Hacker werden ambitionierter, zerstörerischer und heimtückischer

Die schockierenden Ergebnisse des Symantec Internet Security Threat Report zeigen, dass Cyber-Kriminelle Millionen mit Hilfe von Formjacking stehlen, auf destruktive Malware setzen und sich auf Cyber-Kriegsführung vorbereiten. Außerdem steigt die Zahl ambitionierter, zerstörerischer und heimtückischer Cyberangriffe auf Unternehmen.

• Fast jede zehnte Angriffsgruppe, die gezielte Attacken verübt, setzt destruktive Malware ein und stoppt so Unternehmensabläufe. Diese Zahl stieg im Vergleich zu 2017 um 25 Prozent.
   
• Cyber-Kriminelle optimieren bewährte Taktiken, darunter Spear-Phishing, Hijacking legitimer Tools und bösartige E-Mail-Anhänge. Living of the Land (LotL)- und Supply Chain-Angriffe sind weiterhin eine signifikante Bedrohung. Der Einsatz bösartiger Powershell-Skripte stieg im vergangenen Jahr um 1.000 Prozent.
   
• Infektionen mit Ransomware stiegen in Unternehmen um zwölf Prozent
   
• Cloud-Ressourcen sind immer häufiger leichte Ziele für digitale Diebe: Mehr als 70 Millionen Datensätze aus schlecht konfigurierten S3 Public Cloud-Speicher-Buckets wurden gestohlen oder abgezapft.
   
• Eine zunehmende Anzahl an Angreifern kompromittiert operative Systeme und industrielle Kontrollsysteme (Industrial Control Systems, ICS), um sich möglicherweise auf Cyber-Kriegsführung vorzubereiten.

Die Ergebnisses des Symantec Internet Threat Security Report (ISTR), Volume 24, zeigen, dass Cyber-Kriminelle alternative Angriffsmethoden wie Formjacking entwickeln, um die sinkenden Profite von Ransomware und Krypto-Jacking auszugleichen.

Der Symantec ISTR bietet einen Überblick über die Bedrohungslandschaft und liefert detaillierte Erkenntnisse hinsichtlich der weltweiten Aktivitäten und Trends im Bereich Cyber-Kriminalität sowie zur Motivation der Angreifer. Der Report analysiert Daten des Global Intelligence Network von Symantec, das größte zivile Intelligence Netzwerk der Welt. Das Netzwerk besteht aus 123 Millionen Sensoren, die Angriffe weltweit aufzeichnen. Täglich wehrt es 142 Millionen Bedrohungen ab und beobachtet die Aktivitäten in mehr als 157 Ländern.

Zu den Highlights des diesjährigen Reports gehören:

Cyber-Kriminelle wollen dank Formjacking schnell reich werden

Formjacking-Angriffe sind denkbar einfach: Es handelt sich dabei um ein Skimming von Geldautomaten, das virtuell abläuft: Cyber-Kriminelle integrieren bösartige Codes in Retail-Webseiten und stehlen so die Kreditkartendetails von Verbrauchern. Jeden Monat werden durchschnittlichen 4.800 neue Webseiten durch Formjacking-Codes kompromittiert. Symantec hat 2018 mehr als 3,7 Millionen Formjacking-Angriffe auf Endpunkte abgewehrt. Fast ein Drittel aller erkannten Attacken fanden im November und Dezember statt – den wichtigsten Shopping-Monaten des Jahres.

Die Online-Bezahlseiten einiger renommierter Unternehmen wie Ticketmaster und British Airways wurden in den letzten Monaten Opfer von Formjacking-Angriffen. Die Symantec Studie zeigt aber auch, dass vor allem kleine und mittelständische Unternehmen die attraktivsten Angriffsziele sind.

Cyber-Kriminelle stehlen Finanzdaten und persönliche Informationen und haben durch Kreditkartenbetrug und Verkäufe im Dark Web Dutzende Millionen US-Dollar eingesammelt – so konservative Schätzungen. Nur zehn gestohlene Kreditkarten jeder kompromittierten Webseite generieren bis zu 2,25 Millionen US-Dollar Umsatz pro Monat. Eine einzige Kreditkarte wird für bis zu 45 US-Dollar in Dark Web-Foren verkauft. Beim Angriff auf British Airways wurden mehr als 380.000 Kreditkarten gestohlen – allein diese Attacke könnte den Hackern mehr als 17 Millionen US-Dollar eingebracht haben.

„Formjacking ist eine ernsthafte Bedrohung für Unternehmen und Verbraucher“, erklärt Greg Clark, CEO, Symantec. „Konsumenten können nicht wissen, ob sie einen infizierten Online-Retailer besuchen, wenn sie keine umfassende Security-Lösung einsetzen. Ihre wertvollen persönlichen und finanziellen Informationen sind dadurch anfällig für einen Identitätsdiebstahl. Der rasante Anstieg von Formjacking unterstreicht das wachsende Risiko von Lieferketten-Angriffen. Unternehmen müssen aber auch die Image- und Haftungsrisiken bei einer erfolgreichen Attacke einkalkulieren.“

Sinkende Einnahmen durch Krypto-Jacking und Ransomware

In den vergangenen Jahren waren Krypto-Jacking und Ransomware die beliebtesten Methoden von Cyber-Kriminellen, um schnelles Geld zu machen. Dazu stehlen sie Rechenleistung und nutzen Cloud-CPUs von Unternehmen und Verbrauchern, um Krypto-Währungen zu schürfen. Dies waren die beliebtesten Praktiken, um Einkünfte zu erzielen. Im Jahr 2018 gingen diese Aktivitäten jedoch ebenso zurück wie die Renditen daraus. Ein Grund dafür sind die sinkenden Bewertungen von Krypto-Währungen und die zunehmende Implementierung von Cloud und Mobile Computing, durch die Angriffe weniger effektiv werden. Zum ersten Mal seit 2013 gingen die Ransomware-Infektionen zurück und sanken um 20 Prozent. Dennoch sollten Unternehmen weiterhin wachsam sein: Ransomware-Infektionen von Organisationen stiegen um zwölf Prozent – bewegen sich also gegen den allgemeinen Abwärtstrend. Mittlerweile zielen acht von zehn Ransomware-Infektionen auf Firmen ab.

Krypto-Jacking-Infektionen erlebten Anfang letzten Jahres ihren Höhepunkt. Sie sanken seitdem um 52 Prozent im Rest des Jahres 2018. Aber auch wenn Krypto-Währungen 90 Prozent ihres Wertes verloren und damit die Profitabilität signifikant reduzierten, ist Krypto-Jacking weiterhin attraktiv. Ein minimaler Aufwand und die gewährleistete Anonymität sind für Cyber-Kriminelle interessant. Allein im Dezember 2018 blockierte Symantec 3,5 Millionen Crypto-Jacking-Ereignisse auf Endpunkten.

Was früher der PC war, ist heute die Cloud – zumindest hinsichtlich der Sicherheit

Organisationen machen hinsichtlich der Cloud die gleichen Fehler wie zuvor bei PCs. Ein einziger falsch konfigurierter Cloud-Workload oder Speicherung kann Unternehmen Millionen US-Dollar kosten oder einen Compliance-Alptraum bedeuten. Allein im letzten Jahr wurden 70 Millionen Datensätze aus schlecht konfigurierten S3-Buckets entweder gestohlen oder abgezapft. Darüber haben Angreifer Zugang zu Tools, die es ihnen ermöglichen, falsch konfigurierte Cloud-Ressourcen im Internet zu identifizieren und auszunutzen.

Jüngste Entdeckungen von Hardware-Chip-Schwachstellen wie Meltdown, Spectre und Foreshadow, zeigen, dass sich Cloud-Services nutzen lassen, um auf die geschützten Speicherbereiche der Ressourcen anderer Unternehmen zuzugreifen – sofern diese auf demselben physischen Server gehostet werden.

Living off the Land-Werkzeuge und Lieferketten-Schwachstellen sind die Basis für heimlichere, ambitioniertere Angriffe

Living of the Land (LotL)- und Supply Chain-Angriffe sind ein wichtiger Teil der modernen Bedrohungslandschaft und werden sowohl von Cyber-Kriminellen als auch von gezielten Angriffsgruppen eingesetzt. Das Ergebnis: Angriffe auf Lieferketten stiegen 2018 rasant um 78 Prozent an.

LotL-Techniken ermöglichen es Angreifern, sich unauffällig zu verhalten und ihre Aktivitäten unter einer Vielzahl von legitimen Prozessen zu verstecken. So stieg beispielsweise der Einsatz bösartiger Powershell-Skripte stieg im vergangenen Jahr um 1.000 Prozent an. Jeden Monat blockiert Symantec 115.000 bösartige Powershell-Skripte – diese machen aber weniger als ein Prozent der gesamten Powershell-Nutzung aus. Der brachiale Ansatz, alle Powershell-Aktivitäten zu blockieren, würde die Arbeit von Unternehmen stören. Dies zeigt, warum LotL-Techniken zu einer bevorzugten Taktik für viele gezielte Angriffsgruppen geworden sind.

Um diese Angriffe zu identifizieren und zu blockieren, sind fortschrittliche Erkennungsmethoden wie Analytik und Machine Learning notwendig. Dazu gehören Symantec’s Managed Endpoint Detection and Response (MEDR) Service, erweiterte EDR 4.0 Technologie, sowie seine fortschrittliche KI (Künstliche Intelligenz)-Lösung, Targeted Attack Analytics (TAA). Dank TAA kann Symantec Dutzende gezielter Angriffe entdecken – darunter auch die der Gallmaker Gruppe, die ihre Cyber-Spionage-Kampagnen ohne den Einsatz von Malware realisierte.

Über LotL und die Schwachstellen in der Software-Lieferkette hinaus, nutzen Angreifer auch verstärkt konventionelle Angriffsmethoden wie Spear Phishing, um Unternehmen zu infiltrieren. Das Sammeln von Informationen ist weiterhin das Hauptmotiv für gezielte Angriffe. Allerdings stieg die Zahl der Angriffsgruppen, die Malware zur Zerstörung von Geschäftsabläufen einsetzen, um 25 Prozent im Jahr 2018.

Internet of Things im Fadenkreuz von Cyber-Kriminellen und Angriffsgruppen

Während das Volumen der Internet of Things (IoT)-Angriffe weiterhin hoch bleibt und mit dem Niveau von 2017 übereinstimmt, verändert sich das Profil der IoT-Attacken deutlich. Obwohl Router und vernetzte Kameras den größten Anteil an infizierten Geräten ausmachen (90 Prozent), ist fast jedes IoT-Gerät anfällig. Von smarten Glühbirnen bis hin zu Sprachassistenten sind alle Geräte mögliche Einstiegspunkte für Angreifer.

Gezielte Angriffsgruppen konzentrieren sich zunehmend auf das IoT als wichtigen Einstiegspunkt. Das Entstehen der VPNFilter Router Malware ist eine Weiterentwicklung der traditionellen IoT-Bedrohungen. Sie wurde von einem erfahrenen und gut ausgerüstete Hacker entwickelt und ermöglicht seinen Entwicklern, ein Gerät zu zerstören oder Inhalte zu löschen. Darüber hinaus lassen sich Anmeldeinformationen stehlen und die SCADA-Kommunikation abfangen.

„IT und das industrielle IoT wachsen immer stärker zusammen. Das nächste Cyber-Schlachtfeld ist damit die operative Technologie“, erklärt Orla Cox, Director, Symantec Security Response. „Eine wachsende Zahl an Gruppen, darunter Thrip und Triton, haben Interesse daran, operative Systeme und industrielle Kontrollsysteme zu kompromittieren, um sich möglicherweise auf Cyber-Kriegsführung vorzubereiten.“

Das große Erwachen hinsichtlich Data Privacy

Der Cambridge Analytics Datenskandal und die Anhörungen von Facebook sowie die Umsetzung der EU-Datenschutzgrundverordnung (EU-DSVGO), aber auch die Enthüllungen zur Standortverfolgung durch Apps und Datenschutz-Bugs in verbreiteten Apps wie Apple FaceTime: Sie alle haben bewirkt, dass der Datenschutz von Verbrauchern im vergangenen Jahr im Mittelpunkt vieler Diskussionen stand.

Smartphones selbst könnten das wohl größte Spionagegerät sein, das je entwickelt wurde. Sie kombinieren eine Kamera, ein Abhör- und ein Ortungsgerät. Darüber hinaus werden sie gerne und freiwillig überall genutzt. Während die Regierungen sie bereits für traditionelle Spionage einsetzen, sind Smartphones auch zu einem lukrativen Mittel geworden, um persönliche Daten der Verbraucher zu sammeln. Die Entwickler mobiler Apps sind dabei die aktivsten Täter.

Die Symantec Studie zeigt, dass 45 Prozent der beliebtesten Android-Apps und 25 Prozent der gängigsten iOS-Apps eine Standortverfolgung anfordern. Zugriff auf die Smartphone-Kamera fragen 46 Prozent der Android-Apps und 24 Prozent der iOS-Apps an. Auch die E-Mail-Adresse stößt auf Interesse: 44 Prozent der top Android-Apps und 48 Prozent der iOS-Apps fragen diese an.

Digitale Werkzeuge, die Smartphone-Daten sammeln und so Kinder, Freunde oder verlorene Mobiltelefone tracken, werden ebenfalls immer populärer. Cyber-Kriminelle setzen diese Funktionen widerrum dazu ein, Menschen ohne ihre Zustimmung digital zu verfolgen. Mehr als 200 Apps und Services bieten Stalkern die Möglichkeit, den Aufenthaltsort von Personen zu tracken und Texte mitzulesen – und sogar heimlich Videos aufzunehmen.

Über den Internet Security Threat Report:

Der Internet Security Threat Report (ISTR) liefert einen Überblick über sowie eine Analyse hinsichtlich der weltweiten Bedrohungsaktivitäten innerhalb eines Jahres. Der Bericht basiert auf den Daten des Symantec Global Intelligence Network. Symantec Analysten nutzen das Netzwerk, um entstehende Trends im Bezug auf Angriffe, Aktivitäten mit bösartigen Codes, Phishing und Spam zu identifizieren, zu analysieren und entsprechende Einschätzungen abzugeben.

Weitere Informationen:

• Die wichtigsten Ergebnisse des Reports im Detail finden Sie hier.
   
• Oder melden Sie sich für das Symantec ISTR Webinar am Dienstag, 19. März um 9 Uhr morgens an.

www.symantec.com