ziel
eines Cyberangriffs werden könnte - obwohl die Statistiken eine andere
Sprache sprechen.                                                                        Bild maxpixel

Vier von zehn Unternehmen geben in einer deutschen KPMG-Studie an, dass sie in den letzten zwei Jahren von Cybercrime betroffen worden seien. Die Resultate zeigen unter anderem, dass 85 Prozent der von Computerkriminalität betroffenen Unternehmen die Täter lediglich der Kategorie “unbekannt extern“ zuordnen können. Sie sind nicht in der Lage, Angriffe effektiv zu verfolgen und aufzuklären - was die Erfolgsquote der Angreifer verbessert.

Eines der gefährlich verbreiteten Angriffsszenarien sind Ransomware-Angriffe, auch als Verschlüsselungs-Trojaner bekannt. Bei der letzten KPMG-Umfrage im Jahr 2017 kannte erst knapp die Hälfte(!) der Unternehmen diese Art von Computerkriminalität, inzwischen ist Ransomware immerhin fast allen Befragten ein Begriff. Das kommt nicht von ungefähr: Ein Drittel aller befragten Unternehmen wurde schon mit Ransomware konfrontiert. Weitere 28 Prozent konnten Angriffe abwehren, bevor diese zum Erfolg führten. Insbesondere bei grossen Unternehmen zeigt sich im Vergleich zur Vorgängerstudie ein deutlicher Anstieg bei der Zahl der Attacken. So hat sich der Anteil der Betroffenen verdoppelt – der diesjährigen Befragung zufolge war dies bei etwa jedem dritten grossen Unternehmen der Fall und auch jedes dritte KMU war betroffen.

Ernüchternd ist die Tatsache, dass es bei mehr als einem Viertel aller von Ransomware betroffenen Unternehmen infolge einer Attacke zu einem Betriebsausfall kam. Dieser dauerte durchschnittlich 39,8 Stunden, bei jedem fünften Unternehmen dauerte es mehr als zwei Tage, bis der Betrieb wieder aufgenommen werden konnte.

Nach wie vor werden 37 Prozent der Cyberangriffe rein zufällig aufgedeckt. Es gilt also für Unternehmen, die Zufallsabhängigkeit durch effektive und angemessene Präventionsmassnahmen zu minimieren. Daher müssten insbesondere grundlegende Vorkehrungen im Umgang mit Computerkriminalität, wie beispielsweise die Schulung der Mitarbeiter, getroffen werden. Nach wie vor fehlt es vielen Mitarbeitern an Verständnis für komplexe Technologien, um Verdachtsfälle effizient zu beurteilen. Zudem ist es für zwei Drittel der Unternehmen eine massive Herausforderung, kompetente Mitarbeiter zu rekrutieren oder entsprechend weiterzubilden.

Darüber hinaus ist die Investitionsbereitschaft der Unternehmen im Bereich der Prävention nach wie vor verhältnismässig gering. Knapp 20 Prozent der befragten Unternehmen investieren weniger als 10‘000 Euro im Jahr, um vorbeugend gegen Cybercrime vorzugehen, weitere 28 Prozent zwischen 10‘000 und 50‘000 Euro und nur jedes vierte Unternehmen mehr als 50‘000 Euro.

Immerhin geben mehr als zwei Drittel der Befragten an, dass sie nach einem Vorfall ihre präventiven Massnahmen angepasst hätten. “Aus Schaden wird man klug“, scheint auch zu gelten, wenn es um Cyberkriminalität geht.

Kriminelle Hacker und Erpresser machen keine Sommerpause...

... das mussten letzte Woche auch verschiedene Schweizer Unternehmen feststellen. Wie die Melde- und Analysestelle Informationssicherung MELANI des Bundes dieser Tage mitteilte, wurden verschiedene Firmen Ziel von Angriffen, mit denen unbekannte Angreifer Unternehmensnetzwerke erfolgreich infiltrierten und deren Daten verschlüsselten um sie zu erpressen.

Vorbeugen ist besser als heilen - das gilt auch für Hackerangriffe und Ransom-
ware.                                                                                            Bild Max Pixel

Eine der betroffenen Firmen ist der Bankensoftware-Anbieter Crealogix, der letzten Freitag Opfer einer Phishing-Attacke geworden ist. Die damit eingeschleuste Malware habe "gewisse interne Windows-Arbeitsplätze" lahmgelegt, wie Mediensprecherin Jasmin Epp gegenüber inside-it.ch bestätigte. Kunden von Crealogix, RZ-Dienstleistungen oder der Quellcode der hauseigenen Software seien nicht betroffen gewesen, und man habe den Angriff schnell unter Kontrolle gebracht.

(Wir haben an dieser Stelle kürzlich unter dem Titel  Geld aus der Firmenkasse für kriminelle Erpresser“ zu diesem Thema und zur Frage berichtet, ob auf solche Erpressungsversuche eingegangen werden soll.) 

MELANI hat seit 2016 regelmässig vor der Gefahr von Verschlüsselungstrojanern oder Ransomware gewarnt.  Seit Anfang Juli seien nun aber vermehrt Cyber-Angriffe vermeldet worden, bei denen die Angreifer eine neue Vorgehensweise gewählt haben. Dabei werden Schweizer Unternehmen gezielt mittels schädlichen E-Mails angegriffen. Laut MELANI sind folgende Angriffszenarien bekannt:

• Angreifer versenden gezielt schädliche E-Mails an Schweizer Unternehmen, um diese mit Ransomware zu infizieren. Diese beinhalten in der Regel einen Link auf eine bösartige Webseite oder einen schädlichen Dateianhang.
• In einschlägigen Internet-Foren werden Zugänge zu infizierten Computern in Schweizer Unternehmen zum Verkauf angeboten. Diese sind in der Regel mit „Emotet“, „TrickBot“ oder vereinzelt auch „Qbot“ infiziert. Kriminelle Gruppierungen „kaufen“ die infizierten Computer, um das Netzwerk des Opfers grossflächig zu infiltrieren.
• Angreifer scannen das Internet nach offenen VPN- und Terminal-Servern ab und versuchen mittels Brute-Forcing-Angriffen Zugriff auf diese zu erhalten.
• Bei allen genannten Vorgehensweisen verwenden die Angreifer weitere Angriffswerkzeuge wie zum Beispiel „Cobalt Strike“ oder „Metasploit“, um an die nötigen Zugriffsrechte des Unternehmens zu kommen. Ist dies erfolgreich, wird eine Ransomware  auf den Systemen platziert, die dann die Daten vollständig verschlüsselt.

Aufgrund der aktuellen Gefahrenlage warnt MELANI Schweizer Unternehmen nun erneut eindringlich vor Ransomware und empfiehlt dringend, folgende Massnahmen schnellstmöglich umzusetzen: 

• Erstellen Sie regelmässig Sicherungskopien (Backups) Ihrer Daten zum Beispiel auf einer externen Festplatte. Stellen Sie jeweils sicher, dass Sie das Medium, auf welchem Sie die Sicherungskopie erstellen, nach dem Backup-Vorgang vom Computer oder Netzwerk physisch trennen. Ansonsten besteht die Gefahr, dass die Angreifer auch auf die Daten des Backups Zugriff erhalten und verschlüsseln oder löschen können.
• Bei Cloud-basierten Backup-Lösungen sollten Sie sicherstellen, dass diese für eine Ransomware nicht zugreifbar sind, indem man für kritische Operationen beispielsweise eine Zweifaktor-Authentifizierung verlangt.
• Prüfen Sie die Qualität der Backups und üben Sie das Einspielen von Backups, damit Sie im Notfall keine unnötige Zeit verlieren.
• Sowohl Betriebssysteme als auch alle auf den Computern oder Servern installierte müssen konsequent und unverzüglich auf den neuesten Stand gebracht werden. Schützen Sie auch alle vom Internet erreichbaren Ressourcen (insbesondere Terminal-Server, RAS- und VPN-Zugänge) mit einem zweiten Faktor. Stellen sie Terminal-Server hinter ein VPN-Portal.
• Blockieren Sie den Empfang von gefährlichen E-Mail-Anhängen auf Ihrem E-Mail-Gateway. Dazu zählen auch Office-Dokumente mit Makros. Eine Liste von zu sperrenden Dateianhängen finden Sie hier.

Geld aus der Firmenkasse für kriminelle Erpresser?

Man sollte Kriminelle im Allgemeinen und Erpresser im Besonderen nicht bezahlen, weil das deren Geschäft nur weiter ankurbelt. Diese Regel ist nicht immer einfach zu befolgen, wenn es um Ransomware-Attacken geht. Manchmal ist die Zahlung eines Lösegelds das beste Mittel, um eine Organisation am Laufen zu halten.

Ransomware: Gute Vorbereitung ist entscheidend.                          Bild Pixabay

Diese These wurde kürzlich in einem aktuellen Forschungsbericht von Forrester Research dargelegt. Die Zahlung von Lösegeldern für erpresserische Forderungen, die durch Ransomware ausgelöst wurden, sei durchaus eine praktikable Option. Manager sollten bei der Entscheidungsfindung genauso vorgehen, wie bei anderen
Geschäftsentscheidungen, schreiben die Autoren. Tatsächlich gibt es immer mehr Organisationen, die genau diesen Weg gehen; zwei aktuelle Fälle sind die Städte Lake City und Riviera City in Florida. Ransomware gibt es aber nicht nur in den USA; auch in der Schweiz passieren derartige Angriffe. Allerdings empfehlen die Behörden, nicht auf solche Forderungen einzugehen, wie die NZZ berichtet:

“Offiziell rät die Melde- und Analysestelle Informationssicherung (Melani) des Bundes dringend davon ab, Lösegeld zu bezahlen. Damit unterstütze man nicht nur Kriminelle und ermögliche es diesen, ihre Infrastruktur auszubauen und weitere Opfer zu erpressen. Es gebe darüber hinaus keine Garantie dafür, dass die Angreifer wie versprochen die Schlüssel für die Dekodierung der Dateien lieferten. Aus der Perspektive der Allgemeinheit mag diese Mahnung überzeugen. Gingen die Urheber der Schadsoftware stets leer aus, lohnte sich deren Mühe nicht mehr. Damit verschwänden zumindest jene Angreifer von der Bildfläche, die von finanziellen Motiven getrieben sind. Doch für betroffene Firmen hat das eigene Wohl Vorrang, nicht Generalprävention. Sind die Dateien einmal blockiert, kann sich eine «Investition» in eine Lösegeldzahlung durchaus lohnen. Denn die Verschlüsselung lässt sich – wenn überhaupt – oftmals nur mit beträchtlichem Aufwand knacken. Im Vergleich dazu kann die als Lösegeld geforderte Summe gering erscheinen…“

Auch die Experten bei Forrester vertreten die Meinung, dass sich das Zahlen von Lösegeld lohnen kann. Schliesslich könne es sehr teuer werden, wenn Ransomware die Aktivitäten eines Unternehmens für Tage oder gar Wochen blockiert. So schreiben die  Forrester-Analysten Josh Zelonis und Trevor Lyness in ihrem Forschungsbericht:

“Wir empfehlen, dass Sie, selbst wenn Sie das Lösegeld nicht bezahlen, es zumindest als eine praktikable Option betrachten sollten. Der durchschnittliche Ransomware-Angriff dauert 7,3 Tage, und währenddessen kommt der tägliche Geschäftsbetrieb zum Stillstand, und Sie werden feststellen, dass Ihr Unternehmen neue Wege finden muss, um seine Kernaufgaben zu erfüllen, was jeden einzelnen Mitarbeiter belastet. Dieses Problem ist kompliziert, sogar wenn Sie über gute Backups verfügen, die den Angriff überlebt haben. Viele Unternehmen unterschätzen das Ausmass der möglichen Störungen, für die sie planen müssen, oder sind zu optimistisch, welche Funktionalität nach einem Angriff weiterhin bestehen wird.“

Die Analysten halten fest, dass Ransomware-Akteure manchmal sogar offen für Rabatte sein könnten. Auf jeden Fall müssen Unternehmen bereit sein für den Fall einer Attacke. Dazu gehören Investitionen in Cybersicherheit, eine entsprechende Versicherung sowie die Fähigkeit, nach dem Backup hundertprozentig wieder herstellen zu können. Es schadet auch  nicht, wenn Unternehmen wissen, wie sie Kryptowährung kaufen und anwenden können. Lösegeld wird nämlich meistens in Bitcoin bezahlt.

Hacken leicht gemacht: Ewige Passwörter, abgestandene Daten und Ghost Users

Das Hacken von Unternehmungen und das Stehlen von Daten ist oft nur zu einfach. Illoyale Mitarbeiter oder  frustrierte ehemalige Angestellte können mit ihren Zugangsrechten riesige Schäden anzurichten. Umso wichtiger wäre der systematische Schutz von sensiblen Daten innerhalb von Unternehmen. Damit steht aber noch vieles im Argen. Exzessive Zugriffsrechte, veraltete Konten und ungenutzte Daten sind  kurz vor dem Inkrafttreten der DSGVO in vielen Unternehmen ein grosses Problem.

Das Risiko steigt, wenn zuviele Mitarbeiter Zugriff auf sensible Daten haben.
                                                                                                        Bild Pixabay

Ein neuer Report des Datensicherheitsspezialisten Varonis zeigt, dass in zu vielen Unternehmen zu viele Mitarbeiter Zugriff auf sensible Daten haben. Durchschnittlich sind 21 Prozent der Folder eines Unternehmens für jeden Mitarbeiter zugänglich, in 41 Prozent der Unternehmen haben sämtliche Mitarbeiter Zugriff auf mindestens 1000 sensible Dateien. Dazu gehören personenbezogene Daten, Kreditkarten- oder auch medizinische Informationen. Bei 58 Prozent der untersuchten Firmen unterliegen mehr als 100‘000 Ordner keiner Zugriffsbeschränkung. Bei 34 Prozent der Benutzerkonten handelt es sich um sogenannte “Ghost Users“, also veraltete, nicht mehr benötigte, aber nicht deaktivierte Nutzerkonten. Beinahe in jedem zweiten Unternehmen verfügen mehr als 1000 Benutzer über zeitlich unbegrenzt gültige Passwörter!
Die zitierten Zahlen basieren auf Risikobewertungen für 130 bestehende und potenzielle Kunden von Varonis aus den unterschiedlichsten Branchen. Insgesamt wurden hierfür 6,2 Milliarden Dateien in 459 Millionen Foldern analysiert. Dabei deckt der Bericht verschiedene Probleme auf, welche die Gefährdung durch Datenschutzverletzungen, Insider-Bedrohungen und Ransomware-Angriffe deutlich vergrössern:

• Zu weitreichende Zugriffsgruppen, die zu vielen Mitarbeitern den Zugang zu sensiblen Daten ermöglichen,
• mangelhaft verwaltete sensible und ungenutzte Daten (stale data), die verschiedenen Datenschutzvorschriften unterliegen,
• Inkonsistente und fehlerhafte Berechtigungen, die Sicherheitslücken für Eindringlinge öffnen,
• veraltete, nicht mehr benötigte, aber nicht deaktivierte Nutzerkonten (ghost users)
• und Benutzerkennwörter, die zeitlich unbegrenzt gültig sind.

Angesichts der jüngsten Datenschutzverletzungen zum Beispiel bei Uber und Netflix, sowie der nahenden DSGVO, seien die Ergebnisse des Datenrisiko-Reports erschreckend, erklärt Thomas Ehrlich von Varonis. Daten sind das bevorzugte Ziel von Cyberkriminellen, weil sie das wertvollste Asset der Unternehmen sind. Dennoch vernachlässigen zahlreiche Unternehmen das Management und die Kontrolle der Zugriffsrechte und setzen sich damit Insider-Bedrohungen, Ransomware-Angriffen und dem Risiko von Datendiebstählen aus.

WannaCry, die User und die Erpresser: Wie gefährlich war es wirklich?

Eine Antwort vorneweg: Gefährlich genug – für jene, die vom Erpresser-Wurm WannaCry betroffen wurden. Erschreckend an der ganzen Geschichte ist allerdings, wie schwierig es ist, in vielen Stories über den Angriff nützliche und konsistente Informationen zu finden. Auch können die meisten User, die sich irgendeinmal nur annähernd mit dem Thema befasst haben, nicht viel lernen, das sie nicht schon vorher gewusst haben.

Es gibt durchaus Massnahmen, die dafür sorgen, dass dieser Bildschirm auf
Ihrem Bildschirm nicht erscheint.                                                 Bild pd

Es lohnt sich, gleich zum Anfang die Sicherheitstipps zu wiederholen: Wer ans Internet geht, sollte ein gutes Virenschutzprogramm und eine Firewall benutzen. (Symantec schreibt auf seiner Website, dass die Sicherheitslücke, die von WannaCry ausgenutzt wurde, von Symantec schon früh blockiert worden sei – Symantec-Kunden seien deshalb vollumfänglich geschützt gewesen, lange bevor WannaCry auftauchte!) Auf keine Attachments klicken, die von unbekannten Absendern gemailt werden. Und selbstverständlich nicht mit einem Betriebssystem surfen, das keinen Microsoft-Support mehr erhält – wie zum Beispiel Windows XP oder Vista. Ausserdem: Backups erstellen, regelmäßig, immer wieder, und die Daten getrennt vom PC, in der Cloud oder auf der externen Festplatte, aufbewahren.
Ist doch eigentlich nicht so schwierig – oder?
Und trotzdem scheint es, dass die Hacker, welche den WannaCry-Erpresservirus losgelassen haben, fast den Untergang unserer digitalen Gesellschaft verursacht haben. Zumindest wenn man die News in den Massenmedien und den Pressemitteilungen der Sicherheitsfirmen glaubt:

“Die Ransomware-Attacke, genannt „WannaCry“,  die am vergangenen Wochenende wie eine Flutwelle über Computer in Büros, Krankenhäusern und Schulen hinwegfegte, hat viele Nutzer ratlos und besorgt zurückgelassen. Was bedeutet der Angriff für unsere Cybersicherheit?“

schreibt zum Beispiel der IT-Security-Spezialist Thomas Uhlemann von Eset. Und er kennt auch einige interessante Zahlen:

“Laut unserer Statistiken sind die tatsächlichen Zahlen von WannaCry im Gesamtverhältnis zu den restlichen versuchten Malwareattacken mit unter 0,1% in Deutschland niedrig. Das spricht für eine an sich gute Ausgangslage hierzulande. […] Bisher haben die Angreifer etwa 70‘000 Euro erbeutet. Das erscheint in Anbetracht des Ausmasses des Angriffs sehr wenig zu sein. Woran liegt das? Das große Ausmass bei gleichzeitig geringem „Einkommen“ spricht dafür, dass es sich bei „WannaCry“ nicht um eine zielgerichtete, hoch-professionalisierte Attacke handelt. Wir denken eher, dass die Veröffentlichung der „Vault7“-Daten von Wikileaks dazu geführt hat, dass die dort dokumentierten Schwachstellen ausgenutzt werden konnten. Dazu bedarf es keiner ausgeklügelten Kenntnisse, es reicht Basiswissen…“

Mit anderen Worten: Bei den WannaCry-Hackern, die in den letzten Tagen so viel “Ratlosigkeit und Besorgnis“ verursacht hat, handelt es sich wahrscheinlich um einem oder mehrere, wenn möglich minderjährige Lümmel, die nicht mal besonders gut programmieren können.
Oder war es vielleicht doch der Despot in Nordkorea:

“Neel Mehta, der als Sicherheitsforscher bei Google tätig ist, entdeckte eine 100-prozentige Übereinstimmung im Programmcode zwischen einer Vorgänger-Version von WannaCry (Stand Februar) und dem Trojaner Contopee aus dem Jahr 2015. Letzterer wurde von der Lazarus-Gruppe entwickelt, einem nordkoreanischen Zusammenschluss von Hackern.“

WannaCry hat also Chaos angerichtet, wurde eventuell von einem unberechenbaren Diktator losgelassen – da fehlt nur noch das Happy End zur filmreifen Story. Und das gibt es tatsächlich auch schon, wie unter anderem die Zeit berichtet:

“WannaCry enthält merkwürdigen Code. Schon am Wochenende entdeckte der 22-jährige britische Sicherheitsforscher Marcus Hutchins eher zufällig einen sogenannten Kill Switch in der Software. Indem er eine Domain registrierte, die im Code von WannaCry erwähnt wurde und mit der sich die Software verbinden will, konnte er die Verschlüsselung stoppen und somit viele Betroffene schützen.“

So einfach ist das - wenn man weiss wie.

Virenschutz im Internet: You get what you pay for!

Virenschutz-Pakete waren gerade erst in den Schlagzeilen, weil ein ehemaliger Firefox-Entwickler die Öffentlichkeit dazu aufrief, ihre Virenschutzprogramme vom PC zu entfernen, weil diese mehr Schaden als Nutzen brächten. Der einzig gute Virenschutz seien die Sicherheitsprogramme, die mit Windows geliefert würden. Ein sehr ausführlicher Test der Computerbild-Redaktion hat nun ergeben, dass das nicht stimmt. Das Gegenteil sei wahr, sagen die Tester; den schlechtesten Schutz biete Windows Defender.

Kostenpflichtige Sicherheitspakete sind besser als Windows Defender - das
sagen zumindest die Computerbild-Tester.                                             Bild PD 

Täglich erfinden Cyberkriminelle neue Schadsoftware, mit der sie Nutzer aushorchen, abzocken und erpressen. Die Internet-Schutzpakete der Antiviren-Hersteller gehören daher seit langem zur Pflichtausstattung für jeden Windows-PC (auch wenn das immer noch nicht alle User gemerkt haben). Doch welches Paket bietet den besten Schutz? Das hat Computerbild für die aktuelle Ausgabe getestet und acht Security-Pakete unter die Lupe genommen: 20 Mitarbeiter investierten gesamthaft 2‘100 Stunden, 83‘477 Schädlinge und 48‘910 Angriffe auf die Testkandidaten loszulassen.

Dabei etablierte sich das Schutzprogramm von Bitdefender als Testsieger, dicht gefolgt von den Produkten der Hersteller Eset, G Data, Norton, F-Secure, Kaspersky und McAfee. Eine Schwäche haben allerdings alle Kandidaten: Im Kampf gegen Erpresser-Viren (Ransomware), welche Dateien der Nutzer heimlich verschlüsseln und nur gegen Lösegeld wieder freigeben, zeigten sich die Hersteller weitgehend ideenlos. Bei der Abwehr von Ransomware machten die meisten Kandidaten noch eine gute Figur; der Versuch, ein infiziertes System zu reinigen, gelang aber im Test nur mit Eset. Eine Rettung der vom Angreifer verschlüsselten Dateien schaffte keines der getesteten Produkte.

Der Test zeigt zudem, dass es der Branche an Lösungen für neue Herausforderungen, wie der Sicherheit von smarten Geräten im Haushalt, fehlt. So preist Eset einen "Heimnetzwerkschutz" an, der letztlich keiner ist: Das Programm spürt zwar veraltete Software bei Geräten im WLAN-Netz auf, bei Kunden von Kabelanbietern funktioniert das allerding nicht. Zudem wird der Nutzer nicht gewarnt, wenn unbekannte Geräte im heimischen Netzwerk auftauchen.

Eine wichtige Schlussfolgerung: Alle kostenpflichtigen Testkandidaten sind die bessere Wahl, bevor man sich auf den Windows Defender verlässt. Im Test ließ das Gratis-Sicherheitspaket mehr als ein Prozent aller aktuellen Schadprogramme durch. Das sind 20mal so viele wie bei den anderen Testkandidaten. Wer sich relativ sorgen- und virenfrei im Internet bewegen möchte, braucht also unbedingt ein vollwertiges Internet-Schutzpaket. Der Internet Security-Test findet sich in der aktuellen Ausgabe von Computerbild.

Das Internet der smarten Dinge könnte Sie erpressbar machen

Ganz so smart, wie sie sein sollten, sind die Smart Homes wohl noch nicht. Jedenfalls macht es das schnell wachsende Internet der Dinge möglich, dass in einem Smart Home jede Menge von Geräten mit wichtiger Infrastruktur vernetzt sind und deshalb durchs Internet, zum Beispiel vom Smartphone aus, gesteuert werden können. Das Problem ist nur, dass diese Steuerung in fremde Hände fallen könnte.

"Schlaue" Geräte (hier ein Thermostat) könnten durchaus ein Sicherheitsrisiko
darstellen.                                                                                         Bild  nest store

Es fängt schon bei der Haustür an: Sogenannte schlaue Türschösser oder Smart Locks sollen zu mehr Komfort und zu mehr Sicherheit führen. So weit sind wir aber leider noch nicht; scheinbar ist man mit einem ganz gewöhnlichen Sicherheitsschloss noch um einiges sicherer, als mit dem digitalen Gegenstück, wie die Computerwoche zu berichten weiss:

“Ben Ramsey und Anthony Rose von Merculite Security haben 16 Smartlocks verschiedener Hersteller unter die Lupe genommen, darunter Produkte von Ceomate, Elecycle, iBlulock, Mesh Motion, Okidokey, Plantraco, Quicklock und Vians. Von 16 Schlössern konnten die beiden Experten zwölf Exemplare knacken beziehungsweise hacken. In einigen Fällen war dazu nicht einmal besonderer Aufwand nötig. Die gravierendste Entdeckung der Spezialisten: Vier Smartlocks tauschten Passwörter ohne Verschlüsselung mit der korrespondierenden Smartphone-App aus. Hier von einem "No-Go" zu sprechen, wäre fast schon eine Untertreibung. Jedenfalls konnten die beiden Security-Fachmänner so die Smartlock-Passwörter ganz einfach mit einem Open-Source-Bluetooth-Sniffer abgreifen.“

Schösser sind natürlich wichtig, bei weitem aber nicht der einzige Angriffspunkt, den Smart Homes bieten. Ein unerlaubter Zugriff auf Ihren smarten Thermostaten ist durchaus möglich und könnte dazu führen, dass sie im Winter in der guten Stube frösteln. Zwei Sicherheitsforscher einer britischen Firma haben das Szenario an der Hackerkonferenz DEF CON in Las Vegas noch etwas mehr ausgemalt:

“Zahle fünf Bitcoins, sonst bleibt deine Heizung kalt, deine Garage verschlossen und deine Jalousien werden den ganzen Tag rauf- und wieder runterfahren. Das passiert, wenn jemand auf die Idee kommt, zwei aktuelle technische Entwicklungen zu kombinieren: Vernetzte Haushaltsgeräte und Ransomware. […] Kurz vor Beginn der DEF CON fanden [die beiden Forscher] eine Schwachstelle in einem bestimmten Thermostat. Die konnten sie ausnutzen, um beliebige Malware auf dem Gerät zum Laufen zu bringen. Zum Beispiel eine, die den Besitzer auffordert, Bitcoins an eine bestimmte Adresse zu übertragen. Bis das geschehen ist, belassen die Angreifer die Haustemperatur besonders hoch oder besonders niedrig…“

Doch wo lag die Schwachstelle des Thermostaten? Handelt es sich um einen Einzelfall? Scheinbar nicht, wie auf areamobile.de nachzulesen ist:

“Die entsprechende Forderung "einen Bitcoin zahlen, um die Kontrolle zurückzuerlangen" tauchte während der Demo auf dem großen LCD des Thermostats auf. Wie das Heizungsgerät gehackt wurde und von welchem Hersteller er stammt, teilten die beiden Sicherheitsforscher nicht mit. Sie wollen dem Unternehmen die Möglichkeit geben, das Problem zu beheben. Bislang blieb dafür angebliche keine Zeit, da Tierney und Munro die Lücke erst kurz vor dem Beginn der Defcon entdeckt hätten. Sie verrieten jedoch, worauf der Hack beruht: Das Geräte überprüft nicht, welche Dateien auf den internen Speicher oder die einsteckbare SD-Karte gespielt werden, und führt diese einfach aus.Der Angriff auf den mit Linux betriebenen Thermostaten zeigt, welche Gefahren im Internet der Dinge lauern. Bereits vor zwei Jahren bewies der Sicherheitsexperte David Jacoby, wie leicht sich Alltagsgeräte wie Netzwerkfestplatten, smarte Fernseher oder DSL-Router hacken lassen.“

Erpresserwährung Bitcoin

Mit Bitcoin geht’s wieder bergauf; die Kurse sind seit Oktober letzten Jahres um rund 80 Prozent angestiegen. Ein Bitcoin kostet heute, am 7. April 2016, 405 Schweizer Franken. Der Wert des digitalen Geldes hat in den letzten Monaten genau wie die  Anzahl gemeldeter digitaler Erpressungsfälle ständig zugenommen. Das ist kein Zufall: Bitcoin ist perfekt dazu geeignet, durch Ransomware verursachte Geldübergaben anonym zu halten.

Mit den Bitcoinkursen geht's bergauf - und auch die Erpresser wissen das zu
schätzen.                                                                         Screenshot finanzen.net 

Ransomware, der Schrecken jedes IT-Administrators. Ein verseuchtes File wird auf einen PC hochgeladen – aus der Cloud oder per E-Mail – und schon geht gar nichts mehr. Die betroffenen Daten sind nicht mehr zugänglich, weil verschlüsselt; um sie zu entschlüsseln verlangen die Cyber-Erpresser ein Lösegeld, fast immer in Form von Bitcoin. Eines der bekanntesten Beispiele ist ein amerikanisches Spital: Das Hollywood Medical Center in Los Angeles bezahlte anfangs dieses Jahres 40 Bitcoins (zu diesem Zeitpunkt rund 17‘000 US-Dollar) um wieder Zugang zu den eigenen Daten zu bekommen.
Das elektronische Zahlungssystem mache es den Tätern leicht, bestimmte Vorgänge zu automatisieren.  Zitat aus der “Zeit“:

“Jedes Locky-Opfer muss an eine eigens eingerichtete Bitcoin-Wallet zahlen. Eine einzige Wallet, auf der immer wieder der gleiche Betrag eingeht, der irgendwann zudem sehr groß wird, könnte Ermittlern auffallen. Tausende Wallets, die jeweils nur 0,5 bis ein Bitcoin enthalten, nicht. Gleichzeitig kann die Software der Kriminellen selbsttätig prüfen, ob das Lösegeld schon in der jeweiligen Wallet eingetroffen ist, und dem Opfer dann einen Link zum Entschlüsseln seiner Daten schicken.“

Dass die Erpresser erwischt werden, passiert nur sehr selten, obwohl die angerichteten Schäden in die Milliarden gehen, wie die “Süddeutsche“ berichtet:

“5,25 MilliardenDateien soll allein die Erpresser-Software CryptoWall zwischen Mitte März und Ende August 2014 verschlüsselt haben. Knapp 1700 Opfer zahlten ein Lösegeld von insgesamt mehr als 1,1 Milliarden Dollar. Die verlangten Summen variierten zwischen 200 und 10 000 Dollar, bei den meisten verlangten die Erpresser 500 Dollar. Da das Lösegeld mittlerweile meist in der Kryptowährung Bitcoin bezahlt werden muss, lassen sich die Geldflüsse kaum nachverfolgen. Beim CoinVault-Fall, bei dem zwei junge Niederländer, zur Tatzeit 18 und 22 Jahre alt, verhaftet wurden, war es Kaspersky gelungen, die Spur der bösartigen Software zu verfolgen - auch das ist oft sehr schwierig. Die beiden hatten mindestens 1500 Windows-Computer attackiert, die meisten davon in ihrem Heimatland, in Deutschland, den USA, Frankreich und England.“

Dass es sich beim Phänomen der Bitcoin-Erpressungen um ein Problem handelt, das zahlreiche Unternehmen betrifft, zeigt eine Umfrage von Akamai bei Deutschen Unternehmen: Mehr als ein Drittel der Befragten gaben an, dass ihr Unternehmen schon einmal von einem Cyber-Angriff betroffen wurde. Als neues Phänomen kristallisierten sich dabei laut Akamai im letzten Jahr DDoS-Angriffe mit dem Ziel der Bitcoin-Erpressung heraus. So ergab die Akamai-Umfrage, dass immerhin neun Prozent der angegriffenen Unternehmen von Bitcoin-Erpressern attackiert wurden.

Zu viele PC-Erpressungsopfer bezahlen Lösegeld

Wieso ist immer noch ungefähr die Hälfte  des weltweiten E-Mail-Verkehrs Spam? Wieso gibt es immer mehr Ransom-Software-Trojaner, die es darauf abgesehen haben, PC-Nutzer zu erpressen? Richtig: Weil sich in beiden Cyber-Crime-Sparten prächtig Geld verdienen lässt. Spam-Mail rentiert, weil zu viele User darauf reagieren, Erpresser-Software verbreitet sich immer schneller, weil zu viele Opfer die Erpresser bezahlen.

Die deutschsprachige Version des digitalen Erpresserbriefes, den die Locky-Opfer
zu sehen bekommen, nachdem ihre Daten verschlüsselt wurden. (Zum Vergrössern
bitte anklicken).                                                                                             Wikimedia

Der neuste Trojaner der Erpresser-Sorte, der seit Wochen Schlagzeilen macht, heisst Locky und wütet momentan vor allem in Deutschland. Dort, so meldete der Spiegel kürzlich, hat die Software an einem einzigen Tag 17‘000 Rechner lahmgelegt – weltweit sind es wohl gegen eine halbe Million Computer:

“Die Erpresser infizieren Windows-Rechner mit einem Trojaner, der wichtige Dateien zunächst verschlüsselt und dann umbenennt. Die Dokumente haben nach dem Prozess die Endung .locky, daher hat der Trojaner auch seinen Namen. Die Verschlüsselung ist kaum zu knacken, wenn die Angaben der Erpresser stimmen. Demnach werden die Dateien mit einem RSA-Kryptoschlüssel und einer AES-Verschlüsselung unbrauchbar gemacht. Sobald die Dateien verschlüsselt sind, erscheint ein Erpresserbrief mit einer Lösegeldforderung. Der Brief existiert in mehreren Sprachen und erscheint hierzulande auch in deutscher Sprache bei den betroffenen Nutzern. Darin steht, dass die Dateien nur mit einer speziellen Software namens "Locky Decryptor" gerettet werden können. Und für diese Software verlangen die Erpresser einen Betrag von 0,5 Bitcoin, was laut dem aktuellen Kurs der Kryptowährung rund 200 Euro entspricht.“

 Szenenkenner gehen davon aus, dass die Erpresser mit diesem Verfahren bereits viele 100‘000 Dollar verdient haben – was dazu führt, dass der Trick in verschiedensten Varianten immer wieder ausgeführt wird. Im Falle einer Kleinstadt in Deutschland hiess die Software nicht “Locky“, sondern „Tesla-Crypt“. Der Trojaner brachte die Stadtverwaltung dazu, mehrere hundert Euro Erpressergeld zu bezahlen. Ärger gab es dann trotzdem:

“Die Erpresser hatten die Stadtverwaltung Dettelbach zur Zahlung von 1,3 Bitcoin aufgefordert, umgerechnet rund 490 Euro. Der Polizei zufolge führte eine von der Stadtverwaltung beauftragte Fachfirma die Zahlung durch. Anschließend war es möglich, einen Teil der Daten wiederherzustellen.
Dennoch sei es anschließend zu einem "weitreichenden Ausfall des EDV-Systems mit Datenverlusten" gekommen, teilte die Stadtverwaltung an diesem Donnerstag mit.“

Die Dettelbacher sind bei weiten nicht die einzigen, die sich erpressen lassen. Eine Umfrage in Europa hat ergeben, dass mehr als ein Drittel der betroffenen User, das Lösegeld überweisen.
Was tun? Wir haben an dieser Stelle schon früher über Erpressersoftware berichtet. Wenn Sie kein Datenbackup von ihrem PC haben, wird es sehr schwierig werden, ihre verschlüsselten Dateien zurückzubekommen. Denn, was immer Sie tun, bezahlen Sie kein Geld. Erstens wird es wahrscheinlich nichts nützen, und zweitens machen Sie sich und andere User dadurch zum Ziel weiterer Attacken. Wichtig ist, dass Sie immer eine aktuelle Backup-Kopie Ihrer PC-Daten zur Hand haben. Öffnen Sie keine Anhänge von unbekannten E-Mail-Absendern. Und vermeiden Sie zwielichtige Internetseiten. Wenn Sie dann noch ein anerkanntes Sicherheitsprogramm auf Ihrem PC installiert haben, halten Sie Ihr Risiko in annehmbaren Grenzen.

Wie Sie am PC zum Erpressungsopfer werden können

CryptoLocker heisst eine der neusten Bedrohungen in der Kategorie der “Ransomware“,  was etwa soviel heisst, wie Lösegeld-Erpressungssoftware. Tatsächlich geht es im Fall von CryptoLocker genau darum: um das Erpressen von Lösegeld.  Wer nichtsahnend ein PDF-Attachment, bei dem es sich in Wirklichkeit allerdings um eine Programmdatei handelt, in einer unschuldig aussehenden E-Mail-Nachricht anklickt, kann plötzlich nicht mehr auf seine PC-Daten zugreifen, weil diese verschlüsselt sind. Allerdings, so verspricht es die Nachricht auf dem Bildschirm, kann das Problem für nur 300 Dollar gelöst werden.

Dieser Screenshot von PCtuneup.org zeigt, wie die Erpressersoftware
Cryptolocker auf dem Bildschirm aussieht, wenn sich der Trojaner ein-
geschlichen hat.

Die gute Nachricht zuerst: Symantec gibt an, dass CryptoLocker definiert sei und und von Norton erkannt werde. Die schlechte Nachricht: Wenn Sie kein Datenbackup von ihrem PC haben, wird es sehr problematisch, von Erpressern verschlüsselte Dateien zurückzugewinnen. Denn, was immer Sie tun, bezahlen Sie den Kriminellen kein Geld. Erstens wird es Ihnen wahrscheinlich nicht helfen, und zweitens machen Sie sich möglicherweise dadurch nur zum Ziel weiterer Attacken. Wie funktioniert CryptoLocker? Heise.de erklärt:

“CryptoLocker, bei einigen Antiviren-Herstellern auch unter dem Namen Crilock geläufig, verschlüsselt die Daten seiner Opfer mit RSA oder AES und speichert den geheimen Schlüssel auf einem Server unter der Kontrolle seiner Entwickler. Dann blendet die Software einen Countdown ein und droht, den Schlüssel zu löschen, wenn das Opfer nicht zahlt. Der Trojaner scheint dabei für jeden Rechner ein einzigartiges Schlüsselpaar zu erstellen, so dass es unmöglich ist, die verschlüsselten Daten ohne Zugriff auf den geheimen Schlüssel wieder lesbar zu machen. Sowohl Microsoft als auch Sophos gehen davon aus, dass die Verschlüsselung zu gut umgesetzt ist, um sie zu knacken. Zum Schutz empfehlen sie, regelmäßige Datensicherungen anzulegen und sich gar nicht erst mit dem Trojaner infizieren zu lassen…“

CryptoLocker ist nicht das Erste Erpressungsprogramm das für Aufsehen sorgt. Vor einigen Monaten machte ein Trojaner von sich reden, der unbescholtenen Anwendern Kinderpornographie auf den PC lud, um sie nachher zu erpressen:

“Der berüchtigte BKA-Trojaner ist in einer neuen, extrem fiesen Version im Umlauf: Der Schädling lädt Kinderpornographie auf Ihren Rechner herunter und täuscht anschließend vor, dass das Bundeskriminalamt daher gegen Sie ermittle. […]Als Druckmittel werden dabei oft angebliche Funde von illegal kopierten Songs oder Filmen auf dem Rechner angegeben, im aktuellen Fall ist die Lage jedoch noch deutlich perfider: Die neueste Inkarnation des BKA-Trojaners zeigt bei der Warnmeldung "Sie sind im Besitz von Kinderpornographie" tatsächlich vier kinderpornographische Bilder an, die angeblich die minderjährigen Mädchen "Gabriela Nunez", "Linda Green", "Chin-Sun Kim" und "Ashlee Stiller" darstellen. Dafür werden diese Fotos aus dem Internet auf den Computer des Nutzers heruntergeladen. Da in Deutschland schon allein der Besitz von Kinderpornographie – unabhängig von der Art der Beschaffung – strafbar ist, stimmt die Kernaussage des Erpressers sogar: Der PC-Nutzer hat sich unfreiwillig strafbar gemacht…“

Was tun? Auf die Gefahr hin, dass wir uns wiederholen: Stellen Sie sicher, dass Sie immer eine aktuelle Backup-Kopie Ihrer PC-Daten zur Hand haben. Öffnen Sie keine Anhänge von unbekannten E-Mail-Absendern. Und vermeiden Sie zwielichtige Internetseiten. Wenn Sie dann noch ein anerkanntes Sicherheitsprogramm auf Ihrem PC installiert haben, halten Sie Ihr Risiko in annehmbaren Grenzen.