Ransomware-Angriffe: Wie Unternehmen darauf reagieren sollten

„Organisationen jeglicher Größe sind Ziel der Ransomware-Angriffe – vom kleinen Familienunternehmen über Mittelständler bis hin zum Großkonzern. Um solchen Attacken vorzubeugen, gilt es präventive Maßnahme zu ergreifen. Dabei können u.a. Security-Operations-Services-Partner wie Arctic Wolf unterstützen. Wurden entsprechende Maßnahmen nicht ergriffen, und es kommt doch zu einem Vorfall, ist es entscheidend, schnell die nächsten Schritte zu planen und sich mit der Frage „Zahlen oder nicht zahlen?“ zu beschäftigen,“ ist Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf, überzeugt.

Erste kritischen Momente für Unternehmen

So sollten Unternehmen auf Ransomware-Angriffe reagieren:

• Keine überstürzte Reaktion: Sobald Unternehmen auf die Nachricht der Angreifer antworten, starten die Kriminellen einen vordefinierten Prozess, und eine Art Countdown läuft.
• Unterstützung anfordern und Behörden informieren: Auch wenn Unternehmen die Entscheidungen letztlich selbst treffen müssen, bieten Cyber Defense Hotlines von Security-Partnern, spezialisierte Berater sowie LKA, BKA, die Zentrale Ansprechstelle Cybercrime (ZAC) und das BSI wertvolle Tipps.
• Incident-Response- und Ransomware-Plan folgen: Wenn präventiv ein Notfallplan aufgesetzt wurde, sollte dieser Schritt für Schritt befolgt werden.
• Transparenz schaffen: Das Senior Management sollte direkt über den Vorfall informiert werden. Das bedeutet, die Lage, nächste Schritte und die benötigte Hilfe erklären.

Ransomware-Angriffe: Die nächsten Schritte

Der akute Angriff ist nicht der Moment, um die Schuldfrage zu diskutieren. Das Team sollte sich vielmehr auf folgende Kernaufgaben konzentrieren:

1 .Stoppen der Ransomware-Angriffe mithilfe von Incident Response

• Wie lässt sich im Team kommunizieren? (ggf. Einrichtung einer Notkommunikation)
• Wo und inwieweit ist das Unternehmen noch verwundbar? Es ist sehr wahrscheinlich, dass sich die Angreifer noch im Netzwerk befinden!
• Schließen von C&C (Comand-and-Control)-Kanälen, um Angreifer vom eigenen Netzwerk auszuschließen.
• Welche Infrastrukturteile können/müssen isoliert oder abgetrennt werden, um weitere Schäden zu verhindern?

2. Feststellung der Recovery-Optionen durch IT-Operations-Teams

• Verfügbarkeit der Backups feststellen und diese sofort offline nehmen, um die Verschlüsselung durch Angreifer zu verhindern.
• Welche Services sind betroffen, welche bestehen noch unberührt?
• Welche Daten haben die Angreifer verschlüsselt?
• Welche Recovery-Aktionen sind erforderlich für den Fall, dass sich Daten wieder entschlüsseln lassen oder dass sie dauerhaft verschlüsselt bleiben?

3. Zusammentragen von Threat-Intelligence-Informationen

• Um welche Ransomware handelt es sich? Gibt es ggf. Entschlüsselungsmöglichkeiten durch Schwachstellen in der Ransomware?
• Gibt es erfolgreiche Entschlüsselungen?
• Welche Angreifergruppe steht hinter dem Vorfall? – Motivation, Methoden, frühere Aktivitäten, Profis oder Anfänger?

4. Ransomware-Angriffe: Aufstellen eines Business Case

• Ist die Zahlung des Lösegeldes das insgesamt günstigste Szenario? – und das Treffen der Entscheidung: zahlen oder nicht zahlen?
• Wie hoch ist die Lösegeldsumme, und was ist das Unternehmen bereit zu zahlen?
• Wie lang sind die Ausfallzeiten in beiden Szenarien? Wie umfangreich die Aufwände für den Wiederaufbau (Recovery) und Wiederherstellung bzw. Entschlüsselung der Daten?
• Image- und Reputationsschäden und ggf. Klagen durch betroffene Stakeholder?
• Besteht eine Cybersecurity-Versicherung, die einen Teil der Kosten übernimmt?
• Entscheidend ist, dass es bei Verhandlungen mit Kriminellen keine Garantien gibt. auch wenn das Unternehmen das Lösegeld bezahlt. LKA, BKA und BSI raten zudem von der Zahlung ab, um keine organisierte Kriminalität zu finanzieren.

5.Verhandlungen mit Angreifern aufnehmen

• Definition der Verhandlungsziele und Aufbringung der Zahlungsmittel
• Kontaktieren und Verifizierung der Angreifer: Bleiben Sie höflich. Denn Angreifer erpressen meist mehrere Unternehmen gleichzeitig, und „schwierige Kunden“ werden auch von Kriminellen schlechter behandelt. Und fordern Sie Beweise an. Mit Free Keys oder Samples lässt sich überprüfen, ob die Angreifer wirklich den korrekten Schlüssel besitzen. Keys sollten zunächst in einer Sandbox überprüft werden, um auszuschließen, dass es sich auch um maliziöse Payloads handelt
• Höhe der Zahlung verhandeln, aber niemals sagen, dass man kein Geld hat, sonst verlieren die Erpresser das Interesse. Zudem sind die Angreifer über Geschäftsberichte und Finanzbilanzen häufig gut über die Zahlungsfähigkeit informiert
• Definition eines gemeinsamen Zeitplans
• Bezahlen mit Crypto-Währung (1-2 Tage). Achtung: Es besteht immer die Gefahr, dass Unternehmen zahlen und trotzdem keinen Schlüssel von den Betrügern erhalten.
• Lieferung des Schlüssels durch die Erpresser
• Das durch Angreifer zur Verfügung gestellte Entschlüsselungsprogramm sollte zuvor in der Sandbox geprüft werden, um sicher zu gehen, dass es wirklich entschlüsselt und nicht die Situation noch verschlimmert.

Ransomware-Angriffe: Weitere Vorfälle verhindern

Damit Ransomware-Angriffe eine einmalige Angelegenheit bleibt, gilt es nach dem Vorfall einige abschließende Maßnahmen zu ergreifen. So sollten IT-Teams sämtliche Systeme scannen und bereinigen sowie die Passwörter aller User und technischen Accounts zurücksetzen. Außerdem sollten sie mögliche Backdoors und Verwundbarkeiten überprüfen und bei Bedarf schließen. Ganz egal, ob man sich für oder gegen die Lösegeldzahlung entschieden hat, sollte dem Vorfall außerdem ein intensives Hunting bzw. Public-, Dark-, und Deep-Web-Monitoring folgend, um zu überprüfen, dass tatsächlich keine eigenen Daten veröffentlicht wurden. (sg)

Lesen Sie auch: Backup-Strategie: Wie Ransomware-Angreifer vorgehen