2-2022

CrowdStrike-Produkte
DAUERGEFAHR RANSOMWARE: WIE SICH UNTERNEHMEN
UND INSTITUTIONEN VOR NEUEN TRENDS UND METHODEN
SCHÜTZEN KÖNNEN
mächtige Werkzeuge wie das IoT-Scanning-Portal
Shodan oder Programme,
die gezielt nach Schwachstellen suchen,
zur Verfügung. Ja nach geografischem
Standort mit seiner örtlichen Gesetzgebung
können dunkle Aktivitäten legal
oder illegal sein.
DIE AKTEURE HINTER
DEN RANSOMWARE-ANGRIFFEN
Cybersecurity
basierten Web-Schutz und Cyber-Resilicence-Technologien.
Malware, Phishing-,
Credential-Harvesting- und Identitätsfälschungsangriffe
lassen sich identifizieren
und blockieren, bevor ein Schaden
entsteht. Auch interne Kommunikations-
Tools lassen sich besser verteidigen und
gegen mögliche Insider-Risiken absichern.
CrowdStrike Über welche Intelligence Position überwacht verfügen das die Cybercrime-
Ökosystem,
Angreifer?
indem es Cybercrime-Organisationen, Ist mein unabhängige
Betrieb von Datenlecks
Sowohl im üblichen frei zugänglichen
Bedrohungsakteure und deren Beziehungen betroffen?
verfolgt. So wurde
Internet (Clearnet, „sichtbares“ Web) als
zum Beispiel auch im der Deepweb Entwickler (nicht von frei Samas zugänglich) (alias Sam Anhand Sam) Ihrer als E-Mail-Adresse ein
können
Bedrohungsakteur als auch im Darknet namens (abgeschlossenes
BOSS SPIDER identifiziert. Sie prüfen, ob INDRIK diese Adresse SPIDER in Verbindung
mit Und anderen WIZARD persönlichen Daten
wurde die Web) Entwicklung gibt es zahlreiche von Dridex illegale zugeschrieben. Angebote
für Werkzeuge, um in Firmennetzwerke
auch einzudringen. bekannt als Man der in spricht Russland heute ansässige braucht werden Betreiber könnte. der Das Hasso Platt-
im Internet offengelegt wurde und miss-
SPIDER,
Banken-Malware von einem TrickBot „Geschäftsmodell“ (die in der namens Vergangenheit ner Institut hauptsächlich
bietet dazu den HPI Identy
auf Überweisungsbetrug Crime as a Service. abzielte), wurde als Gruppe Leak Checker: identifiziert, https://sec.hpi.de/ilc/
die
auch Ryuk Wie entwickelt weit haben hat. sich Diese die Gruppen wurden Was sind dabei populäre beobachtet, Maschen des
wie sie gezielte Möglichkeiten Ransomware-Angriffe für Cyberkriminalität initiieren, Betrugs die dem per Konzept E-Mail? der
„Großwildjagd“ entwickelt? folgen und dabei große Gewinne • falsche erwirtschaften. Chefs oder Lieferanten, die
Cyberkriminalität kann als ein ausgereifter
Markt konnte betrachtet zudem werden. eine zunehmende Hier gibt Kooperation Fake President von
Zahlungen auf ihr Konto umleiten, sog.
CrowdStrike
es Marketing und Kundenbetreuung oder • Ordern von Waren an Fake-Adressen,
Bedrohungsakteuren bei gezielten Angriffen und ein zunehmendes
Dienstleistungen für maßgeschneiderte sog. Fake Identy Fraud
Auftreten Angriffe als „Mega-Organisation“ werden angeboten. Cyberkriminelle
setzen 2021 bei wurde ihren darauf Erpressungsan-
hingewiesen, dern dass der WIZARD IBAN, sog. SPIDER Paymant – Diversion
beobachten. • Herausfischen Im CrowdStrike einer Global Mail und Verän-
Threat Report
ein BGH-Akteur
griffen mit
und
Ransomware
etabliertes
immer
Cybercrime-„Großunternehmen“
häufiger
–
eine Art Miet-Software ein, die im Netz
seine rasanten Was ist beim IoT/IIoT zu beachten?
als Service Operationen bereitgestellt aufrechterhalten wird.
hat und das zweite Jahr in
Folge der am häufigsten gemeldete Cybercrime-Gegner Schwachstellen wurde. in IoT/IIoT-Geräten
Was sind die Einfallstore?
sind besonders gefährlich, da sie den
Zum einen ist es ganz einfach die
Missbrauch sensibler
gewöhnliche Internet-Anbindung,
zum ande-
und zu physischen
Daten begünstigen
HÖHERE
ren ist es
KOMPLEXITÄT
das
UND
Gefahren führen
IoT bzw. IIoT.
können. Hierzu
UNSCHARFE Als größtes Ein-LINIEfallstor
werden
funktionen von
gehören Fehl-
E-Mails angesehen
(70%). Cyber-
Defekte an Gerä-
Industrieanlagen,
Wie alle Software-Entwickler arbeiten auch Cybercrime-Gruppen
ständig kriminelle an der Verbesserung setzen ihrer Ransomware und rüsten diese ten und mit Maschinen
neuen Funktionen darauf, dass auf. elektronische
Post erweitert samt und unnötige Anhän-
und veraltete heitssystemen. Funktionen aus
WIZARD SPIDER zum Beispiel oder Störungen hat Ryuk von um Gebäudesicher-
viele
neue Funktionen
gen oft zu gedankenlos geöffnet wird. Zu den Sicherheitsrisiken zählen nichtgepatchte
Erfassungsmodule Schwachstellen, ein, cloud-basier-
die
dem Code Dem entfernt. folgen Hackerangriffe Diese Gruppe (27%). setzt neue
auf die Systeme der Opfer heruntergeladen werden, tes Management um Zugangsdaten
und damit Anfälligkeit
Gibt es Technologien, die
zu orten und laterale Bewegungen in der Umgebung etwa für des Angriffe Opfers auf Zugangsdaten,
einen sicheren E-Mail-Verkehr
schwache Authentifizierung und ein Mangel
an host-basierter Sicherheit.
durchzuführen gewährleisten? – immer mit dem Ziel, Zugang zum Domänencontroller
zu erhalten. Die Bei E-Mail erfolgreichem als eines der Zugriff wichtigsten auf den Domänencontroller Die Umgebung ist oft kann nur durch eine
WIZARD digitalen SPIDER Kommunikationsmittel seine Ransomware ist Ryuk ein in Firewall der gesamten geschützt. Umgebung
Das Netzwerk selbst
des Opfers
besonders
implementieren.
beliebter Angriffspunkt für wird jedoch nicht überwacht und es mangelt
an Endpunktsicherheit und auch
Ransomware-Attacken. Etwa die Firma
Mimecast bietet Lösungen für den cloud-
Erschwerend kommt hinzu, dass sich die Grenzen zwischen
nationalstaatlichen und Cybercrime-Ransomware-Kampagnen
verwischen. Dieser Trend ist seit 2018 zu beobachten. Ob
der Ransomware-Code gestohlen oder willentlich zwischen
nationalstaatlichen Akteuren und Cyberkriminellen geteilt wird, ist nach
wie vor unklar. CrowdStrike hat allerdings beobachtet, dass beide Arten
von Gegnern ähnliche Malware wie beispielsweise Ryuk einsetzen,
entweder um sofortigen 2/2022 finanziellen Gewinn zu erzielen oder um eine
Ablenkung zu schaffen, die den Ursprung eines nationalstaatlichen
„Jeder vierte Mittelständler in
Deutschland war bereits Opfer mindestens
eines erfolgreichen Cyberangriffs.“
Forsa-Studie/Gesamtverband der
deutschen Versicherungswirtschaft
DIE ENTWICKLUNG DER
MODERNEN RANSOMWARE
• Großwildjagd auf
Infrastrukturen
• Finanzunternehmen
zahlt Lösegeld von
40 Mio. US-Dollar
• Beginn der
„Großwildjagd“
(Big Game
Hunting / BGH)
• JavaScript-
Ransomware
erscheint
• Locky erscheint
• Krankenhaus
zahlt 17.000 Dollar
Lösegeld
• Erträge aus
Ransomware
> 1 Mrd. US-Dollar
• Über 250.000
Ransomware-
Varianten
• CryptoLocker
erscheint
• Einsatz von RSA-
Verschlüsselungen
mit 2048 Bit
• Ransomware für
300 US-Dollar
käuflich
• Erträge aus
CryptoLocker:
30 Mio. US-Dollar in
100 Tagen
• 10.000
Ransomware-
Varianten
• Bitcoin wird
geboren
• Ransomware mit
Bildschirmsperre
erscheint
• Scareware wird
von gefälschten
Virenschutzprogrammen
und bösartigen
Dienstprogrammen
beherrscht
• Erste Varianten
moderner
Ransomware
tauchen auf
2020
2019
2018
2017
2016
2015
2014
2013
2012
2011
2010
2009
2008
2007
2006
2005
• Großwildjagd
auf staatliche
und kommunale
Behörden
• Kommunale
Behörde zahlt
Lösegeld von
460.000 US-Dollar
• Nationalstaatlich
unterstützte
Ransomware
WannaCry
und NotPetya
kombinieren
Wurm-Techniken
zur weltweiten
Verbreitung
• Über 4 Millionen
Ransomware-
Varianten
• Ransomwareas-a-Service
erscheint
• TeslaCrypt
erscheint
• Über 100.000
Ransomware-
Varianten
• Ransomware für
200 US-Dollar
käuflich
• Varianten zur
Imitation der
Mittel von
Vollzugsbehörden
erscheinen
• Malware wandelt
sich von bösartigen
Virenschutzprogrammen
zur Dateiverschlüsselung
• Betrugsprogramm
FileFix Pro erpresst
40 US-Dollar, um
beim Entschlüsseln
von Dateien zu
„helfen“
• Ransomware
stellt von 56-Bit-
Verschlüsselung
auf 660-Bit-RSA-
Verschlüsselung
mit öffentlichem
Schlüssel um
19