Cyberangriffe: Durch Tarnung und Ausweichstrategien immer gefährlicher

Der aktuelle, vierteljährlich erscheinende „Global Threat Landscape Report“ von Fortinet zeigt, dass Kriminelle für Cyberangriffe verstärkt nach neuen Schwachstellen auf der gesamten digitalen Angriffsfläche von Unternehmen suchen. Mit Ausweich- und Anti-Analyseverfahren werden die Cyberangriffe dabei immer ausgefeilter. Außerdem hat sich der Threat Landscape Index gegenüber dem Vorjahr um fast vier Prozent erhöht und in diesem Quartal einen neuen Höchstwert erreicht. Der Anstieg ist insbesondere auf den Anstieg von Malware- und Exploit-Aktivitäten zurückzuführen.

Cyberangriffe: Kriminelle umgehen Bedrohungserkennung

Moderne Malware verfügt oft bereits über Funktionen, um Antiviren oder andere Maßnahmen zur Bedrohungserkennung zu umgehen. Erst kürzlich zeigte eine großangelegte Spam-Kampagne, wie Angreifer diese Techniken einsetzen und optimieren. Dabei wurden Phishing-E-Mails versandt, die ein Excel-Dokument mit einem bösartigen Makro enthielten. Die Attribute des Makros waren darauf ausgelegt, Sicherheits-Tools zu deaktivieren, willkürlich Befehle auszuführen und Speicherprobleme zu verursachen. Zudem sollte sichergestellt sein, dass sich das Makro nur auf japanischen Systemen ausführen ließ. Eine Rolle spielte dabei auch eine xlDate-Variable, die bisher nicht vom Hersteller dokumentiert ist.

Ein weiteres Beispiel ist eine Variante des Dridex-Banking-Trojaners, der bei jeder Anmeldung des Opfers die Namen und Hashes von Dateien ändert. Das macht es schwierig, die Malware auf infizierten Host-Systemen zu erkennen. Der Einsatz von Anti-Analyse- und Ausweichtaktiken nimmt also zu. Eine vielschichtige Verteidigung und verhaltensbasierte Bedrohungserkennung sind daher unerlässlich.

Quelle: FortinetQuelle: Fortinet

Cyberangriffe: Verschleierte Attacken führen zur langfristigen Bedrohung

Die Malware „Zegost“ ist das grundlegende Element einer Speer-Phishing-Kampagne. Wie bei anderen Infostealern ist das Hauptziel der Malware, Geräteinformationen zu sammeln und zu exportieren. Im Vergleich zu anderer Malware enthält Zegost jedoch bislang einzigartige Konfigurationen, um nicht entdeckt zu werden. Beispielsweise gibt es eine Funktion zum Löschen von Ereignisprotokollen. Diese Art der Bereinigung ist bei typischer Malware nicht zu beobachten. Eine weitere Ausweichstrategie von Zegost ist ein Befehl, der den Infostealer bis zum 14. Februar 2019 in eine Art Ruheposition versetzte. Erst danach begann er seine Infektionsroutine. Die Cyber-Kriminellen hinter Zegost nutzen ein ganzes Arsenal an Exploits. Ihr Ziel ist es, eine Verbindung zum anvisierten Opfer herzustellen und aufrechtzuerhalten. Das macht sie im Vergleich zu anderen Angreifern zu einer langfristigen Bedrohung.

Der Trend geht zu immer zielgerichteteren Angriffen

Vermehrte Angriffe auf Städte, Kommunalverwaltungen und Bildungseinrichtungen zeigen, dass Ransomware weiterhin eine ernsthafte Bedrohung für Organisationen darstellt. Der Trend geht zudem weg von Massenangriffen hin zu immer zielgerichteteren Attacken. Beliebte Opfer sind Unternehmen, die sowohl um sensible Daten fürchten müssen als auch finanziell in der Lage sind, Lösegeld zu zahlen. In einigen bekanntgewordenen Fällen haben Cyber-Kriminelle bereits im Vorfeld umfangreiche Recherchen durchgeführt. So konnten sie ihre Ransomware auf sorgfältig ausgewählten Systemen einsetzen und damit ihre Erfolgschancen maximieren.

Quelle: FortinetQuelle: Fortinet

Ein Beispiel dafür ist die Ransomware „RobbinHood“. Sie wurde entwickelt, um die Netzwerkinfrastruktur eines Unternehmens anzugreifen. Die Malware kann Datenverschlüsselungen verhindern, indem sie Windows-Dienste deaktiviert und die Verbindung zu gemeinsam genutzten Laufwerken trennen. Eine neue Ransomware namens „Sodinokibi“ könnte eine weitere Bedrohung für Unternehmen werden. Funktionell unterscheidet sie sich zwar nicht sehr von anderen aktuellen Erpressungs-Trojanern, problematisch ist jedoch ihr Angriffsvektor. Dieser nutzt eine neuere Schwachstelle aus, die beliebige Code-Ausführungen ermöglicht. Dadurch ist auch keine Benutzerinteraktion nötig wie bei anderer Ransomware, die etwa durch Phishing-E-Mails zugestellt wird.

Unabhängig vom Angriffsvektor stellt Ransomware weiterhin eine ernsthafte Bedrohung für Unternehmen dar. Regelmäßige Patches sowie Aufklärung über Informationssicherheit sind daher elementar wichtig. Darüber hinaus zeigen Schwachstellen von Remote-Desktop-Protokollen (RDP) wie BlueKeep, dass Cyber-Kriminelle Remote Access Services als Angriffsvektoren nutzen können, um Ransomware zu verbreiten.

Cyberangriffe: IT-Systeme bei kleineren Firmen als neues Angriffsziel

Zwischen dem simplen heimischen Druckernetzwerk und den komplexen IT-Systemen in Unternehmen der kritischen Infrastrukturen (KRITIS) gibt es auch immer mehr Kontrollsysteme für Privathaushalte und kleinere Unternehmen. Angreifer haben diesen bisher wenig Beachtung geschenkt, doch das könnte sich ändern. Seit kurzem werden erhöhte Aktivitäten auf Systemen wie Klimaanlagen, Überwachungskameras und Security-Anlagen festgestellt. In einem Prozent der Unternehmen zeigten Gebäude-Management-Lösungen ungewöhnliches Verhalten. Auf den ersten Blick scheint dies nicht viel zu sein, allerdings ist diese Rate höher als normalerweise bei ICS- oder SCADA-Systemen.

Cyber-Kriminelle suchen nach neuen Möglichkeiten, um sich Zugriff auf Kontrollsysteme in Privathaushalten und kleineren Unternehmen zu verschaffen. Oftmals werden solche Geräte als unwichtig eingestuft oder unterliegen nicht der Kontrolle einer IT-Abteilung. Allerdings verdient die Sicherheit solcher intelligenten Systeme mehr Aufmerksamkeit. Denn: Zugang zu diesen kann fatale Folgen für die Sicherheit haben. Besonders im Hinblick auf den Trend zu Remote-Arbeitsplätzen ist ein sicherer Zugriff essenziell.

Integrierte und automatisierte Security-Lösungen

Dynamische, proaktive und in Echtzeit verfügbare Bedrohungsinformationen können dabei helfen, Trends zu identifizieren und die Entwicklung von Angriffsmustern zu beobachten. So können Unternehmen Prioritäten in ihrer Security-Strategie setzen. Allerdings ist dies nur stark eingeschränkt möglich, wenn Bedrohungsinformationen nicht in Echtzeit auf jedem angebundenen Security Tool verfügbar sind. Nur eine umfassende Security-Architektur, eine Security Fabric, die breit angelegt und integriert ist sowie automatisiert arbeitet, kann die gesamte Netzwerkumgebung – IoT, Edge, Netzwerkkern und Multi-Cloud – schützen und Skalierbarkeit sowie Geschwindigkeit bieten.

Quelle: FortinetQuelle: Fortinet

„Die Bandbreite und Komplexität der Angriffsmethoden von Cyber-Kriminellen nimmt stetig zu. Sie versuchen die Geschwindigkeit und Konnektivität moderner IT-Systeme zu ihrem Vorteil zu nutzen“, erklärt Christian Vogt, Senior Regional Director Germany bei Fortinet. Sein Ratschlag: „Security-Verantwortliche sollten dasselbe tun und Cyber-Security zur obersten Priorität machen, um Risiken besser zu managen und zu minimieren. Ein umfassendes Konzept über alle Security-Elemente hinweg ist unerlässlich. Es muss Segmentierung und Integration sowie nutzbare Bedrohungsinformationen und Automatisierung in Kombination mit maschinellem Lernen umfassen. Nur so werden die Bemühungen Früchte tragen.“

Der aktuelle Fortinet Threat Landscape Report gibt ein Überblick über die gesammelten Daten aus den weltweiten Sensoren der FortiGuard Labs für das zweite Quartal 2019. Die Forschungsdaten decken globale und regionale Perspektiven ab. Ebenfalls im Bericht enthalten ist der Fortinet Threat Landscape Index (TLI), der sich aus einzelnen Indizes für drei zentrale und komplementäre Aspekte der Bedrohungslandschaft zusammensetzt: Exploits, Malware und Botnets. Der TLI zeigt die Prävalenz und das Volumen der einzelnen Aspekte im jeweiligen Quartal an. (sg)

Lesen Sie zum Thema IT-Sicherheit auch: Laterales Phishing: Drei Maßnahmen zum Schutz vor Angriffen