Mehrstufige Ransomware-Angriffe sollten KRITIS-Anbieter alarmieren

Anfang dieses Jahres hat Cybereason einen neuen Honeypot eingerichtet, um Taktiken, Techniken und Verfahren zu analysieren, die staatlich geförderte Hacker-Gruppierungen und Cyberkriminelle gegen Anbieter kritischer Infrastrukturen einsetzen.

Der aktuelle Honeypot folgt auf einen früher eingerichteten aus dem Jahr 2018, der die gleiche Branche untersuchte. Der Honeypot wurde so aufgebaut, dass er vorgeblich wie ein Elektrizitätsversorgungsunternehmen mit Niederlassungen in Nordamerika und Europa wirkte. 

Im Rahmen der aktuellen Untersuchung hat das Cybereason-Team mehrere Angreifer identifiziert, die Ransomware-Attacken ausgeführt und Daten gestohlen sowie Benutzer-/Anmeldeinformationen abgegriffen haben. Die Angreifer sind dabei in den typischen lateralen Bewegungen ins Netzwerk des vermeintlichen Opfers vorgedrungen, um so viele Endpunkte wie möglich zu infizieren. Dazu gehörten auch kritische Systeme wie die Domain-Controller, bei denen eine Infiltration einen Zeitraum von wenigen Minuten bis hin zu mehreren Stunden umfassen kann.

Zwar wurden die Ransomware-Funktionen bereits zu Beginn des Hacker-Angriffs bereitgestellt, aber nicht sofort genutzt. Die Schadsoftware war so konzipiert, dass sie erst dann an sämtlichen, kompromittierten Endpunkten scharf geschaltet wurde, nachdem die Vorstufen des Angriffs abgeschlossen waren. Dieses Vorgehen gewährleistet maximalen Schaden beim Opfer. 

Dieses operative Angriffsmuster versucht, so viele Systeme wie möglich zu treffen. Dieses Vorgehen stellt für die betroffenen Unternehmen ein wesentlich höheres Risiko dar als Ransomware-Angriffe, die sich auf einzelne Rechner auswirken. Nämlich auf die Computer, die als erste angegriffen werden. Dieses operative Muster hat aber auch Vorteile: über eine schnelle Erkennung und Vorfallsreaktion ist es möglich, einen solchen Angriff in seinem Frühstadium zu identifizieren und wirksam darauf zu reagieren, bevor die Ransomware die Umgebung beeinträchtigt. 

Angesichts der Ergebnisse der Untersuchung kommt das Cybereason-Team zu dem Schluss, dass mehrstufige Ransomware-Angriffe auf Anbieter kritischer Infrastrukturen gefährlicher werden und zunehmend häufiger vorkommen. 

Hintergrund

Wir leben in einer Welt voller Unsicherheiten. Hacker haben in dieser Welt gegenüber den meisten Unternehmen, die versuchen, ihre Computernetzwerke zu schützen, einen nicht unerheblichen Vorteil. Nirgendwo ist das so offensichtlich wie bei den Anbietern von kritischen Infrastrukturen. Sie sind inzwischen einer ständigen Flut von Cyberangriffen ausgesetzt, meistenteils durch hoch motivierte und finanziell gut ausgestattete Gruppen von Cyberkriminellen und staatlich geförderte Akteure.

Nach der Definition des Department of Homeland Security umfassen kritische Infrastrukturen „das riesige Netz von Autobahnen, Verbindungsbrücken und -tunneln, Eisenbahnen, Versorgungseinrichtungen und Gebäude, die zur Aufrechterhaltung der Normalität des täglichen Lebens notwendig sind. Verkehr, Handel, sauberes Wasser und Elektrizität hängen ausnahmslos von diesen lebenswichtigen Systemen ab.“

Zu den schlagzeilenträchtigsten und kontroversen Angriffen auf kritische Infrastrukturen in den letzten Jahren zählen die Attacke auf das Kontrollsystem eines Staudammes in New York und die Abschaltung des ukrainischen Stromnetzes. In jüngerer Zeit haben jedoch quasi chirurgisch angelegte Ransomware-Angriffe gegen Unternehmen im Versorgungs- und Energiesektor dramatisch zugenommen. Erst jüngst ist Portugals größter Energieversorger EDP einem Ransomware-Angriff zum Opfer gefallen, bei dem die Angreifer drohten, 11 Terabyte an sensiblen Unternehmensdaten offenzulegen. Die dagegenstehende Lösegeldforderung: 11 Millionen Dollar. Ebenfalls in diesem Jahr stoppte die israelische Regierung einen groß angelegten Cyberangriff auf die Wasserversorgungssysteme. Laut Medienberichten soll der Iran hinter der Aktion stehen. Auf diese Liste gehört auch die mexikanische Ölgesellschaft Pemex, die laut Reuters mit Bedrohungen zu kämpfen hatte, die sich gegen die Kunden des Unternehmens richteten. 

Bereits im Rahmen einer früheren Honeypot-Analyse und des ebenfalls ICS-basierten Honeypots 2018 beobachtete das Team von Cybereason auch eine Reihe von Ransomware-Angriffen. Sie zeichneten sich durch die typische Dateiverschlüsselung aus, und in einigen Fällen war die Schadsoftware in der Lage, sich selbst weiter zu verbreiten, indem sie bekannte Schwachstellen des Betriebssystems ausnutzte, um Dateien verschlüsseln zu können. 

Beim Vergleich des Honeypot 2018 mit neueren Beobachtungen am Honeypot 2020 wurde ersichtlich, dass bei verschiedenen Ransomware-Angriffen die typische Dateiverschlüsselung um Hacking-Operationen erweitert wurde. Man kann davon ausgehen, dass dies ein Versuch ist, die Auswirkungen des Angriffs auszuweiten, die Ransomware-Kosten in die Höhe zu treiben und die Neigung des Opfers, das Lösegeld tatsächlich zu zahlen, zu erhöhen. 

Fazit

Der Vergleich zwischen den Ergebnissen von 2018 und 2020 zeigt deutliche Veränderungen. Immer häufiger gehen Hacker inzwischen zu mehrstufigen Ransomware-Angriffen über. Für die Anbieter kritischer Infrastrukturen sollte das ein deutlicher Anlass zur Sorge sein.  

Einer der Trends, den das Cybereason-Team gerade für den ICS-Bereich belegen kann: Es gibt 2020 weniger neue Ransomware-Stämme; demgegenüber erzielen die existierenden aber deutlich höhere Gewinne. Hacker haben dahingehend ihre Strategie geändert. Sie gehen jetzt wesentlich gezielter vor als noch vor wenigen Jahren, und sie wollen von jedem Opfer so viel wie möglich abkassieren. Cybereason rechnet in absehbarer Zeit mit einem Anstieg bei mehrstufiger Ransomware, die in Hacking-Operationen eingebettet ist. 

Ein anderer Erfolgsfaktor dieser Angriffe ist die Destabilisierung des Unternehmens und der Verfügbarkeit. Wegen der potenziell enormen und unmittelbaren Auswirkungen auf das Gemeinwesen, können Hacker die Lösegeldforderungen in die Höhe treiben. Gleichzeitig steigt die Neigung solchen Forderungen nachzukommen, insbesondere, wenn es Versicherungsgesellschaften sind, die dafür aufkommen. Ein zweischneidiges Schwert, denn je häufiger Angriffe dieser Art es in die Schlagzeilen schaffen, desto eher werden Unternehmen geneigt sein, für eine entsprechende Versicherungsdeckung zu zahlen. Das wiederum wird die Zahl der Angriffe erneut in die Höhe treiben. Vermutlich solange, bis die Kosten für die Versicherungsprämien mit denen vergleichbar sind, die ein Unternehmen aufwenden müsste, um den Schaden zu beseitigen. 

www.cybereason.com