Wie Cyberkriminelle ihre Schadsoftware noch gefährlicher machen

Mit immer clevereren Methoden versuchen Cyberkriminelle sowohl Privatnutzern als auch Mitarbeitern in Unternehmen Malware unterzuschieben. Die Zeiten, da man eine E-Mail mit einem infizierten Anhang oder einem Link auf eine Website mit Schadcode stets auf den ersten Blick erkannte, sind längst vorbei. 

Zudem werden auch die technischen Maßnahmen, mit denen Sicherheitsanwendungen ausgetrickst werden sollen, zunehmend raffinierter.

Klar ist, die Zahl der Malware-Attacken wird weiter ansteigen, weil die Schadprogramme schnell erstellt sind und leicht verbreitet werden können – zumeist per E-Mail. Sie nimmt aber auch deshalb zu, weil Nutzer unachtsam sind, Anwendungen oft nicht geschlossene Schwachstellen aufweisen oder Sicherheitsprogramme veraltet sind. Das sorgt für eine hohe Erfolgsquote bei Angriffen und macht Malware für Cyberkriminelle attraktiv.

Über die vergangenen Monate haben Angreifer ihre Methoden der Malware-Verbreitung immer weiter verfeinert:

Neugier wecken, Informationsbedürfnis ausnutzen

Cyberkriminelle nutzen gerne aktuelle Themen, um die Neugier von Nutzern zu wecken und sie zum Anklicken des infizierten Dateiangangs in einer E-Mail zu verleiten. Da werden etwa „schockierende Bilder“ zu aktuellen Ereignissen versprochen, aber auch Informationsmaterialien zu Datenschutz- und Steuerthemen. Diese stellen vor allem kleine Unternehmen oft vor Probleme, insbesondere wenn, wie bei der Einführung der DSGVO vor zwei Jahren oder aktuell mit der Mehrwertsteuersenkung, die Stichtage näher rücken und die Nachrichten vermeintlich letzte wichtige Informationen enthalten. Die Unsicherheit ist groß, der Informationsbedarf ebenso – da bleibt die Vorsicht oft auf der Strecke. 

Druck aufbauen, schnelle Handlung einfordern 

Nutzer, die unter Druck stehen, lassen häufig ein gesundes Maß an Skepsis vermissen. Das versuchen Cyberkriminelle auszunutzen, indem sie schnelle Handlungen einfordern. In der vermeintlichen E-Mail von einem sozialen Netzwerk, der Bank oder einem Online-Shop heißt es dann, der Nutzer müsse aus Sicherheitsgründen schnellstmöglich sein Passwort ändern oder eine Telefonnummer hinterlegen, sonst werde sein Account gesperrt. Dass der mitgeschickte Link nicht zur richtigen Website führt, sondern einer gut nachgemachten, wird in der Eile schnell übersehen. Auf der gefälschten Seite wird dann der Login des Nutzers abgegriffen und ihm Malware untergeschoben.  

Seriosität und Sicherheit vortäuschen

 Oft liefern die Cyberkriminellen auch detaillierte Handlungsanweisungen für ihre Opfer mit. Durch komplizierte und scheinbar sichere Abläufe, die genau erklärt werden, gaukeln sie sichere Prozesse etwa zum Austausch von Daten oder dem Download einer Datei vor und geben ihren Mails einen seriösen Anstrich. 

Perfekte Tarnung schafft Vertrauen

Mittlerweile durchsuchen Schadprogramme auf infizierten Rechnern die Mail-Postfächer, um Kontakte und typische Inhalte regulärer E-Mail-Kommunikation zu ermitteln. Diese Informationen werden zur weiteren Verbreitung genutzt – die Mail mit infiziertem Anhang oder Link zur infizierten Website sieht dann wie die Antwort eines Freundes, Kollegen oder Geschäftspartners auf eine eigene Mail aus. Selbst misstrauische Nutzer und geschulte Mitarbeiter tun sich hier häufig schwer, die schädliche Nachricht sofort als solche zu erkennen, denn das Verwenden vertrauter Kontakte und alter E-Mail-Verläufe kann Anwender sehr effektiv täuschen. Die Malware Emotet hat es hierbei in den vergangenen Monaten zu einer perfiden Perfektion gebracht. 

Ständige Veränderung des Malware-Codes

 Nicht nur die Anwender trickst aktuelle Malware oft erfolgreich aus, sondern auch viele klassische Security-Anwendungen. Sogenannte metamorphe oder polymorphe Malware gibt es schon länger, doch mithilfe von Machine Learning und künstlicher Intelligenz können Cyberkriminelle inzwischen immer schneller neue Varianten ihrer Schadprogramme erstellen und in Umlauf bringen. Dabei wird der Code gezielt so verändert, dass signaturbasierte und andere Erkennungsmechanismen ihn nicht mehr als Schadcode identifizieren können. 

Keine Datei, keine Erkennung

Viele Angriffe kommen heute auch ohne die herkömmliche Malware aus, die an einer E-Mail hängt oder aus dem Internet heruntergeladen wird. Bei Fileless Malware, also dateilosen Schadprogrammen, handelt es sich um kleine Code-Fragmente, die komplett im Arbeitsspeicher des Rechners verbleiben und schädliche Funktionen ausführen oder reguläre Anwendungen auf dem System missbrauchen. Für viele klassische Sicherheitstools sind solche Bedrohungen nur schwer zu erkennen, da keine Datei aufgerufen und ausgeführt wird. 

Doppeltes Erpressungspotenzial mit Ransomware

  Ein aktuelles Backup ist die beste Absicherung gegen Ransomware, weil verschlüsselte Daten auch ohne das Zahlen von Lösegeld wiederhergestellt werden können. Cyberkriminelle bauen daher inzwischen oft eine doppelte Bedrohung auf: Die Daten werden nicht nur verschlüsselt, sondern auch auf einen eigenen Server kopiert. Das Opfer soll dann nicht nur für die Entschlüsselung zahlen, sondern auch dafür, dass die Daten nicht veröffentlicht werden. Bedenkt man die Relevanz, die Datenschutz heute in der Gesellschaft hat, und welche drastischen Strafen bei Datenschutzverstößen drohen, lauert hier ein enormes Schadenspotenzial. 

„Aktuelle Malware versucht Anwender und Sicherheitstools gleichermaßen zu täuschen. Die Tarnung der Schadprogramme wird immer besser, und da schon ein unachtsamer Klick ausreicht, um ein System zu kompromittieren und Cyberkriminellen einen Zugang zu unternehmenskritischen Daten zu gewähren, dürfen sich Security-Lösungen keinen Aussetzer erlauben“, erklärt Jochen Koehler, Sales Director Security Solutions bei HP. „Die einzig sinnvolle Schutzmaßnahme ist die Isolation von Anwendungen in Micro-VMs, weil alle Schadfunktionen auf die jeweilige virtuelle Maschine beschränkt bleiben und nach deren Schließen verschwinden.“

http://www.hp.com