Schlagwort-Archive: Bedrohung

Sicherheit für die Cloud-vernetzte Welt im Jahr 2020

Originalbeitrag von Ross Baker

Für CISOs war 2019 ein hartes Jahr. Die letzten zwölf Monate fuhren einen neuen Rekord ein bei Datenschutzverletzungen, Cloud-Fehlkonfigurationen und Sicherheitsbedrohungen auf DevOps-Ebene. Angriffe durch Ransomware, dateilose Malware und auch die Bedrohungen durch Business Email Compromise (BEC) nahmen weiterhin zu. Allein Trend Micro blockte in der ersten Hälfte 2019 mehr als 26,8 Mrd. einzigartige Bedrohungen. Die Situation wird sich in diesem Jahr nicht verbessern, und die Verantwortlichen für Cybersicherheit müssen sicherstellen, dass sie mit vertrauenswürdigen Partnern zusammenarbeiten – Anbietern mit einer klaren Zukunftsvision. Während des letzten Jahres hat eine überzeugende Mischung aus Produktinnovation, Übernahmen und die Anerkennung durch unabhängige Branchengremien Trend Micro als einen solchen Partner qualifiziert.

Risiken durch digitale Medien

Wenn es heute um digitale Transformation geht, so heißt das zumeist Cloud-Computing-Systeme. Die Investitionen in Plattformen wie AWS, Azure und andere haben den Unternehmen enorme Vorteile gebracht, denn sie unterstützen Organisationen dabei, skalierbarer, effizienter und agiler zu werden. Cloud-Plattformen geben Entwicklern die Flexibilität, die sie benötigen, um DevOps und Infrastructure-as-Code (IaC)-Initiativen voranzutreiben, um innovative Kundenerlebnisse zu bieten, und die Plattformen mit wenigen Klicks an die Marktanforderungen anzupassen.

Die Kehrseite davon bedeutet aber, dass diese IT-Transformation die Organisationen einer Reihe neuer Risiken ausgesetzt hat. Bei so vielen potenziell lukrativen Kundeninformationen, die in Cloud-Datenbanken liegen, sind sie zu einem Hauptziel für Hacker geworden. Trend Micro prognostiziert für 2020 eine Flut von Angriffen gegen Cloud-Anbieter über das Einschleusen von Code. Des Weiteren werden Schwachstellen in Container- und Microservices-Architekturen auftauchen, viele davon durch die Wiederverwendung von quelloffenen Komponenten. Fast 9 Prozent der 2018 weltweit heruntergeladenen Komponenten enthielten einen Fehler. Recherchen ergaben, dass 30 Prozent davon kritisch waren.

Die Komplexität von Multi- und hybriden Cloud-Systemen erhöht den Druck auf IT-Admins. Wenn so viel auf dem Spiel steht, ist es unvermeidlich, dass dies zu menschlichen Fehlern führt. Fehlkonfigurationen sind im Jahr 2019 zu einer der Hauptnachrichten geworden. Die Untersuchungen von Trend Micro im vergangenen Jahr ergaben auch, dass über die Hälfte der DevOps Teams in globalen Organisationen nicht über die geeigneten Werkzeuge verfügen, um ihre Arbeit richtig machen zu können.

Sicherheit einfach gestalten

Trend Micro will die Kunden bei ihrem Weg durch diese instabile Landschaft zur Seite stehen. Nur ein paar Beispiele dessen, was der japanische Anbieter zum Schutz der Kunden unternimmt:

Cloud Conformity: Die Übernahme dieses führenden Anbieters von Managementlösungen für Cloud-Sicherheit bietet globalen Anwendern dringend benötigte Fähigkeiten für die permanente Überprüfung. Am auffälligsten ist die Fähigkeit von Cloud Conformity, komplexe Cloud-Umgebungen zu durchleuchten und aufzuzeigen, wo Fehlkonfigurationen existieren und einfache Schritte zur Abhilfe zu ergreifen.

SnykTrend Micro arbeitet mit diesem entwicklerorientierten Open-Source-Sicherheitsanbieter zusammen mit dem Ziel, die Risiken von DevOps zu verringern, die sich aus gemeinsam genutztem Code ergeben. Trend Micro Container-Image-Scans zeigen Schwachstellen und Malware in der Software-Build-Pipeline auf, und virtuelles Patching schützt gegen deren Ausnutzung zur Laufzeit. Mit Snyk Applications Security Management können Entwickler diese Fehler in ihrem Code schnell und einfach beheben.

CloudOne: Trend Micro kombiniert alle Cloud-Sicherheitsfähigkeiten in einer schlanken Plattform, und deckt damit CSPM, Anwendungssicherheit, Container-, Workload-, Cloud-Netzwerk- und Dateispeicher-Sicherheit ab. Die Plattform stellt eine automatisierte, flexible, einheitliche Lösung dar, die die Komplexität von modernen hybriden und Multi-Cloud-Umgebungen vereinfacht.

Anerkennung durch Analysten: Kürzlich hat etwa IDC Trend Micro im neuesten „Worldwide Software Defined Compute Workload Security Market Shares, 2018“ als „dominanten Leader“ aufgeführt. Trend Micro hält mehr als zwei Fünftel der Marktanteile im SDC Workload-Sicherheitsmarkt, nahezu dreimal so viele wie der nächste Mitbewerber.

Prognose 2020: Die Risiken durch Supply Chain-Angriffe werden vorherrschen

Es ist kein Geheimnis, dass der Erfolg moderner Unternehmen zu einem guten Teil von ihren Lieferketten abhängt. Ein durchschnittliches Unternehmen unterhält möglicherweise hunderte unterschiedliche Partnerschaften – von solchen mit professionellen Service-Organisationen bis zu Software Providern und Transportunternehmen. Doch diese Partner können ein zusätzliches Risiko für das Unternehmen bedeuten, vor allem im Cyberbereich. In den aktuellen Vorhersagen für 2020 hebt Trend Micro einige der Schlüsselbereiche hervor, die für Organisationen gefährlich werden können. Dazu gehören die Partnerschaften mit Cloud- und Managed Service Providern (MSP), neue DevOps-Abhängigkeiten und Risiken für die Supply Chain im Zusammenhang mit den involvierten mobilen Mitarbeitern.

Ein neuer Aspekt eines bestehenden Risikos

Cyber-Supply Chain-Risiken per se sind nicht neu. Die berüchtigten NotPetya Ransomware-Angriffe von 2017 beispielsweise starteten über die Software Supply Chain, während Operation Cloud Hopper eine Angriffskampagne darstellte, die globale Unternehmen über deren MSPs attackierte.

Das Risiko infolge der Bedrohung kommt zu einem großen Teil durch die Veränderungen der Arbeitsweise im Unternehmen. Die digitale Transformation wird von vielen als ein wesentlicher Treiber für das Unternehmenswachstum gesehen, der es den Unternehmen ermöglicht, flexibel auf sich ändernde Marktanforderungen zu reagieren. In der Praxis bedeutet dies, dass Cloud und DevOps in den IT-Abteilungen des kommenden Jahrzehnts zunehmend im Mittelpunkt stehen.

Mehr Agilität, mehr Risiko?

Wie alle Veränderungen bringen auch diese neuen Risiken, die beachtet werden wollen. Denn die zunehmende Abhängigkeit von Cloud-Drittanbietern weckt bei Angreifern das Interesse für in diesen Konten gespeicherte Daten. Zu ihren Angriffsvektoren gehören etwa Code Injection, Missbrauch von Deserialisierungs-Bugs, Cross-Site Scripting und SQL Injection. Auch werden sie von Lücken profitieren, die durch die Fehlkonfiguration der Konten entstehen und durch die Daten im öffentlichen Internet exponiert werden.

Darüber hinaus werden Cyberkriminelle die Tatsache ausnutzen, dass DevOps-Teams sich auf Drittanbieter-Code in Container-Komponenten und Bibliotheken verlassen. Angreifer werden Microservices- und serverlose Umgebungen kompromittieren. Mit zunehmender Verbreitung dieser Architekturen werden sich auch Angriffe auf diese Architekturen häufen.

Service Provider werden ebenfalls ein steigendes Risiko darstellen, denn sie ermöglichen Angreifern einen viel höheren ROI, weil sie über einen einzigen Anbieter Zugang zu mehreren Kunden erhalten. Solche Bedrohungen gefährden Unternehmens- und Kundendaten und stellen sogar ein Risiko für Smart Factories und andere Umgebungen dar.

Schließlich kommt die Gefahr in der Supply Chain 2020 auch noch aus einer ganz anderen Richtung. Remote und Heimarbeit wird für viele Mitarbeiter zum Alltag, und Hacker werden diese Umgebungen als bequemen Startpunkt für das Eindringen in Unternehmensnetzwerke nutzen. Diese Mitarbeiter müssen als Teil ganzheitlicher Risikomanagement-Strategien für Unternehmen betrachtet werden, unabhängig davon, ob sie sich über nicht gesicherte öffentliche WLAN-Hotspots oder zu Hause anmelden oder ob Fehler im Smart Home Lücken offenlassen.

Empfehlungen für mehr Sicherheit

Auf CISOs kommen durch den rapiden technologischen Wandel harte Zeiten zu. Dabei ist es entscheidend wichtig, Teams mit den geeigneten Tools und Strategien auszustatten, um den Risiken durch Drittanbieter und anderen Bedrohungen zu begegnen. Die Sicherheitsforscher geben folgende Empfehlungen aus:

  • Verbesserung der Sorgfaltspflicht von Cloud-Anbietern und anderen Service Providern,
  • Durchführung regelmäßiger Schwachstellen- und Risikobewertungen auch für die Software von Drittparteien.
  • Investitionen in Sicherheitstools zur Überprüfung auf Schwachstellen und Malware in Komponenten von Drittanbietern
  • Einsatz von Cloud Security Posture Management (CSPM)-Tools, um das Risiko von Fehlkonfigurationen zu minimieren.
  • Überprüfen der Sicherheitsrichtlinien für Home- und Remote-Mitarbeiter.

IDC erkennt Trend Micro als Marktführer beim Schutz von SDC-Workloads an

Von Richard Werner, Business Consultant bei Trend Micro

Moderne Unternehmen setzen auf die Hybrid Cloud und DevOps, um schneller auf sich ändernde Marktanforderungen reagieren zu können. Aber dieses durch Innovation voran getriebene digitale Wachstum können sie nur mit einem starken und sicheren Fundament erreichen. Trend Micro hat als einer der ersten Anbieter bereits vor einem Jahrzehnt diesen Trend und die damit einhergehenden Sicherheitsherausforderungen erkannt, und ist heute als Marktführer anerkannt. IDC führt Trend Micro im aktuellen Bericht „Worldwide Software Defined Compute Workload Security Market Shares, 2018“ als „dominant Leader“ beim Schutz von Software-Defined Compute (SDC)-Workloads und die Nummer 1 nach Marktanteilen.

Der IDC-Bericht stellt fest, dass SDC eine Vielzahl von Abstraktionstechnologien über den Software-Stack hinweg umfasst. Vom technischen Standpunkt ist SDC Workload-Sicherheit ein Unterbereich der Endpunktesicherheit. Doch sie ist in erster Linie auf den Schutz von virtuellen Maschinen (VMs), Containern und Cloud-Systemsoftware ausgerichtet und wird daher häufig im Kontext von Cloud-Umgebungen eingesetzt. Zu den Tools dieser Kategorie gehören unter anderen Anti-Malware, Firewall, Host-Intrusion Detection, Application Control und Integritätsüberwachung.

Die Cloud aber, und damit VMs und Container, werden zunehmend für die Entwicklung und Unterstützung der Anwendungen auf Microservice-Basis genutzt. Diese Umgebungen rücken somit noch weiter in den Fokus von Hackern. Cloud-Plattformen laufen Gefahr, vor allem über Code Injection angegriffen zu werden, sei es direkt oder über Drittanbieter-Bibliotheken, während Container und serverlose Architekturen aufgrund von angreifbaren Shared Code-Komponenten ausgenutzt werden können. Für Unternehmen, deren Cloud-Systeme und Anwendungen gehackt werden, kann dies eine Verzögerung oder gar den Stillstand auf ihrem digitalen Wachstumspfad bedeuten.

Eine stetige Entwicklung

IDC zufolge liegt der Anteil von Trend Micro am SDC Workload-Sicherheitsmarkt bei mehr als zwei Fünftel. Das ist nahezu dreimal so viel wie der Anteil des nächsten Wettbewerbers. Diese dominante Position ist auch unserem über Jahre hinweg stetigen Aufbau von Schutzmechanismen für diesen Sicherheitsbereich zu verdanken. Bereits 2009 übernahm Trend Micro einen zu der Zeit wenig bekannten Anbieter namens Third Brigade eines Host-basierten Intrusion-Prevention Systems und einer Firewall. Dies war der Beginn einer langen stetigen Weiterentwicklung unserer Fähigkeiten für virtuelle, Hybrid Cloud- und Container-Umgebungen.

Heute bietet Trend Micro umfassende Sicherheit über physische, virtuelle und Hybrid Cloud-Umgebungen hinweg, und dies aus einer einzelnen, übersichtlichen Schnittstelle heraus und mit enger Integration in AWS, Azure und GCP. Trend Micro richtet das Augenmerk auch auf Automatisierung und Security-as-Code, um nahtlosen Schutz in DevOps-Pipelines zu gewährleisten, einschließlich des Scannens von Container-Images vor der Ausführung.

Vor kurzem veröffentlichte Trend Micro XDR mit der Möglichkeit, Daten über E-Mail-, Netzwerk-, Endpunkt-, Server- und Cloud-Workloads hinweg zu korrelieren, um bösartige Workload-Aktivitäten zu erkennen und zu blockieren. Darüber hinaus übernahmen wir den führenden Anbieter von Cloud Security Posture Management Cloud Conformity, dessen Technologie das Aufspüren von Fehlkonfigurationen und Compliance/Governance-Problemen unterstützt.

All diese und weitere Funktionen werden in Kürze als Teil einer ganzheitlichen Cloud One-Lösung angeboten, die es Unternehmen ermöglicht, automatisierten Schutz über eine einzige Konsole zu erhalten – und damit Risiken, Verwaltungskosten und Abrechnungsprobleme zu minimieren. Wir bei Trend Micro blicken immer einen Schritt voraus, um Schutz dort zu bieten, wo er gebraucht wird.

Von Banking-Trojaner zu Ransomware: erfolgreiche Angriffskaskade

In diesem Jahr hat es immer wieder erfolgreiche Angriffe auf deutsche mittelständische Unternehmen gegeben. Viele dieser Organisationen setzen keine Cloud-Umgebungen ein und verlassen sich auf Perimeter-Schutz für ihre Inhouse-Datacenter. Eine aktuelle Umfrage des TÜV-Verbands ergab, dass in den vergangenen zwölf Monaten in Deutschland jedes zehnte Unternehmen Opfer eines Cyberangriffs geworden ist, wobei jeder fünfte Angriff Ransomware beinhaltete. Viele große Unternehmen haben das Risiko erkannt und ihre Systeme gesichert. Doch die kleinen und mittelständischen Firmen wie auch öffentliche Einrichtungen (Krankenhäuser etwa) sind am meisten gefährdet. Opfer von Ransomware-Angriffen wurden beispielsweise das Württembergische Staatstheater und die Messe in Stuttgart.

Auch der Bankentrojaner Emotet schlug immer wieder zu, so im Netzwerk der Stadtverwaltung Neustadt am Rübenberge, und das Netz der Heise Gruppe war ebenfalls Ziel des Trojaners. Emotet gerät seit seiner Entdeckung 2014 durch Trend Micro immer wieder in die Schlagzeilen, weil er als einer der „zerstörerischsten“ gilt und permanent weiter entwickelt wird. In nur fünf Jahren schaffte es die Schadsoftware, sich zu einer der berüchtigtsten Cyberbedrohungen zu entwickeln – eine, deren Angriffe Kosten von bis zu 1 Mio. $ für die Wiederherstellung verursachen, so das US-CERT.

Der Erfolg der Gruppe hinter Emotet in ihren Angriffen auf mittelständische Unternehmen liegt zum einen daran, dass laut Expertenmeinung die cyberkriminelle Gruppe mindestens zehn Jahre Erfahrung mit Banking-Malware und Info-Stealern hat, und zum anderen waren ihre Angriffe speziell auf mittelständische Unternehmen zugeschnitten. Dafür setzten sie solide Techniken ein. Die Cyberkriminellen nutzen die gestohlenen Zugangsdaten für weitere Angriffe, verkaufen sie im Untergrund oder setzen auf Ransomware. Nicht jedes Unternehmen oder jede Behörde ist trotz der Verschlüsselung von kritischen Systeme bereit, das geforderte Lösegeld zu zahlen. Zu diesem Vorgehen ist auch dringend zu raten! Auch wenn die Opfer auf die Forderungen eingehen, so ist das noch keine Garantie dafür, dass sie ihre Daten wiederbekommen. Und solange die Kriminellen mit ihrer Erpressung erfolgreich sind, werden sie weitermachen.

Das Angriffsschema wird durch die Implementierung von Trickbot erweitert. Dahinter steht möglicherweise eine zweite Gruppe, die dann übernimmt, oder möglicherweise einfach nur eine andere Abteilung derselben cyberkriminellen Unternehmung ist bzw. zumindest eng damit kollaboriert. Trickbot wird von Emotet nachgeladen und verursacht die eigentlichen Schäden. Trickbot ist ein Info Stealer, sodass die Kriminellen wahrscheinlich Credentials abgreifen und diese zu Geld machen. Auch hier gilt, dass die Hintermänner eine mindestens zehnjährige Karriere aufweisen und ihre Erfahrungen aus früheren Schadsoftware-Kreationen wie Dridex / Fridex / Dyreza einfließen lassen, so die Experten.

Die Trickbot-Kriminellen wiederum arbeiten mit einer Gruppe zusammen, die RYUK (Post-intrusion Ransomware) einsetzt. Diese Gruppe wird dann benachrichtigt, wenn erstere Gruppe die Art von Zielen findet (mittelständische Unternehmen mit flachen Netzwerken), die für RYUK möglicherweise leichte Beute ist. Sie verkaufen den Zugang an RYUK, die dann einige Wochen über laterale Bewegungen im Netzwerk dies auskundschaftet, bis alle Schwachpunkte gefunden sind, Backups entfernt und Sicherheitsmaßnahmen außer Kraft gesetzt wurden und die Kriminellen Kenntnis darüber erlangt haben, wieviel das Unternehmen zahlen kann. Dann erst setzen sie ihre Ransomware zugleich in allen kritischen Services ein – manchmal sogar mit einem zeitgleichen anderen Angriff, um InfoSec abzulenken. Unternehmen stehen dann unter Umständen ohne Backups da, mit kritischen Systemen, die außer Funktion sind, und haben keine andere Wahl, als eine erkleckliche Lösegeldsumme zu zahlen, um den Betrieb — wenn alles gut läuft – wieder aufnehmen zu können. Die drei Gruppen (oder vielleicht eine einzige) wiederholen einfach dieses unglaublich erfolgreiche Angriffsmodell wieder und wieder.

Fazit

Und wenn sich herausstellt, dass ein Angriffsmodell so gut funktioniert, übernehmen natürlich auch andere Gruppen die Angriffsabfolge mit unterschiedlicher Malware wie etwa Lockergoga oder Bitpaymer.

Da Emotet(artige) Angriffe insbesondere auch Email-Daten abgreifen, müssen sich Unternehmen auch mit dem Thema Business Email Compromise (BEC) beschäftigen. Bei der so genannten „Chef-Masche“ geht es um einen Angriff, bei dem sich der Kriminelle als Führungskraft des Opferunternehmens ausgibt und den Mail-Empfänger anweist, eine Finanztransaktion durchzuführen. Zugangsdaten, die sich für BEC eignen, sind vermutlich für Emotet-Akteure für den Weiterverkauf interessant.

Des Weiteren sollten Organisationen auch genauestens analysieren, ob und wenn ja in welchem Maße, Risiken für die eigenen Kunden entstehen. In diesem Zusammenhang ist es wichtig  beispielsweise zu prüfen, ob per Fernwartung Zugang zu anderen Netzen, etc. besteht. All diese Prozesse/Fähigkeiten könnten von Angreifern ausgenutzt werden.

Das Bundesamt für Sicherheit in der Informationstechnik hat einen ausführlichen Ratgeber mit  Maßnahmen zum Schutz vor Emotet und gefährlichen Email-Angriffen allgemein veröffentlicht.

Trend Micro-Lösungen

Da Emotet eine dateilose Bedrohung ist, sind alle Schutzmechanismen, die auf Dateierkennung basieren, als Verteidigung ungeeignet. Zu diesen zählen beispielsweise Pattern (Black- und Whitelist) sowie bestimmte Arten des maschinellem Lernens und auch Sandbox-Verfahren, die nicht so konfiguriert sind wie die Unternehmenssysteme, also z.B. mit und ohne installierter Powershell.

Moderne Sicherheitstools wie Trend Micro ApexOne verwenden deshalb verschiedenste Verfahren um auch mit dieser Art von Problemen umzugehen. So kann beispielsweise der Scanner verhaltensbasierte Analyse bzw. Runtime Machine Learning einsetzen, mit deren Hilfe das System an sich überwacht wird. Da für die weitere Verbreitung der Angreifer vorwiegend Sicherheitslücken ausnützt, sind natürlich auch sämtlich Mechanismen (Tools) relevant, die nicht vorhandene Patches erkennen und ein System auch im Innenverhältnis – also gegen seine direkten Nachbarn – verteidigt mithilfe von Virtual Patching/Vulnerability Protection. Auch eine kundenspezifische Sandbox, die ein Unternehmenssystem täuschend echt nachahmt und wie ein Honeypot funktioniert, kann die Angreifer in die Falle locken.

Bei Angriffen dieser Kategorie sollten Anwender sich allerdings nicht darüber täuschen lassen, dass die kriminellen Profis unter Umständen nur sehr schwache Spuren in den einzelnen Umgebungen hinterlassen. Es ist deshalb auch wichtig, die einzelnen Indikatoren, die auf Clients, Servern und im Netzwerk sichtbar werden, zu korrelieren, um sich ein Bild darüber zu machen, wo der Angriff begonnen und wie er sich danach verbreitet hat und welche System aktuell davon betroffen sind. Für ein solches Gesamtbild reicht ein einzelnes Tool in der Regel nicht aus: Es ist vielmehr eine Frage einer Security Strategie mit zugehörigen Tools.

Trend Micro nennt das X Detection & Response (XDR) für die Expertenanalyse der Datensätze aus den Trend-Micro-Lösungen im Unternehmen. Das „X“ in der Bezeichnung steht für umfangreiche Daten aus verschiedenen Quellen, mit denen versteckte Bedrohungen besser entdeckt werden können. Es geht um neue, integrierte Fähigkeiten für Detection & Response über E-Mail, Netzwerke, Endpunkte, Server und Cloud-Workloads hinweg. Unternehmen erhalten damit umfassenden Überblick über ihren Sicherheitsstatus. Gleichzeitig können sie kleinere Vorfälle aus verschiedenen Sicherheits-Silos miteinander in Verbindung bringen, um komplexe Angriffe zu erkennen, die sonst unentdeckt bleiben würden. Durch die Verbindung von Erkennungen, Telemetriedaten, Prozessdaten und Netzwerk-Metadaten über E-Mail, Netzwerk, Endpunkte und Cloud-Workloads wird die Notwendigkeit manueller Tätigkeiten minimiert. Zudem werden Ereignisse schnell korreliert, die Menschen angesichts der täglichen Flut von Sicherheitswarnungen aus verschiedenen Silos nicht verarbeiten können. Die Ereignisinformationen werden zusätzlich um weitere Daten aus Trend Micros globalem Netzwerk für Bedrohungsinformationen ergänzt und die Erkennung durch spezifische Regeln verfeinert, mit denen Experten die wichtigsten Bedrohungen priorisieren können.

DDoS-Angriffe mit TCP-Verstärkung verursachen Netzwerküberlastungen

Während des letzten Monats haben Bedrohungsakteure eine Reihe von Distributed Denial-of-Service (DDoS)-Angriffe gestartet und dafür einen relativ unkonventionellen Ansatz gewählt: TCP Amplification (Verstärkung). Radware beschrieb im eigenen Blog mehrere weltweite Kampagnen mit TCP Reflection-Angriffen, speziell die Variante der SYN-ACK Reflection-Attacken. Dabei geht es nicht allein um die Auslastung eines Servers mit vielen halboffenen TCP-Verbindungen, sondern es wird eine Vielzahl von Servern mit einer pro Server eher schwachen SYN-Flood vom Angreifer missbraucht, um die so ausgelösten Antworten (SYN-ACK-Pakete) an die vermeintlichen Absender zu schicken. So werden diese Angriffe bei Wikipedia erklärt. Die betroffenen Ziele riskieren sogar, von Netzwerkadmins auf Blacklists zu kommen wegen der gefälschten SYN Requests.

Ablauf von DDoS-Angriffen

Im Fall dieses Angriffs schicken die Hintermänner ein SYN-Paket (das aussieht, als ob es von der Netzwerk-IP-Adresse des Ziels stammt) an eine Reihe von zufälligen oder vorgewählten Reflection-IP-Adressen oder -Diensten. Diese Adressen reagieren auf das gefälschte SYN-Paket mit einem SYN-ACK-Paket, das an das Zielnetzwerk gesendet wird. Reagiert das Netzwerk nicht wie erwartet, so sendet die IP-Adresse das SYN-ACK-Paket erneut, um einen Dreiwege-Handshake zu etablieren, der zur Verstärkung führt. Die Verstärkung hängt von der Anzahl der Wiederholungen durch den Reflection Service ab, die vom Angreifer bestimmt werden kann. Je mehr die Reflection IP die SYN-ACK-Anfragen an das Zielnetzwerk sendet, desto größer wird die Verstärkung.

IP Adressen Spoofing im User Datagram Protocol

UDP ist ein verbindungsloses Protokoll und hat als solches im Gegensatz zu TCP keine Handshake-Phase, in der sich die beiden Endpunkte auf eine Sequenzzahl einigen, die eine Verbindung identifiziert. Das bedeutet, dass, wenn ein Angreifer A ein UDP-Paket mit einer gefälschten Quell-IP-Adresse B an einen Endpunkt C sendet, C keine Möglichkeit hat, zu überprüfen, ob dieses Paket von B oder A kommt.

DDoS-Angriffe über TCP-Reflection sind ungewöhnlich, da einige glauben, dass ein solcher Angriff nicht in der Lage ist, genügend Traffic so weit zu verstärken, wie es UDP-basierte Reflections können, so die Forschung. Unabhängige Untersuchungen haben jedoch ergeben, dass viele internetfähige Geräte zur Verstärkung bis zu einem Faktor von fast 80.000 missbraucht werden können und bei Bedarf mehr als 5.000 SYN-ACK-Pakete innerhalb von 60 Sekunden erneut übertragen werden.

Schutz vor DDoS- und TCP Reflection-Angriffen

Unternehmen sind gut beraten, ihre Netzwerkaktivitäten regelmäßig zu überwachen und die neusten System-Patches aufzuspielen, um sich vor Risiken im Zusammenhang mit DDoS-Angriffen zu schützen, einschließlich TCP-bezogener bösartiger Aktivitäten. Zur Verhinderung solcher Attacken sind eine vernetzte Verteidigungsstrategie und mehrschichtige Sicherheitsmechanismen wie DDoS-Schutz und Webreputations-Fähigkeiten von essenzieller Bedeutung.

Mithilfe von Network Intrusion Tools wie die von Trend Micro™ Deep Discovery Inspector™ und TippingPoint können Organisationen ihren ankommenden und nach außen gehenden Traffic überwachen. Auch sollten sie prüfen, ob Netzwerk-Provider Anti-Spoofing implementiert haben wie BCP 38 & 84. Damit wird sichergestellt, dass gefälschte Pakete in DDoS Reflection-Angriffen nicht ins Netzwerk kommen. Trend Micro™ Deep Security™ bietet zudem Netzwerksicherheits-Fähigkeiten wie Deep Packet-Inspektion, Intrusion Prevention System (IPS) und eine Host Firewall.

Angriffe und Bedrohungen für eSports

Originalartikel von Mayra Rosario Fuentes und Fernando Mercês

eSports hat sich von einem Randgebiet der Unterhaltung in eine hoch lukrative Industrie gewandelt. Steigende Werbeeinnahmen und Sponsoring sorgen für mehr Turniere und damit auch für einen zunehmenden Preistopf. Diese Entwicklung weckt aber auch bei Cyberkriminellen Begehrlichkeiten. Betrugsmittel und Hacks gibt es in Untergrundmärkten in Hülle und Fülle, und sie richten sich an Spieler, die nach einem unfairen Vorteil in Turnieren suchen. Kriminelle Gruppen sind auch dafür bekannt, Distributed Denial of Service (DDoS) und Ransomware-Angriffe, Zero-Day-Exploits, Datendiebstähle und gezielte Malware gewinnbringend einzusetzen. Trend Micro geht davon aus, dass in den nächsten drei Jahren noch mehr Bedrohungen die florierende eSports-Industrie ins Visier nehmen werden. Vor allem vier Bedrohungen erwarten die Sicherheitsforscher in naher Zukunft.

Hardware Hacks

Betrug in eSports-Wettkämpfen ist nicht auf Software-Hacks beschränkt, denn auch die in den Turnieren verwendete Hardware lässt sich manipulieren. Viele professionelle Turniere erlauben es den Spielern, ihre eigene Hardware mitzubringen, so etwa eine Maus und Tastatur – bekannt für Hack-Möglichkeiten. Vor einem Jahr wurde beispielsweise ein Team in einem 15 Mio. $-Turnier disqualifiziert, nachdem die Jury einen der Spieler mit einer programmierbaren Maus erwischt hatte.

Andere Methoden sollen Mechanismen zur Erkennung von Betrug umgehen. So wurde 2018 beispielsweise „Ra1f“ beim Einsatz eines augeklügelten Hardware-Betrugs für Counter-Strike erwischt: Global Offensive konnte die ESEA Anti-Betrugstechnik umgehen. Die technischen Einzelheiten dazu lesen Sie im Originalbeitrag.

Bild 1. PCI Express-Ausrüstung wird für den Betrug genutzt

Bei der Recherche im Untergrund nach erhältlichen Hardware-Hacks fanden die Forscher Hacks, die einen Arduino- oder einen Rubber Ducky USB erforderten. Beide Geräte sind für legitime Zwecke im Einsatz und im Handel leicht erhältlich. Untergrundhändler aber bieten die Hardware mit zusätzlicher Betrugssoftware an, oder auch so modifiziert, dass sie der Entdeckung entgehen können. Eine Website offerierte diese angepasste Hardware für 500 $ aufwärts.

DDoS-Angriffe

DDoS-Angriffe können zu schwerwiegenden Verzögerungen führen, ein kritisches Problem in Wettbewerben, in denen Treffer im Millisekundenbereich über Gewinn und Verlust entscheiden können. Ein DDoS-Angriff kann Reputationsschäden in einem Turnier verursachen oder als Spieltaktik verwendet werden. Ein weiteres Ziel könnte auch Erpressung sein, wobei die Kriminellen Geld von Veranstaltern verlangen, um die Störung zu stoppen.

Für diese Angriffe gibt es bereits eine Vielfalt an Angeboten im Untergrund, so etwa DDoS-Tools, bezahlte Services und sogar Schutzofferten vor DDoS.

Bild 2. Werbung für einen DDoS service in einem Untergrundforum

Da diese Spiele meist live stattfinden, könnten eSports-Organisatoren unter Druck geraten und auf cyberkriminelle Forderungen eingehen, um Störungen zu verhindern oder abzustellen.

Angreifbare Game-Server

Server werden ein beliebtes Ziel für Hacker werden, sind sie doch der Einfallsweg für Spieleunterbrechung und Informationsdiebstahl. Die Sicherheitsforscher scannten mithilfe von Shodan nach Servern für eSports, einschließlich solcher, die von privaten Organisationen und Spielern betriebenen: Sie fanden 219.981 zugängliche Server (bis 25. Juli, 2019).

Server sind von Natur aus online und damit verschiedenen Risiken ausgesetzt. Über Shodan können Cyberkriminelle einfach eine quelloffene, intelligente Suche in verschiedenen geografischen Regionen, Organisationen, über Geräte, Services usw. hinweg durchführen. Die von Shodan gesammelten Software- und Firmware-Informationen helfen, nicht gepatchte Sicherheitslücken in zugänglichen Cyber-Posten zu finden. Interessierte finden eine Aufstellung von Schwachstellen im Originalbeitrag.

Gezielte Malware

Es gab bereits Vorfälle, bei denen Spieler Ziel von Ransomware wurden. 2018 griffen Cyberkriminelle Spieler mit Ransomware an und forderten sie auf, PlayerUnknown’s Battlegrounds (PUBG) zu spielen, um ihre Dateien zu entsperren. Diese Art von Aktivitäten wird zunehmen, weil Turniere und Spieler immer mehr im Rampenlicht stehen und damit zu attraktiven Zielen werden. Die Kriminellen zielen meist auf beliebte Spiele wie Fortnite und Counterstrike und wollen da valide Konten übernehmen, die sie dann im Untergrund anbieten. „Elite“-Konten, also die im Ranking am höchsten stehenden, sind natürlich teurer.

Bild 3. CS:GO-Konten mit „The Global Elite“-Rang kosten 99$

Außerdem kompromittieren die Kriminellen Konten, um Zugriff auf Kreditkartendaten zu erlangen und In-Game-Waren für den Wiederverkauf zu erwerben. Die Forscher gehen davon aus, dass Hacker berühmte Social Media-Accounts bekannter Twitch- und YouTube-Spieler kompromittieren, entweder um Lösegeld zu verlangen oder um sie als Plattform für die Verbreitung einer Botschaft zu nutzen. Cyberkriminelle werden nach Konten mit mehreren Millionen Follower suchen und gezielte Phishing-Angriffe und Malware einsetzen, um diese Konten zu übernehmen.

Sicherheitsempfehlungen

Die eSports-Industrie wird mit der gleichen Art und Schwere von Cyberangriffen zu kämpfen haben, wie die Gaming-Community es bereits tut – allerdings in größerem Umfang. Dies sind Bedrohungen, denen alle an eSports beteiligten Unternehmen ausgesetzt sind. Eine solche Gefährdung kann zu Identitätsdiebstahl, finanziellem Verlust und sogar zu Reputationsschäden führen.

Alle Parteien müssen sich der Online-Sicherheit besser bewusst sein und sicherstellen, dass Profile und Konten sicher aufbewahrt werden. Unternehmen müssen ihr Wissen um die Bedrohungslandschaft von eSports umfassend vertiefen und geeignete Sicherheitslösungen für anspruchsvolle Cyberangriffe bereitstellen.

Die eSports-Industrie ist jedoch nicht unvorbereitet. Gaming-Firmen und Organisatoren suchen ständig, neue Betrugstechniken und -Tools zu erkennen, und bereits jetzt sind zahlreiche Anti-Betrugsdienste verfügbar, die speziell auf den Schutz von eSports und Spielewettbewerben ausgerichtet sind. Weitere Informationen zu den Bedrohungen für eSports finden Sie im Bericht „Cheats, Hacks, and Cyberattacks: Threats to the Esports Industry in 2019 and Beyond”.

Trend Micro als „Leader“ bei Endpoint Protection im Gartner Magic Quadrant

Originalartikel von Wendy Moore

Trend Micro ist von Gartner auch 2019 im „Magic Quadrant for Endpoint Protection Platforms“ (EPP) als „Leader“ bewertet worden. Diese Position weist Gartner Trend Micro seit 2002 jedes Jahr zu. Der EPP-Markt hat einen Wandel mit vielen Innovationen durchlebt. Trend Micro als „Leader“ unterscheidet sich von anderen dadurch, dass neue Techniken und Fähigkeiten einen Zuwachs für den Wert der Lösungen darstellen, und nicht bloß die Summe der Funktionen sind. Wahre Führungskompetenz ist nachhaltig und weist beständige Stärke in Vision und Ausführung auf, so die Überzeugung des Herstellers.

Trend Micro hat die Endpoint-Lösung kontinuierlich weiter entwickelt und ihr eine Vielfalt an Fähigkeiten für Threat Detection & Response hinzugefügt, in Kombination mit Untersuchungsfunktionen als fester Bestandteil einer Single-Agenten-Lösung, die die Bereitstellung vereinfachen und integrierte Workflows ermöglichen. Dies ergibt einen ausgewogenen, umfassenden Ansatz für die Endpunktesicherheit — ein Muss angesichts der Vielfalt der Bedrohungslandschaft.

Die primäre Aufgabe der Lösung besteht darin, ohne manuelle Intervention so viele Endpoint-Bedrohungen wie möglich zu erkennen und zu blockieren. Je mehr Bedrohungen automatisch verhindert oder gestoppt werden, desto weniger müssen untersucht und darauf reagiert werden. Dieser Punkt wird häufig unterbewertet oder gar nicht berücksichtigt.

Dringt eine Bedrohung dennoch durch, so bedarf es verwertbarer Erkenntnisse und eines investigativen Toolsets für Verfolgungs- und Aufräumaktivitäten sowie für die Ursachenanalyse. Die Tools müssen die am häufigsten benötigten und am stärksten genutzten Anwendungsfälle abdecken.

Trend Micro ist jedoch der Meinung, dass eine effiziente Lösung nicht nur durch die Verbesserung der Fähigkeiten entsteht. Sie muss mehr tun als das, wofür EDR allein konzipiert ist. Mit XDR geht Trend Micro über den Endpunkt hinaus. So gibt es seit kurzem die Möglichkeit, Email und Endpoints in der Untersuchung einer Erkennung zu kombinieren, so dass die Ursachenanalyse bis in die Emails (#1 Angriffsquelle) zurück gehen kann, um zu verstehen, wer sonst noch die Email erhalten hat oder wo eine bösartige Datei in Office 365 oder im Gmail-Posteingang liegt. Es ist einfacher, eine Bedrohung einzudämmen und ihre Ausbreitung zu stoppen, wenn Einsichten über den Endpunkt hinaus möglich sind – dies lässt sich mit EDR allein nicht verwirklichen.

Die umfassendere XDR-Strategie bietet Kunden ein Mittel, um ihre Erkennungs- und Reaktionsfunktionen über Emails, Endpunkte, Server, Cloud-Workloads und Netzwerke hinweg auf einer einzigen Plattform und/oder über einen Managed Service weiter zu integrieren und zu erweitern. Mit XDR können Anwender die gesamte Sicherheitssituation klar darstellen und Bedrohungen über Sicherheitsebenen hinweg effektiv verfolgen, erkennen, analysieren und darauf reagieren. XDR nutzt die Trend Micro-eigenen Produkte wie Apex One (Endpunkt), Deep Security (Server/Cloud Workloads), Deep Discovery und TippingPoint (Netzwerk) sowie Cloud App Security (Messaging und Zusammenarbeit). Sie bietet zudem professionelle Sicherheitsanalysen für die Alert-Korrelation sowie eine zusammenfassende Sichtbarkeit und Untersuchung von Ereignissen. Der Schlüsselwert von XDR besteht darin, dass kleinere Ereignisse aus verschiedenen Sicherheitssilos (wie EDR) verbunden werden können, um komplexere Angriffe zu erkennen, die sonst unbemerkt geblieben wären. Erfahren Sie mehr über XDR.

Ein Managed XDR Service kann Teams entlasten und bietet Kunden die Möglichkeit, den Service für einen oder eine Vielzahl von Sicherheitsvektoren – Endpunkt, Netzwerk, Server & Cloud Workloads, Email – als eine einzige Quelle der Erkennung und Reaktion zu nutzen. Je mehr Quellen korreliert werden können, desto besser ist der Einblick – das ist der Vorteil von XDR.

Der Gartner-Report kann hier heruntergeladen werden.

Studie: Cybersicherheit ist grosse Herausforderung für europäischen Finanzsektor

Der Finanzsektor in Europa steht vor grossen Herausforderungen bei der IT-Sicherheit – das ergab eine Studie von Trend Micro. Wie der IT-Sicherheitsanbieter herausfand, haben 61 Prozent der IT-Entscheider im Finanzwesen den Eindruck, dass die Cyberbedrohungen für ihr Unternehmen im vergangenen Jahr zugenommen haben. Fast die Hälfte von ihnen (45 Prozent) gaben darüber hinaus Probleme an, mit den Bedrohungen Schritt zu halten.

Für die Untersuchung wurden über 1.000 IT- und IT-Sicherheitsentscheider in Europa befragt, von denen 344 im Finanzsektor tätig sind. Ein Drittel der Befragten aus dem Finanzwesen gab an, Probleme dabei zu haben, mit ihrem Budget wirkungsvoll für Cybersicherheit zu sorgen. Das bleibt nicht ohne Folgen: 34 Prozent berichteten, dass ihre Zufriedenheit am Arbeitsplatz im vergangenen Jahr gesunken ist.

„Datenschutz war noch nie wichtiger. Besonders Finanzdienstleister stehen vor nicht zu unterschätzenden Herausforderungen bei der Umsetzung neuer Vorgaben wie der DSGVO (EU-Datenschutzgrundverordnung) und PSD2 (Payment Services Directive 2)“, sagt Richard Werner, Business Consultant bei Trend Micro. „Der gesamte Sektor steht bereits unter hohem Druck. Berücksichtigt man zudem die steigende Häufigkeit von immer raffinierteren Cyberangriffen, wird deutlich, dass die Verantwortlichen viel zu tun haben.“

Schlupflöcher in Geschäftsprozessen

Eine Bedrohung, die den Befragten besonders gefährlich erscheint, ist Business Process Compromise (BPC). Dabei suchen Angreifer nach Schlupflöchern in Geschäftsprozessen, verwundbaren Systemen und angreifbaren Handlungsweisen. Wird eine Schwachstelle entdeckt, verändern die Angreifer den entsprechenden Prozess, ohne dass das betroffene Unternehmen oder seine Kunden etwas davon bemerken. Zwei Drittel (66 Prozent) der Befragten aus dem Finanzwesen stufen diese Angriffe als herausragende Bedrohung für ihr Unternehmen ein. Die Hälfte (50 Prozent) von ihnen geht zudem davon aus, dass sie sich keine Lösegeldzahlungen leisten könnten, falls Daten gestohlen oder verschlüsselt würden.

Obwohl eine Mehrheit (65 Prozent) erwartet, dass ein BPC-Angriff signifikante Auswirkungen auf den Geschäftsbetrieb hätte, gesteht knapp über die Hälfte (51 Prozent) ein, dass es in ihrer Geschäftsführung eine mangelnde Awareness hinsichtlich dieser Angriffsmethode gibt. Dabei stehen sie vor einer Herausforderung: 41 Prozent gaben an, Schwierigkeiten dabei zu haben, die Folgen eines Angriffs gegenüber der Unternehmensleitung zu kommunizieren. Gleichzeitig ist bei einem Drittel (34 Prozent) der Finanzunternehmen das Thema Cybersicherheit nicht auf Geschäftsführerebene vertreten.

„BPC-Angriffe sind für Cyberkriminelle aufwändig, versprechen aber auch grosse Gewinne. Indem sie sich längere Zeit unerkannt in der Infrastruktur eines Unternehmens aufhalten, können sie mit der Zeit die nötigen Informationen sammeln, um grössere Geldbeträge abfliessen zu lassen. Das war beispielsweise beim Angriff auf die Bangladesh Bank im Jahr 2016 der Fall“, so Werner weiter.

„Um diesen Bedrohungen zu begegnen, sollten Finanzdienstleister die Cybersicherheit zur Chefsache machen. So können Sicherheitsverantwortliche ihre Bedeutung besser innerhalb der gesamten Organisation kommunizieren. Schliesslich muss Security für das gesamte Unternehmen zur Geisteshaltung werden – vom Vorstand über die Buchhaltung bis hin zur Personalabteilung. Nur so kann es gelingen, diese immer raffinierteren Angriffe abzuwehren.“

Über die Studie

Von Opinium durchgeführte Studie im Auftrag von Trend Micro. Befragt wurden 1.022 IT- und Sicherheitsentscheider in Deutschland, dem Vereinigten Königreich, Spanien, Italien, Schweden, Finnland, Frankreich, den Niederlanden, Polen, Belgien und der Tschechischen Republik.

Sicherheit von 5G-Konnektivität im Unternehmen

Um von den Vorteilen von 5G zu profitieren, sind umfassende Vorbereitung und Planungen erforderlich. Es bietet sich an, zuerst die Änderungen zu erfassen, die 5G-Netzwerke für ein Unternehmen und dessen Sicherheit mit sich bringen

Die Erwartungen an 5G sind nicht nur wegen dessen technischer Weiterentwicklung hoch, sondern auch wegen der weiteren Technologien, die der Standard ermöglicht. Die neueste Generation der mobilen Funkkommunikation ist eine Antwort auf die schnelle Ausbreitung digitaler Technologie. Heutige schwankende Geschwindigkeiten von 4G- und älteren Netzwerken zeigen nur zu deutlich, wie überfüllt Verbindungen geworden sind. Unbestreitbar besteht ein Bedarf an Breitbandnetzwerken, die nicht nur schneller sind, sondern auch eine konsistente Konnektivität für bedeutend mehr Geräte liefern können

Doch die kommenden Vorteile kann nur nutzen, wer einen realistischen Ansatz für die Implementierung von 5G wählt. Dazu gehört auch eine Vorbereitung auf die dynamische, volatile, datengetriebene Art und Weise des Standards, denn diese Charakteristiken können für die Sicherheit eines Unternehmens Folgen haben und damit die von 5G angekündigten Fortschritte zunichtemachen.

Cybersecurity- und Datenfragen in 5G
Einer der ersten Problembereiche bei der Umsetzung von 5G ist die Menge der gesammelten Daten und wie sie interpretiert werden. Das wiederum wirft Sicherheitsbedenken auf, insbesondere im Hinblick auf die Erkennung. Der Start von 5G könnte die Überprüfung von Regeln zum Herausfiltern von bösartigem Netzwerkverkehr erforderlich machen, da die derzeit verwendeten Regeln die Feinheiten des mit 5G möglichen, stark individualisierten Verkehrs möglicherweise nicht erkennen. Das Hinzukommen weiterer IoT-Geräte könnte zusätzlich Zuordnungsprobleme für Sicherheitsstatistiken bereiten, die bislang nur zur Überwachung von menschlichen Teilnehmern verwendet wurden – im Gegensatz zu Maschinenteilnehmern, einem zweiten Teilnehmertyp, der aus IoT-Geräten besteht.

Von entscheidender Bedeutung für die Vorbereitung auf 5G ist auch die allgemeine Cybersicherheitsstrategie des Unternehmens bezüglich der Übertragung von Daten. Sicherheit muss nach sorgfältiger Planung umgesetzt werden und schließt eine organisierte Struktur mit ein, die dazu beiträgt, Angriffe zu verhindern oder ihre Auswirkungen abzuschwächen sowie Raum für notwendige Veränderungen in der Zukunft zu schaffen. Das Fehlen einer Sicherheitsarchitektur führt möglicherweise zu deiner Verzögerung des Einsatzes neuer Technologien wie der von 5G.
Zudem hat der Wechsel von hardware- zu softwaredefinierten Netzwerken einen Einfluss auf die benötigten Fähigkeiten für den geeigneten Betrieb und Absicherung von Netzwerkprozessen. Unternehmen werden mehr Fachleute brauchen, die die Hauptprobleme in einem softwaredefinierten Netzwerk identifizieren können, und gleichzeitig für eine erweiterte Incident Response sorgen. Aktuelle Sicherheitsteams müssen möglicherweise auch ihre Fähigkeiten in der Softwarecodierung ausweiten, um mit höherer Genauigkeit  Daten, die mit der Verwendung von 5G verbunden sind, zu interpretieren und zu profilieren

Absichern des Unternehmens
Verschiedene Sicherheitstechniken und –technologien unterstützen bei der Lösung dieser Fragen und erleichtern den Wechsel auf 5G. Abhilfe bei sinkender Leistung einer Sicherheitsarchitektur infolge von schwachen Erkennungsraten kann beispielsweise der Einsatz eines Sicherheitsorchestrators schaffen oder geschäftsorientierte Regeln auf Machine Learning-Basis, die Sicherheit und Vertraulichkeit als Funktion einsetzen. Die Verwendung von 5G Machine Learning kann auch dabei unterstützen, eine neue Referenzlinie zu erstellen, die wiederum identifiziert, was akzeptabler Netzwerkverkehr ist. Dadurch wird der Druck auf Sicherheitspersonal oder Experten im Unternehmen reduziert

Einzelheiten zu den möglichen Auswirkungen von 5G auf die Unternehmenssicherheit sind im Trend Micro-Whitepaper „The Deep Blue Sea of 5G” enthalten.

Deutschsprachige Aktualisierung zu WannaCry/Wcry

Dieses Jahr förderte zwei verschiedene Sicherheitsrisiken zutage: CVE-‎2017-0144, eine Sicherheitslücke im SMB-Server, die für eine Remote Code-Ausführung missbraucht werden konnte und im März geschlossen wurde, die andere ist WannaCry/Wcry, eine relativ neue Ransomware-Familie, die Ende April entdeckt wurde. Wurde bislang WannaCry über Dropbox-URLs, die in Mails eingebettet waren verteilt, so verbreiten sich die neuen Varianten jetzt über die vorher entdeckte SMB-Sicherheitslücke. Dies führte zu einem der schwersten Ransomware-Angriffe, der Nutzer weltweit traf.

Die Lösegeldforderung belief sich auf 300 $, die in Bitcoin zu zahlen sind. Dies ist weniger als die Summe, die in früheren Angriffen gefordert wurde. Neben den ursprünglichen Angriffen in Großbritannien, waren letztendlich auch viele Länder massiv betroffen.

Trend Micro erkennt die Varianten in diesem Angriff als RANSOM_WANA.A und RANSOM_WCRY.I. Kunden sind gegen die Bedrohungen bereits geschützt über Predictive Machine Learning und andere Schutzfunktionen in Trend Micro XGen™ Security.

[ACHTUNG: Identifizieren Sie die Lücken in der vorhandenen Endpoint Schutzlösung mithilfe des kostenlosen Trend Micro Machine Learning Assessment Tool.]

Infektionsvektor

Die Sicherheitslücke, die in diesem Angriff ausgenutzt wurde (Codename EternalBlue), gehörte zu denen, die die Shadow Brokers Gruppe mutmaßlich von der National Security Agency (NSA) gestohlen und öffentlich gemacht hatte. Die Sicherheitslücke wurde dazu verwendet, um eine Datei auf einem angreifbaren System abzulegen. Diese Datei wurde dann als Service ausgeführt und verschlüsselte Dateien mit der .WNCRY-Extension. (Eine separate Komponentendatei für das Anzeigen der Lösungsforderung wurde ebenfalls abgelegt.) Es geht um Dateien mit bis zu 166 verschiedenen Extensions, einschließlich solcher, die normalerweise Microsoft Office, Datenbanken, Dateiarchiven, Multimediadateien und verschiedenen Programmiersprachen verwenden.


Bild 1. Infektionsdiagramm


Bild 2. Lösegeldforderung

Feedback aus dem Smart Protection Network zeigt, dass neben Großbritannien Taiwan, Chile und Japan ebenfalls massiv betroffen waren, des weiteren auch Indien und die Vereinigten Staaten.

Die Bedrohung nutzt für die Verbreitung auf andere Systeme die abgelegte Datei, die als Service ausgeführt wird. Der Service nutzt den Namen „Microsoft Security Center (2.0)“. Er scannt nach weiteren SMB-Freigaben im Netzwerk und nutzt die EternalBlue-Sicherheitslücke für die Verbreitung.

Bild 3. Hinzugefügter Service

Wie bereits erwähnt, hat Microsoft die SMBv1-Sicherheitslücke bereits im März geschlossen. Und davor drängte Microsoft im September 2016 die Nutzer dazu, von SMBv1 zu migrieren, da der Server aus den frühen neunziger Jahren stammt. Das US-CERT hatte ähnlich dringliche Empfehlungen ausgesprochen. Unternehmen, die diesen Empfehlungen gefolgt waren, wurden vom Angriff nicht getroffen.

Trend Micro-Lösungen

Trend Micro Smart Protection mit XGen Endpoint Security kombiniert High-Fidelity Machine Learning mit anderen Erkennungstechnologien und globalem Bedrohungswissen für einen umfassenden Schutz gegen Ransomware und fortschrittliche Malware. Die Trend Micro-Lösungen erkennen diese Bedrohungen als RANSOM_WANA.A und RANSOM_WCRY.I.

Trend Micro Deep Security™ und Vulnerability Protection, Trend Micro Deep Discovery Inspector und TippingPoint schützen gegen diese Bedrohung. Eine vollständige Liste mit ensprechenden Regeln und Filtern für die Trend Micro- und TippingPoint-Produkte gibt es auf der Trend Micro Support-Seite.

Folgende SHA256-Hashes gibt es in Bezug auf diese Ransomware:

  • 043e0d0d8b8cda56851f5b853f244f677bd1fd50f869075ef7ba1110771f70c2
  • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
  • 11d0f63c06263f50b972287b4bbd1abe0089bc993f73d75768b6b41e3d6f6d49
  • 16493ecc4c4bc5746acbe96bd8af001f733114070d694db76ea7b5a0de7ad0ab
  • 190d9c3e071a38cb26211bfffeb6c4bb88bd74c6bf99db9bb1f084c6a7e1df4e
  • 201f42080e1c989774d05d5b127a8cd4b4781f1956b78df7c01112436c89b2c9
  • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41d
  • 3f3a9dde96ec4107f67b0559b4e95f5f1bca1ec6cb204bfe5fea0230845e8301
  • 4186675cb6706f9d51167fb0f14cd3f8fcfb0065093f62b10a15f7d9a6c8d982
  • 4b76e54de0243274f97430b26624c44694fbde3289ed81a160e0754ab9f56f32
  • 57c12d8573d2f3883a8a0ba14e3eec02ac1c61dee6b675b6c0d16e221c3777f4
  • 78e3f87f31688355c0f398317b2d87d803bd87ee3656c5a7c80f0561ec8606df
  • 940dec2039c7fca4a08d08601971836916c6ad5193be07a88506ba58e06d4b4d
  • 9fb39f162c1e1eb55fbf38e670d5e329d84542d3dfcdc341a99f5d07c4b50977
  • a3900daf137c81ca37a4bf10e9857526d3978be085be265393f98cb075795740
  • b47e281bfbeeb0758f8c625bed5c5a0d27ee8e0065ceeadd76b0010d226206f0
  • b66db13d17ae8bcaf586180e3dcd1e2e0a084b6bc987ac829bbff18c3be7f8b4
  • b9c5d4339809e0ad9a00d4d3dd26fdf44a32819a54abf846bb9b560d81391c25
  • c365ddaa345cfcaff3d629505572a484cff5221933d68e4a52130b8bb7badaf9
  • dff26a9a44baa3ce109b8df41ae0a301d9e4a28ad7bd7721bbb7ccd137bfd696
  • ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa
  • eeb9cd6a1c4b3949b2ff3134a77d6736b35977f951b9c7c911483b5caeb1c1fb
  • f8812f1deb8001f3b7672b6fc85640ecb123bc2304b563728e6235ccbe782d85
  • fc626fe1e0f4d77b34851a8c60cdd11172472da3b9325bfe288ac8342f6c710a

Update vom 13. Mai