Cybereason Honeypot: Neues Sicherheitsrisiko durch Ransomware-Angriffe

Anfang 2020 hat Cybereason einen neuen Honeypot eingerichtet, um Taktiken, Techniken und Verfahren zu analysieren, die staatlich geförderte Hacker-Gruppierungen und Cyber-Kriminelle gegen Anbieter kritischer Infrastrukturen einsetzen. Dieser aktuelle Honeypot folgt auf einen früher eingerichteten aus dem Jahr 2018, der die gleiche Branche untersuchte. Der Honeypot soll zeigen, welchen Risiken Betreiber kritischer Infrastrukturen wie Banken, Krankenhäuser oder Versorgungsunternehmen ausgesetzt sind.

So hat das Cybereason-Team im Rahmen der aktuellen Untersuchung mehrere Angreifer identifiziert, die Ransomware-Attacken ausgeführt und Daten gestohlen sowie Benutzer-/Anmeldeinformationen abgegriffen haben. Dabei sind die Angreifer in den typischen lateralen Bewegungen ins Netzwerk des vermeintlichen Opfers vorgedrungen, um so viele Endpunkte wie möglich zu infizieren. Dazu gehörten auch kritische Systeme wie die Domain-Controller, bei denen eine Infiltration einen Zeitraum von wenigen Minuten bis hin zu mehreren Stunden umfassen kann.

Die Ransomware-Funktionen standen bereits zu Beginn des Hacker-Angriffs bereit, wurden aber nicht sofort genutzt. Die Schadsoftware war vielmehr so konzipiert, dass sie erst dann an sämtlichen, kompromittierten Endpunkten scharf geschaltet wurde, nachdem die Vorstufen des Angriffs abgeschlossen waren. Dieses Vorgehen gewährleistet maximalen Schaden beim Opfer, weil der Angriff zum geplanten Zeitpunkt nicht vorhersehbar erscheint. Dieses operative Angriffsmuster versucht, so viele Systeme wie möglich zu treffen. Dieses Vorgehen stellt für die betroffenen Unternehmen ein wesentlich höheres Risiko dar als Ransomware-Angriffe, die sich auf einzelne Rechner auswirken. Angesichts der Ergebnisse der Untersuchung kommt das Cybereason-Team zu dem Schluss, dass mehrstufige Ransomware-Angriffe auf Anbieter kritischer Infrastrukturen gefährlicher werden und zunehmend häufiger vorkommen.

Ransomware-Angriffe: Erbeuten von Daten, Imageschaden für Unternehmen

Hacker haben aktuell gegenüber den meisten Unternehmen, die versuchen, ihre Computernetzwerke zu schützen, einen nicht unerheblichen Vorteil. Nirgendwo ist das so offensichtlich wie bei den Anbietern von kritischen Infrastrukturen. Diese sind, egal ob es sich um Infrastrukturanlagen, Banken und Finanztransaktionseinheiten oder Krankenhäuser oder Gesundheitsdienstleister handelt, inzwischen einer ständigen Flut von Cyber-Angriffen ausgesetzt, die im Großteil der Fälle durch finanziell gut ausgestattete Gruppen von Cyber-Kriminellen erfolgen. Bei Ransomware-Angriffen geht es einerseits um das Erbeuten von großen Datenmengen, eine Gefahr, die insbesondere Banken auch betrifft. Es geht nicht zuletzt aber auch um die Handlungsfähigkeit der Unternehmen. Ist diese über längere Zeit eingeschränkt, kostet das nicht nur operatives Ergebnis, sondern führt auch zu irreparablen Imageschäden.

Bereits im Rahmen einer früheren Honeypot-Analyse und des ebenfalls ICS-basierten Honeypots 2018 beobachtete das Team von Cybereason auch eine Reihe von Ransomware-Angriffen. Sie zeichneten sich durch die typische Dateiverschlüsselung aus, und in einigen Fällen war die Schadsoftware in der Lage, sich selbst weiter zu verbreiten, indem sie bekannte Schwachstellen des Betriebssystems ausnutzte, um Dateien verschlüsseln zu können.

Beim Vergleich des Honeypot 2018 mit neueren Beobachtungen am Honeypot 2020 wurde ersichtlich, dass bei verschiedenen Ransomware-Angriffen die typische Dateiverschlüsselung um Hacking-Operationen erweitert wurde. Man kann davon ausgehen, dass dies ein Versuch ist, die Auswirkungen des Angriffs auszuweiten, die Ransomware-Kosten in die Höhe zu treiben und die Neigung des Opfers, das Lösegeld tatsächlich zu zahlen, zu erhöhen.

Ransomware-Angriffe werden umfangreicher und komplexer

Der Vergleich zwischen den Ergebnissen von 2018 und 2020 zeigt deutliche Veränderungen. Immer häufiger gehen Hacker inzwischen zu mehrstufigen Ransomware-Angriffen über. Für die Anbieter kritischer Infrastrukturen sollte das ein Anlass zur Sorge sein.

Denn einer der wichtigsten Trends, den das Cybereason-Team gerade für den ICS-Bereich belegen kann: Es gibt 2020 weniger neue Ransomware-Stämme; demgegenüber erzielen die existierenden aber deutlich höhere Gewinne. Hacker haben dahingehend ihre Strategie geändert. Sie gehen jetzt wesentlich gezielter vor als noch vor wenigen Jahren, und sie wollen von jedem Opfer so viel wie möglich abkassieren. Cybereason rechnet in absehbarer Zeit mit einem Anstieg bei mehrstufiger Ransomware, die in Hacking-Operationen eingebettet ist.

Ein anderer Erfolgsfaktor dieser Angriffe ist die Destabilisierung des Unternehmens und der Verfügbarkeit. Wegen der potenziell enormen und unmittelbaren Auswirkungen auf das Gemeinwesen können Hacker die Lösegeldforderungen in die Höhe treiben. Gleichzeitig steigt die Neigung, solchen Forderungen nachzukommen, insbesondere wenn es Versicherungsgesellschaften sind, die dafür aufkommen. Ein zweischneidiges Schwert, denn je häufiger Angriffe dieser Art es in die Schlagzeilen schaffen, desto eher werden Unternehmen geneigt sein, für eine entsprechende Versicherungsdeckung zu zahlen.tw