Ransomware: aus der Opfersicht

Angriff Ransomware Arbeitsplatz

Beitrag teilen

Spezialist Sophos kennt den Ablauf und die Folgen eines erfolgreichen Ransomware-Angriffs nur zu gut. Aus Sicht des Opfers: So läuft eine Ransomware-Attacke ab.

Keine Organisation möchte Opfer von Cyberkriminalität werden. Aber wenn es Sicherheitslücken gibt, ist es wahrscheinlich, dass Angreifer diese finden und ausnutzen. Und es kann Monate oder sogar länger dauern, bevor das Opfer den Zustand überhaupt bemerkt. So genannte Incident Responder helfen Unternehmen dabei, Angriffe und deren Auswirkungen zu identifizieren, zu blockieren und abzuschwächen. Dieses Monitoring durch Spezialisten ermöglicht außerdem eine genau Analyse von Angriffsmustern und im Ergebnis eine hautnahe Betrachtung, wie Cyberkriminalität tatsächlich die Opfer trifft.

Der wahre Gegner ist der Mensch, nicht die Maschine

Angreifer sind immer geschickter darin, sich zu tarnen, um keinen Verdacht bei Sicherheitsteams zu wecken und unentdeckt zu bleiben. Daher sind verschiedene Sicherheitslevel notwendig, die die Angriffskette an unterschiedlichen Orten durchbrechen. Während die initiale Verletzung automatisiert abläuft, nutzen Hacker im Anschluss beispielsweise legitime IT-Werkzeuge, wie z.B. Netzwerk-Scanner, für ihre illegalen Zwecke, um Sicherheitstechnologien zu umgehen und sich lateral durch das Netzwerk zu bewegen. Die Herausforderung für Opfer liegt darin, dass IT-Sicherheitsteams besonders wachsam bei der Bewertung von Tools sein müssen, die legitim und deswegen aber auch beliebt und häufig gebräuchlich bei Angreifern sind. Zudem kompromittieren Angreifer regelmäßig bestehende Administrator-Accounts, um sich vor aller Augen zu verstecken. Werden sie in ihren Angriffen gestoppt, versuchen sie etwas anderes. Und hier offenbart sich einer der bedeutendsten und durch die Opfer immer noch zu sehr unterschätzten Aspekte von Cyberkriminalität: man kämpft nicht gegen Malware-Code, man kämpft gegen Menschen.

Ransomware ist das Finale einer Cyberattacke

Laut Incident Respondern glauben viele Opfer, dass ein Angriff erst kurz vor seiner Sichtbarkeit – zum Beispiel durch die Ransomware-Meldung – erfolgt ist. Das ist allerdings sehr selten der Fall. Tatsächlich ist es so, dass sich Angreifer in aller Regel bereits eine ganze Weile vor diesem Zeitpunkt im Netzwerk aufgehalten haben. Sie agieren verborgen unter dem Radar, scannen das System, installieren Hintertüren und stehlen Informationen. All diese Aktivitäten sind Marker, die geprüft werden müssen, um eine vollständige Wiederherstellung nach dem Angriff zu erleichtern. Der Teil des Angriffs, der am meisten die Alarmglocken klingen lässt, ist das Starten von Ransomware. An diesem Punkt gelingen dem Angreifer alle oben genannten Methoden im Opfer-Netzwerk (siehe Grafik zu unterschiedlichem Ransomware-Verhalten), so dass er aus seiner Deckung kommen und präsent sein kann. Mit anderen Worten: die Implementierung von Ransomware markiert das Finale eines Angriffs, nicht seinen Beginn.

Opfer und Angreifer sind großem Stress ausgesetzt

Rund Neunzig Prozent der Attacken, die von Incident Respondern gesehen werden, involvieren Ransomware, und die Auswirkungen dieser Angriffe sind oft verheerend. Dies gilt besonders für systemrelevante Organisationen, wie zum Beispiel Gesundheitseinrichtungen, wo ein erfolgreicher Angriff abgesagte Operationen, verschwundene Röntgenbilder, verschlüsselte Ergebnisse von Krebs-Screenings und mehr bedeuten kann.

Einige Opfer fühlen sich ohnmächtig und halten eine Lösegeldzahlung für die einzige Option, um zum Beispiel den Zugriff auf Daten-Backups, die von den Angreifern gekapert wurden, wiederzuerlangen. Andere Organisationen entscheiden sich gegen eine Zahlung. Wiederum andere sorgen sich mehr um den Schaden für ihre Reputation (Veröffentlichung der gestohlenen Daten) denn über Lösegeld für Entschlüsselungscodes. Ransomware selbst variiert von geschäftsmäßig und raffiniert bis minderwertig und schlampig. Ransomware-Analysen haben gezeigt, dass Attacken nicht nur für die Opfer anstrengend und einschüchternd sind, sondern dass auch die Kriminellen zunehmend unter „Erfolgsstress“ stehen: Sie bedrängen Unternehmen, die sich weigern zu zahlen, immer massiver.

Herausforderung Wiederaufbau: Finde die Quelle

Die Incident-Responder-Daten deuten auch darauf hin, dass es vielen Opfern schwerfällt, die Bewegung von Ransomware durch die Organisation nachzuvollziehen. Es gibt die generelle Annahme, dass sie sich von ihrem Startpunkt automatisch in alle Richtungen des Netzwerks ausdehnt – während sie in Wirklichkeit strategisch auf eine vorausgewählte Liste von Geräten und Netzwerkbereichen konzentriert. Zudem zeigt sich, dass die Angreifer nicht nur Dokumente und andere Daten anvisieren, sondern sie schlichtweg die Geräte und Systeme soweit funktionsunfähig machen wollen, dass diese nur noch über genug Ressourcen verfügen, um die Ransomware-Benachrichtigung zu starten.

Für die Opfer einer Attacke bedeutet das: die Wiederherstellung des Systems beginnt nicht mit dem Wiedereinspielen eines Backups und der Suche danach, was die Angreifer noch angerichtet haben. Der Wiederherstellungsprozess startet oft mit der signifikanten Herausforderung, sämtliche betroffenen Maschinen neu aufzubauen. Und mit ihr die schwierige Aufgabe der Identifikation: von wo ging die Attacke aus und sind die Kriminellen vielleicht sogar noch immer im System?

Gefahrenabwehr nur mit Maschine und Mensch

Überwachungskameras können Verbrechen aufnehmen, Täter vielleicht auch abschrecken, aber stoppen können sie den Einbruch nicht. Entscheidend ist das Eingreifen der Sicherheitskraft, die live die Aufnahmen verfolgt und entsprechende Handlungen unternimmt. Seitdem die Cybergangster immer häufiger im Stealth-Modus unterwegs sind und sie ihre Fähigkeiten, legitime Werkzeuge und Prozesse zu verwenden, verbessert haben, steigt der Wert des menschlichen Faktors im Threat Hunting. Diese Methode kombiniert fortgeschrittene Algorithmen modernster Sicherheitssoftware mit täglicher menschlicher Expertise, die in der Lage ist, die Nuancen eines Angriffs zu bewerten – eine Fähigkeit, die Software (so noch) nicht besitzt.

Mehr dazu bei Sophos.com

 

[starbox id=15]

 

Passende Artikel zum Thema

KMU: Von Cyberrisiken bedroht

Cyberattacken sind eine Herausforderung für KMU. Weltweit ist ungefähr die Hälfte der KMU schon einmal Ziel einer solchen gewesen. T-Sicherheitsherausforderung ➡ Weiterlesen

Finanzsektor zahlt bei Ransomware-Attacken Rekordsummen

Stetig wächst die Zahl der jährlichen Ransomware-Attacken auf Unternehmen des Finanzsektors: waren es in 2021 noch 34 Prozent, stieg die ➡ Weiterlesen

Neue Ransomware-Gruppe Money Message entdeckt

Bereits im April dieses Jahres wurde eine neue Ransomware-Gruppe namens „Money Message“ aktiv. Während die Cyberkriminellen bislang unter dem Radar ➡ Weiterlesen

Analyse: So läuft ein Angriff der Akira Ransomware-Gruppe ab

Die Südwestfalen-IT wurde von der Hackergruppe „Akira“ angegriffen, was dazu führt, dass zahlreiche Kommunalverwaltungen seit Wochen nur eingeschränkt arbeiten können. ➡ Weiterlesen

CSaaS: Studie zu Cyber Security as a Service 

Unternehmen stärken sich zunehmend mit externer Expertise. So zeigt die aktuelle Studie, dass 46 Prozent der Unternehmen bereits auf Cyber ➡ Weiterlesen

Finanzbranche kommt an der Cloud nicht vorbei

Obwohl in der Finanzbranche die Sicherheits-Anforderungen an Cloud-Computing besonders hoch sind, setzen immer mehr Finanzinstitute auf Cloud-Lösungen. Höhere Flexibilität, schlankere ➡ Weiterlesen

LockBit: Gestohlene Shimano-Daten wohl veröffentlicht

Der japanische Hersteller für Fahrradteile Shimano wurde Ziel laut LockBit Opfer eines Ransomware-Angriffs und zeigte sich offenbar nicht bereit, Lösegeld ➡ Weiterlesen

Mehr Cyberangriffe auf kritische Infrastrukturen

Kritische Infrastrukturen rücken zunehmend in den Fokus von Cyberkriminellen. Mehr als die Hälfte der Angriffe gehen von staatsnahen Gruppierungen aus. ➡ Weiterlesen