Von Ransomware zu Protestware: Die Attacken gehen weiter

Auch das laufende Jahr ist wieder ein Rekordjahr, was Attacken von Cyber-Kriminellen und Ransomware-Banden betrifft. Die Kriminellen nutzen neue Taktiken, um verbesserte Schutzmassnahmen zu überwinden. So werden zum Beispiel Kontakte zu Insidern aufgenommen, die dann ausgenutzt werden können. Ein anderes, neues Problem: Protestware, die von den Entwicklern absichtlich sabotiert wird, um gewissen Unternehmen zu schaden.

Protestware: Wenn der Programmierer als Protest den Code verseucht.
Bild pxhere.com

 Diese Schlussfolgerungen sind der aktuellen Ausgabe des neusten Cyber Threat Reports 2022 zu entnehmen, der von Deep Instinct veröffentlicht wird. Der Bericht konzentriert sich auf die wichtigsten Malware- und Ransomware-Trends und -Taktiken aus der ersten Hälfte des Jahres 2022 und liefert wichtige Erkenntnisse und Prognosen für die sich ständig weiterentwickelnde Cybersecurity-Bedrohungslandschaft, zum Beispiel durch Veränderungen in der Struktur der Bedrohungsakteure, die immer neue Gruppen formen. Der Bericht hebt ausserdem die Gründe für die Veränderungen bei Emotet, Agent Tesla, NanoCore und anderen hervor. So verwendet Emotet beispielsweise stark verschleierte VBA-Makros, um nicht entdeckt zu werden.

Während Microsoft einen Weg abschneidet, öffnen bösartige Akteure andere Möglichkeiten: Deep Instinct-Forscher fanden heraus, dass die Nutzung von Dokumenten für Malware als wichtigster Angriffsvektor zurückgegangen ist, nachdem Microsoft Makros in Microsoft Office-Dateien standardmässig deaktiviert hat. Es wurde beobachtet, dass Bedrohungsakteure andere Methoden zur Verbreitung ihrer Malware einsetzen, wie LNK-, HTML- und Archiv-E-Mail-Anhänge. Schwachstellen wie SpoolFool, Follina und DirtyPipe verdeutlichen die Ausnutzbarkeit von Windows- und Linux-Systemen trotz der Bemühungen zur Verbesserung ihrer Sicherheit. Eine Analyse des von der CISA veröffentlichten Katalogs bekannter ausnutzbarer Schwachstellen zeigt, dass die Zahl der ausgenutzten Schwachstellen in freier Wildbahn alle drei bis vier Monate in die Höhe schnellt. 
Die Angriffe zur Datenexfiltration erstrecken sich nun auch auf Dritte: Gruppen von Bedrohungsakteuren nutzen die Datenexfiltration in ihren Angriffsflüssen, um Lösegeld für die abgeflossenen Daten zu fordern. Im Falle der Exfiltration sensibler Daten gibt es weniger Möglichkeiten zur Wiederherstellung, so dass viele Bedrohungsakteure sogar noch weiter gehen und Lösegeld von Drittunternehmen fordern, wenn die abgeflossenen Daten deren sensible Informationen enthalten.

Es überrascht nicht, dass Ransomware-Angriffe nach wie vor eine ernsthafte Bedrohung für Unternehmen darstellen, denn derzeit gibt es 17 durchgesickerte Datenbanken, die von Bedrohungsakteuren betrieben werden, die die Daten für Angriffe nutzen, vor allem für Social Engineering, Diebstahl von Anmeldeinformationen und Erpressungsangriffe. Böswillige Bedrohungsakteure suchen immer öfter nach dem schwächsten Glied. Angesichts der kontinuierlichen Innovationen im Bereich der Cybersicherheit entscheiden sich einige Bedrohungsakteure dafür, entweder schwache Ziele ausfindig zu machen oder einfach einen Insider zu bezahlen. Gruppen wie Lapsus$ verlassen sich nicht auf Exploits, sondern suchen stattdessen nach Insidern, die bereit sind, den Zugang zu Daten innerhalb ihrer Organisation zu verkaufen.

Auch das Phänomen der Protestware nimmt zu. Dabei handelt es sich um die Sabotage der eigenen Software durch Entwickler. Der Krieg zwischen Russland und der Ukraine hat zu einem Anstieg von Protestware geführt. Es ist nicht leicht, solche Angriffe auf die Lieferkette zu erkennen, und sie werden in der Regel erst entdeckt, wenn mehrere Opfer davon betroffen sind.

Ransomware-Attacken: Russen verhaften Cyberkriminelle

Die russischen Behörden melden einen Schlag gegen eine Hackergruppe, die für ihre Ransomware-Angriffe berüchtigt war. Das Ungewöhnliche an der Aktion: Sie wurde vom russischen Inlandgeheimdienst FSB auf Ersuchen der amerikanischen Regierung durchgeführt.

Die russischen Behörden haben einem Ransomware-Ring das Handwerk gelegt.    Bild pixabay

Wie die russische Nachrichtenagentur Interfax berichtet, beschlagnahmte der Geheimdienst bei einer Razzia gegen 14 Mitglieder der Gruppe 426 Millionen Rubel (6 Millionen Franken) sowie Kryptowährungen im Wert von mehr als 600‘000 Franken sowie 20 Luxusautos. Der FSB betonte gegenüber Interfax, dass man auf Ersuchen der US-Behörden gehandelt und diese über die Ergebnisse der Operation informiert habe. Durch die Operation sei die Hackergruppe REvil effektiv aufgelöst worden.

Experten haben schon lange russische Gruppen mit Ransomware-Operationen in Europa und den USA in Verbindung gebracht, oft ohne dass die staatlichen Strafverfolgungsbehörden den Kriminellen das Handwerk legten. Die russische Regierung wurde auch immer wieder beschuldigt, Cyberkriminellen Unterschlupf zu gewähren, solange sie keine inländischen Ziele angreifen. Die amerikanischen Behörden hatten es besonders auf REvil abgesehen, weil die Gruppe unter anderem auch in den Angriff auf die Colonial Pipeline im letzten Frühling involviert war, die zu langen Schlangen vor Tankstellen an der amerikanischen Ostküste geführt hatte.  Gemäss Meldungen aus Russland geht allerdings die russische Hilfe an die amerikanischen Behörden nur so weit:  Wie die Agentur Reuters berichtet, werde der FSB die Verhafteten nicht an die Vereinigten Staaten ausliefern, wenn es sich um russische Bürger handle.

Am Freitag, also am Tag der Veröffentlichung dieser Meldung, wurden übrigens die Ukrainischen Behörden Opfer einer schweren Cyberattacke. Regierungswebseiten mussten abgeschaltet werden, und Sprecher der ukrainischen Regierung und der EU schoben die Schuld sofort auf Russland. Diese Schuldzuweisungen sind natürlich noch nicht verifiziert, aber Experten erklären, dass das Vorgehen der Hacker ähnlich sei wie bei den Angriffen, die vor dem Angriff auf Georgien 2008 und der Annexion der Halbinsel Krim 2014 stattfanden.

Ransomware: Mit Gesetzen gegen die Zahlung von Erpressergeld

Amerikanische Politiker schlagen vor, dass Unternehmen, die nach Ransomware-Attacken Erpressergeld bezahlen, damit sie ihre Daten wieder nutzen können, die Behörden genau über derartige Zahlungen informieren müssen. Ein derartiges Gesetzt müsste von beiden Häusern des amerikanischen Kongresses angenommen werden.

Ransomware-Attacken: Wie wirksam können Gesetze sein?        Bild Pixabay

Der vorgeschlagene "Ransom Disclosure Act" schlägt vor, dass Unternehmen, die Opfer von Ransomware-Angriffen werden und dann tatsächlich Lösegeld zahlen, detaillierte Informationen über die Zahlung liefern. Zum Beispiel: die Höhe des geforderten und gezahlten Lösegelds, die Art der Währung, in der das Lösegeld gezahlt wurde - üblicherweise in Bitcoin - und alle ihnen bekannten Informationen über die Angreifer, die das Lösegeld fordern. Die Informationen müssten vor Ablauf von 48 Stunden nach der Zahlung an das Department of Homeland Security (DHS) geliefert werden.

"Ransomware-Angriffe nehmen explosionsartig zu, doch uns fehlen wichtige Daten, um gegen Cyberkriminelle vorzugehen", sagte Senatorin Elisabeth Warren, eine der Initiantinnen. "Unser Gesetzesentwurf ermöglicht es herauszufinden, wie viel Geld Cyber-Kriminelle von amerikanischen Unternehmen erpressen, um kriminelle Unternehmen zu finanzieren - und das wiederum würde uns dabei unterstützen, sie zu verfolgen." Ransomware-Angriffe werden von Jahr zu Jahr häufiger und bedrohen die Sicherheit, die Wirtschaft sowie kritische Infrastrukturen. Da die Opfer nicht verpflichtet sind, Angriffe oder Zahlungen an die Behörden zu melden, fehlen die entscheidenden Daten, um gegen diese Angriffe vorzugehen.

Der Anstoss für den neuen Gesetzesvorschlag in den USA kam von den Strafverfolgungsbehörden. Diese gehen davon aus, dass nur etwa ein Viertel aller Ransomware-Angriffe gemeldet werden.

Tatsächlich gibt es (nicht nur in den USA sondern auch in Europa) Vorschläge, die Zahlung von Lösegeld im Falle von Ransomware-Attacken illegal zu machen, um den Kriminellen die Motivation für ihre Angriffe zu nehmen. Ein solches Vorgehen ist allerdings sehr umstritten. Experten gehen davon aus, dass die Wahrscheinlichkeit für die Offenlegung von Angriffen dann noch viel kleiner würde, als sie jetzt schon ist.