Ransomware – dem digitalen Supergau vorbeugen

Sie verstecken sich hinter abstrakten oder manchmal fast niedlichen Namen: „WannaCry“, „NotPetya“ oder „Bad Rabbit“. Doch für die Betroffenen sind diese Ransomewareattacken der digitale Supergau. Vielen Experten gilt die Ransomware nach wie vor als die gefährlichste Art der Malware für Unternehmen.

Und zwar einfach aufgrund ihrer potentiell enormen Auswirkungen auf Finanzen und Ruf betroffener Unternehmen. Im Gebiet der Ransomware haben Cyberkriminelle in letzter Zeit für ihre Zwecke sehr wirksame Angriffsvektoren entwickelt, wie etwa die Malware GandCrab, die nun fast zwei Jahren erfolgreich Unternehmen jeder Größe attackierte. Nachdem die Malware-Entwickler eigenen Angaben zufolge pro Woche ungefähr 2,5 Millionen US-Dollar verdient haben, wurde nun das Ende von GandCrab angekündigt.

Laut einer Untersuchung der Unternehmensberatung Accenture stiegen die durch Ransomware verursachten Kosten im Jahr 2018 stärker als durch jede andere Malware – pro Vorfall fallen durchschnittliche Kosten von 74.000 US-Dollar an. Die kriminellen Machenschaften gehen sogar so weit, dass das Modell Ransomware für technisch weniger versierte Angreifer als „Ransomware-as-a-Service“ angeboten wird. Und die zu nutzende Technologie ist für Kriminelle nicht nur einfach zu bekommen, neue Varianten der Malware werden immer effektiver: Sie können schneller und zuverlässiger Daten verschlüsseln und nutzen neue Infektions- und Bereitstellungsmechanismen, die effektiv die Sicherheitsmaßnahmen eines Unternehmens umgehen. All dies erweitert den Kreis potentieller Angreifer und ermutigt Cyberkriminelle dazu, immer höhere Beträge von ihren Opfern zu erpressen. Es gibt jedoch Maßnahmen, die Unternehmen ergreifen können, um den Angreifer entgegenzutreten.

Was sind die größten Chancen für eine bessere Abwehr von Malware?

Angreifer, die Ransomware für ihre kriminellen Zwecke einsetzen, suchen sich ihre Opfer oft sehr gezielt aus. Sie kundschaften Schwachstellen aus, wählen die geeigneten Angriffsmethoden und schätzen ein, wieviel das Unternehmen im Ernstfall bezahlen würde, um nach einem erfolgreichen Angriff wieder handlungsfähig zu werden. All dies kostet die Angreifer Zeit und Geld und es werden deshalb nur Ziele ausgewählt, die diesen Aufwand lohnen. Die Kriminellen verhalten sich genauso wie ein Rudel Löwen, das eine Zebra-Herde auskundschaftet und sich dann nur die schwächsten Zebras aussucht, um sie anzugreifen.

Um die Chancen durch Ransomware betroffen zu werden zu minimieren, können Unternehmen aus diesem Angriffmuster zwei generelle Strategien ableiten. Sie werden wohl weniger wahrscheinlich als Ziel ausgewählt, wenn erstens die Angriffskosten zu hoch werden, oder zweitens, die Erfolgsaussichten zu gering. Doch welche Taktiken können Unternehmen konkret in der Praxis nutzen, um diese Strategien zu verfolgen?

Maschinelles Lernen und Automatisierung machen besseren Schutz bezahlbar

Ein wichtiges Element einer jeden Sicherheitsstrategie ist seit jeher die Schulung der Mitarbeiter beim Erkennen potenzieller Bedrohungen. Nach wie vor benötigen Angreifer für einen erfolgreichen Angriff aktuelle Logindaten von Benutzern im Netzwerk ihres als Ziel ausgewählten Unternehmens. Phishing-E-Mails waren in der Vergangenheit oft recht unbeholfen zusammengeschustert und relativ einfach zu erkennen. Doch die Angreifer haben gelernt und zielgerichtete Phishing-E-Mails sind heute selbst für Experten auf den ersten Blick kaum noch zu erkennen. Nur eine gut geschulte Belegschaft wird in der Lage sein, verdächtige E-Mails zu erkennen und die IT-Sicherheit zu verständigen.

Die Schulung der Belegschaft ist jedoch nur die halbe Miete. Eine effektive Strategie, die die Angriffskosten für Cyberkriminelle in die Höhe treibt, erfordert ein komplettes Sicherheitsnetz, das aus modernen Sicherheitslösungen besteht. Ein solches modernes Sicherheitsnetz hat im Idealfall mehrere Ebenen und setzt neueste Erkennungs- und Reaktionstechnologien (Endpoint Detection & Response – EDR) für die Endpunkte der gesamten Infrastruktur eines Unternehmens ein. Neueste Entwicklungen in diesem Bereich bedienen sich zudem des Maschinellen Lernens und der Automatisierung, um die überlasteten SOC-Teams bei der Priorisierung von Sicherheitswarnungen zu unterstützen. Dies ist insbesondere für kleinere Unternehmen ein wichtiger Faktor, da sich diese Organisationen im Normalfall keine großen SOC-Teams leisten können und die Algorithmen dabei helfen, kleinere Teams effektiver zu machen.

Unternehmen würden sich eine Technologie oder Methode wünschen, die hundertprozentige Sicherheit garantiert – sozusagen den magischen Security-Zauberstab. Die Realität sieht natürlich anders aus. Unternehmen müssen sich damit begnügen, sich mit Schulung der Mitarbeiter und den richtigen Technologien nur zu einem sehr hohen Prozentsatz absichern zu können. In der Praxis werden vielerorten jedoch Fehler gemacht, die die Gefahr erfolgreich gehackt zu werden unnötig erhöht.

Gängige Fehler von Sicherheitsstrategien

Bevor Unternehmen den Schritt gehen können, neueste Technologien zur Erhöhung ihrer Sicherheit einzusetzen, müssen im ersten Schritt die Hausaufgaben erledigt werden. Angreifern reicht ein einzelnes verwundbares Objekt im Netzwerk aus, um es als Brückenkopf für komplexere Angriffe zu nutzen. Es ist deshalb unerlässlich, ein ordentliches Asset-Management zu betreiben, das jederzeit auf dem aktuellen Stand ist. Erst wenn man alle Objekte in der Infrastruktur kennt, kann man diese sichern und mit Sicherheitspatches auf dem neuesten Stand halten. Diese Aufgabe wird aufgrund von BYOD, der Cloud, Software-as-a-Service, Virtualisierung, mobilen Geräte und IoT natürlich nicht einfacher, denn diese Technologien erhöhen die Angriffsfläche von Unternehmen beträchtlich.

Entschlüsselungstools – die letzte Chance

Sollte trotz allen Vorkehrungen doch einmal ein Angriff erfolgreich sein, können unter Umständen Entschlüsselungstool dabei helfen, wieder an die durch Ransomware verschlüsselten Daten zu gelangen, ohne horrende Lösegelder zu bezahlen. Solche Tools werden im Allgemeinen in Zusammenarbeit von Anbietern von IT-Security-Lösungen und den international agierenden Behörden wie Europol oder dem US-Amerikanischen FBI erstellt. Ein in Zusammenarbeit mit Bitdefender veröffentliches Entschlüsselungstool kann beispielsweise die von GandCrab verschlüsselten Daten wieder entschlüsseln. Dieses Decryption-Tool für GandCrab half bislang über 30.000 Opfern dabei, verschlüsselte Daten wiederherzustellen und damit mehr als 50 Millionen US-Dollar zu sparen, da kein Lösegeld floss. Diese Entschlüsselungtools sind normalerweise kostenfrei und werden auf entsprechenden Portalen, wie etwa dem „No More Ransom Project“ veröffentlicht.

Fazit

Obwohl es keinen kompletten Schutz gibt, können Unternehmen einiges tun, um sich auch gegen fortschrittliche Angriffe zu schützen, wie etwa die Ransomware GandGrab. Dazu müssen zuerst die Hausaufgaben erledigt werden, um genau zu wissen, was es zu schützen gilt. Effektiv abwehren lassen sich Angriffe anschliessend mit einer Kombination aus Schulung der Belegschaft und dem Einsatz moderner, mehrschichtiger Sicherheitstechnologien. Diese Technologien können durch den Einsatz von Maschinellem Lernen und Automatisierung auch kleineren Organisationen helfen, die sich keine großen SOC-Teams leisten können.

Liviu Arsene, Senior E-Threat Analyst, Bitdefender

www.bitdefender.de