Schlagwort-Archive: Ransomware

Erste Schritte zur effizienten IoT-Gerätesicherheit

Städte, Büros und Häuser werden immer smarter. Eine neue Studie von Gartner schätzt, dass 2020 5,8 Mrd. Endpunkte in Unternehmens- und Automotive-IoT im Einsatz sein werden. Dank solcher Geräte sind tagtägliche Aufgaben und die Produktion zweifellos einfacher geworden. Doch welche Risiken gehen mit den neuen Technologien einher? Denn die Geräte werden an kritische Infrastrukturen angeschlossen, in wichtige betriebliche Aufgaben einbezogen, und enthalten auch kritische Daten. Gleichzeitig müssen sie gesichert werden.

IoT Hacks und Schwachstellen 2019

Es ist ungleich schwieriger, IoT-Geräte zu sichern als Laptops oder ein Mobiltelefon, denn viele dieser Geräte sind bei ihrer Entwicklung nicht auf Sicherheit ausgerichtet worden. Doch im Zuge der steigenden Bedrohungen wächst auch der Druck auf die Hersteller, ihre Produkte mit Sicherheitsmechanismen auszustatten. Trotz des breiten industriellen Einsatzes sind viele der Geräte mit veralteteten Systemen versehen, haben nicht gepatchte Schwachstellen und speichern ungesicherte Daten. In typischen Unternehmensumgebungen stellt die zunehmende Vernetzung weit verbreiteter operativer Netzwerke (einschließlich Geräte, Kommunikationskanäle und Anwendungen) eine vielfältige Angriffsfläche für Hacker dar.

IoT-Bedrohungen verbreiten sich immer weiter. Allein in diesem Jahr gab es mehrere kritische Sicherheitsvorfälle in verschiedenen Branchen, von denen Millionen von Geräten betroffen waren.

Weitere Informationen zu den einzelnen Sicherheitsvorfällen liefert der Originalbeitrag.

Fünf Schritte zur IoT-Sicherheit

Im Allgemeinen sind IoT-Geräte sehr unterschiedlich, und die Sicherung hängt auch vom jeweiligen Typ und Modell ab. In einem Bürogebäude kommt eine intelligente Glühbirne von einem anderen Hersteller als der intelligente Drucker, und das gesamte Steuerungssystem, das das Büro umfasst, verfügt über ein eigenes Betriebssystem. Um all diese unterschiedlichen IoT-Geräte effektiv zu sichern, sind ein übergreifender mehrschichtiger Sicherheitsplan und eine ständige Wartung erforderlich.

Beim Aufsetzen von IoT-Geräten bedarf es fünf erster Sicherheitsschritte:

  • Ändern der standardmäßig gesetzten Passwörter und das Anpassen von Sicherheitseinstellungen den jeweiligen Bedürfnissen entsprechend,
  • Deaktivieren aller Fähigkeiten, die nicht benötigt werden,
  • Für Geräte, die Anwendungen von Drittanbietern nutzen, nur legitime von vertrauenswürdigen Anbietern einsetzen,
  • Update der Geräte-Firmware und -anwendungen, damit das Gerät gegen bekannte Sicherheitslücken geschützt ist,
  • Beim Aufsetzen von Anwendungen auf Geräten sollten die erforderlichen Berechtigungen überprüft werden und der Zugriff darauf eingeschränkt werden.

Fünf Schritte zur Absicherung von Netzwerken und Router

In IoT-aktivierten Umgebungen können auch Netzgeräte und Router zum Risiko werden. Ein kompromittiertes IoT-Gerät kann möglicherweise dazu verwendet werden, um Malware auf weitere Geräte in demselben Netzwerk zu verbreiten. Beispielsweise kann ein smarter Drucker dazu verwendet werden, um Bürocomputer und andere smarte Geräte zu infizieren. Auch kompromittierter Router ist in der Lage, Malware an alle damit verbundenen Geräte zu verteilen.

Die folgenden Maßnahmen sind bei der Absicherung von Netzwerken und Routern hilfreich:

  • Mappen und Überwachen aller vernetzten Geräte. Einstellungen, Zugangsdaten, Firmware-Versionen sowie neue Patches sollten einbezogen werden. Dieser Schritt kann helfen zu beurteilen, welche Sicherheitsmaßnahmen zu ergreifen sind und welche Geräte möglicherweise ausgetauscht oder aktualisiert werden müssen.
  • Anwenden von Netzwerksegmentierung. Netzwerksegmentierung kann das Ausbreiten eines Angriffs verhindern und möglicherweise problematische Geräte, die nicht sofort vom Netz genommen werden können, isolieren.
  • Sicherstellen, dass die Netzwerkarchitektur sicher ist. Router sollten mit VLAN oder einer DMZ aufgesetzt sein – Segmentierungs- und Isolationsmechanismen, die eine zusätzliche Sicherheitsschicht für Netze bilden.
  • Befolgen von Best Practices für Router. Aktivieren der Router Firewall, WPS deaktivieren und das WPA2-Sicherheitsprotokoll aktivieren, starke Passwörter für den WLAN-Zugriff sind nur einige davon.
  • Deaktivieren von nicht benötigten Services wie Universal Plug and Play (UPnP). Schlecht konfigurierte Router mit aktivem UPnP sind kürzlich angegriffen worden. Dies zeigt deutlich, dass es wichtig ist, nicht benötigte Fähigkeiten und Services abzuschalten.

Für einen vollständigeren und mehrschichtigen Verteidigungsansatz, können Nutzer den umfassende Schutz etwa von Trend Micro™ Security und Trend Micro™ Internet Security wählen. Diese Lösungen bieten effiziente Schutzmaßnahmen vor Bedrohungen für IoT-Geräte, denn sie können Malware auf Endpoint-Ebene erkennen. Vernetzte Geräte lassen sich auch durch Lösungen wie Trend Micro™ Home Network Security und Trend Micro Smart Home Network™ (SHN) schützen, die den Internetverkehr zwischen dem Router und allen vernetzten Geräten prüfen. Die Trend Micro™ Deep Discovery™ Inspector-Netzwerk-Appliance kann alle Ports und Netzwerkprotokolle auf fortgeschrittene Bedrohungen überwachen.

Trend Micro und Cloud Conformity gehen fehlerhafte Konfigurationen an

Trend Micro hat sich von Anbeginn der Erfolgsgeschichte der Cloud mit deren Sicherheit beschäftigt. Über Partnerschaften mit Public Cloud Providern liefert der japanische Hersteller über die Deep Security-Plattform eine umfassende Palette an Schutzmöglichkeiten für die unterschiedlichen Umgebungen, von Containern bis zu virtuellen und Cloud-Workloads. Trend Micro ist aber auch bewusst, dass eine der größten Herausforderungen für die Sicherheit von Clouds fehlerhafte Konfigurationen sind. Das ist der Grund, warum Trend Micro Cloud Conformity übernommen hat, einen Anbieter von Cloud Security Posture Management (CSPM), der Fähigkeiten für die Lösung genau dieses Problems mitbringt.

Deep Security

Deep Security ist laut IDC seit zehn Jahren das führende Server-Sicherheitsprodukt bezüglich der  Marktanteile. Die Lösung bietet von einer einzigen Plattform aus automatisierten Schutz über physische, virtuelle und Cloud-Server hinweg und zusätzlich für Container. Deep Security lässt sich zudem eng mit Microsoft Azure, Amazon Web Services und anderen Plattformen integrieren und ist damit optimal für hybride Cloud-Umgebungen geeignet. Zu den Schlüsselfähigkeiten gehören Intrusion Prevention, Anwendungskontrolle, Integritäts-Monitoring, Anti-Malware sowie Sandbox- und Verhaltensanalysen.

Herausforderungen

Doch Cloud-Anwender stehen auch vor anderen Herausforderungen. So stellen Analysten fest, dass an mehr als 90% der Cloud-Sicherheitsvorfälle die Anwender schuld sein werden – und fehlerhafte Konfigurationen von Cloud-Systemen sind der Hauptfaktor. Fast wöchentlich gibt es Berichte über ungesicherte und öffentlich zugängliche Datenspeicher, und das wegen menschlichen Versagens. Unternehmen mit klingenden Namen wie Verizon und FedEx mussten mit den Folgen solcher Unzulänglichkeiten umgehen. Derartige Sicherheitsfehler erlauben es Hackern, kritische Unternehmens- und Kundendaten zu stehlen, die Eigentümer zu erpressen, oder gar zu versuchen, Skimming Code auf die Firmen-Websites hochzuladen.

Um auch dieser Herausforderung die Stirn bieten zu können, hat Trend Micro Cloud Conformity übernommen. Einige Schätzungen gehen davon aus, dass CSPM Cloud-Sicherheitsvorfälle im Zusammenhang mit fehlerhaften Konfigurationen um bis zu 80% mindern kann. Das ist ein überzeugender Beweis für den Wert des Cloud Conformity-Angebots mit kontinuierlichem Monitoring, Warnungen und Wiederherstellung von AWS- und Azure-Umgebungen von einer einzigen Plattform aus.

Die Could Sicherheit Lösung von Cloud Conformity ist bei Trend Micro ab sofort verfügbar.

„Locky Poser“ ist nicht das, was die Malware vorgibt zu sein

Originalbeitrag von Ian Kenefick, Threats Analyst

Ransomware hatte zwar ihren Höhepunkt 2017 erreicht, dennoch gab es in der ersten Hälfte 2018 eine leichte Zunahme bei diesbezüglichen Aktivitäten – mit Anpassungen, um die Sicherheitslösungen zu umgehen, oder Täuschungen wie im Fall von PyLocky (RANSOM_PYLOCKY.A),die bewährte Ransomware nachahmt. Ende Juli und während des gesamten August gab es Wellen von Spam-Mails, welche die PyLocky Ransomware ablegten.

Auch wenn die Malware versucht, in der Lösegeldnachricht als Locky zu erscheinen, handelt es sich nicht um diesen Erpresser. PyLocks ist in Python geschrieben, mit PyInstaller gepackt und enthält bemerkenswerterweise Funktionalität gegen Machine Learning. Infolge des kombinierten Einsatzes des Inno Setup Installer (quelloffen und skript-basiert) und PyInstaller stellt die Malware statische Analysemethoden, einschliesslich ML-basierter Lösungen, vor Herausforderungen. Ähnlich agierten bereits Varianten von Cerber.

Die Verteilung von PyLocky scheint sich auf Europa, vor allem Frankreich, zu konzentrieren. Zwar begann die Spam-Kampagne klein, nahm jedoch später im Ausmass zu.

Bild 1: Distribution von PyLocky-bezogenem Spam vom 2. August (links) und 24. August (rechts)

Bild 2: PyLocky Lösegeld-Nachricht, die vorgibt, Locky Ransomware zu sein.

Technische Details zu der Bedrohung liefert der Originalbeitrag.

englischsprachige Webinare in den nächsten Monaten

Die  folgenden Webinare in englischer Sprache sind bereits fixiert:

  • How to secure your SAAS applications – Advanced threat security
    Discover the most common challenges in advanced threat security and learn what steps to take for securing your SAAS based applications.
    27.10.2017 11:00 – 12:00 | 12.12.2017 11:00 – 12:00
  • Network Defense: Why Visibility is key to rooting out Ransomware
    Get actionable insights on network visibility and how it can help you prevent unforeseen risks and costs.
    24.11.2017 11:00 – 12:00 | 12.01.2018 11:00 – 12:00
  • Improve your protection fron new threats and share in real time with your Connected Threat Defense
    14.12.2017 11:00 – 12:00 |23.02.2018 11:00 – 12:00

kurzfristige Webinare zur aktuellen Cyber-Attacke

Aus aktuellem Anlass führen wir kurzfristig Webinare zur aktuellen Cyber-Attacke durch:

Thursday 29. Juni 2017 at 19 Uhr CET in English
Please click here to register!

Friday 30. June 2017 at 11:00 CET in English
Please click here to register!

Freitag 30. Juni 2017 um 11 Uhr CET in deutscher Sprache
Klicken Sie hier um sich zu registrieren!

Vendredi 30. June 2017 11:00 en français
Enregistrez-vous ici!

Venerdì 30 Giugno, 2017 alle 11:00 CET in italiano
Clicca qui per registrarti!

 

Frequently Asked Questions: The Petya Ransomware Outbreak

On June 27, several organizations in Europe reported ransomware infecting their systems, modifying their master boot records (MBR) and encrypting their systems’ files. The culprit: a variant of the Petya ransomware that Trend Micro detects as RANSOM_PETYA.SMA.

The ransomware is spreading rapidly, affecting organizations, businesses, and end users, turning into an outbreak reminiscent of the one caused by WannaCry. Some questions remain: Do they work the same? Do they both have kill switches? Do they similarly use the EternalBlue vulnerability to infect systems?

Here are some of the most frequently asked questions that dispel and clarify misconceptions and comparisons about this threat:

Hier der Link zu einer aktuellen Version der „Frequently asked questions“ des aktuellen Cyber-Angriffs.

Erpresser kassierten 2016 eine Milliarde $ Lösegeld

Originalartikel von Keith Cortez, Technical Communications

Während des Jahres 2016 nahmen die Ransomware-Akteure grössere Ziele ins Visier – kleinere und grössere Unternehmen und Organisationen – von denen sie insgesamt 1 Milliarde $ erpressten. Auch schon bevor die Ransomware WannaCry ihr Unwesen trieb, hatten Unternehmen und Einzelpersonen unter den bösen Folgen dieser Art von Bedrohung zu leiden. Der Report „Ransomware: Früher, jetzt und künftig“ fasst alle Einzelheiten dazu zusammen. Nach nur einem Jahr stieg die Anzahl der Ransomware-Familien um 752%.


Weltweites Aufkommen der Bedrohung durch Ransomware (Januar 2016 – März 2017)

Im Laufe des Jahres 2016 gab es verschiedene Veränderungen an den Ransomware-Varianten. Zu den neu hinzu gekommenen Fähigkeiten gehören aktualisierte Infektionsroutinen und die Möglichkeit, immer weitere Dateitypen zu verschlüsseln. Noch ist das Ende der Fahnenstange nicht erreicht!

Das zeigt auch der jüngste WannaCry-Angriff, wahrscheinlich der umfangreichste bislang. Der Schädling nutzte dabei die kürzlich veröffentlichte Windows Server Message Block (SMB)-Sicherheitslücke (CVE-2017-0144) aus, um nicht nur in Systeme sondern in ganze Netzwerke einzudringen und Dateien zu verschlüsseln, aber auch nach SMB-Freigaben zu scannen und sich so in den Netzwerken auszubreiten. Da WannaCry auch geschäftskritische Dateien (Datenbanken und Archive) verschlüsselt hatte, blieb Opfern möglicherweise nichts anderes übrig, als das geforderte Lösegeld zu zahlen.

Obwohl WannaCry kleinere Summen (300$) fordert als andere Varianten, kann sich der Schädling über SMB-Freigaben verbreiten. Und das bedeutet, dass das betroffene Unternehmen 300$ pro infiziertem System zu zahlen hat.

WannaCry ist nicht die erste Ransomware, die Profit aus Opferunternehmen schlägt. Cerber etwa, die bislang erfolgreichste Ransomware-Familie, brachte immer wieder Unheil über die Opfer. Die Hintermänner begannen sogar, Cerber-as-a-Service-Angebote in Untergrundforen zu offerieren und verdienten damit 200.000$ in einem einzigen Monat.

Sich ständig änderndes Ransomware-Verhalten zwingt die Opfer zu zahlen, um ihre Geschäftstätigkeiten nicht zu beschädigen. Doch die Zahlung des Lösegelds bedeutet nicht immer, dass das Opfer die Daten wiederbekommt. Daher ist bei Bedrohungen wie Ransomware Prävention die bessere Option.

Ransomware-Verteidigung und Prävention

Trend Micro empfiehlt Unternehmen einige grundlegende Vorsichtsmassnahmen zu treffen, um ihr Risiko zu verringern. Folgende Schritte sollten unternommen werden:


Es gibt auch eine Reihe von Lösungen von Trend Micro für den Schutz von Mail und Gateways, der Endpunkte, des Netzwerks und der Server, mit deren Hilfe eine Ransomware-Infektion verhindert werden kann:






Weitere Informationen und Einzelheiten zur Bedrohung durch Ransomware liefert der umfangreiche Bericht „Ransomware: Früher, jetzt und künftig.

 

Nach WannaCry – die nächste Welle rollt an!

Noch keine Woche ist seit der grossen WannaCry – Angriffswelle vergangen. Es war wirklich nur eine Frage der Zeit, bis daraus neue Malware entwickelt werden würde: die Entstehung der UIWIX-Ransomware. Trend Micro erkennt die neue Bedrohung unter RANSOM_UIWIX.A.
Lesen Sie hier das Neuste dazu auf unserem englischsprachigen TrendLabs Security Blog

Ad-hoc Webinare zum Thema WannaCry/Wcry

Aus aktuellem Anlass führt Trend Micro ein Webinar zum Thema „wie schützen Sie Ihr Unternehmen vor diesen aktuellen Bedrohungen“ durch.

Webinar zu WannaCry

Nach der ersten Infektionswelle können weitere folgen, wenn in den nächsten Stunden und Tagen derzeit abgeschaltete, verwundbare Systeme wieder in Betrieb gehen. Erfahren Sie alles Wichtige über die anhaltende Bedrohung im Webinar.

Referent:
Timo Wege, Technical Consultant Pre-Sales

Sie haben zwei Daten zur Auswahl (selber Inhalt):
Dienstag, 16. Mai von 14:00 bis 15:00 Uhr –> zur Anmeldung
Donnerstag, 18. Mai von 14:00 bis 15:00 Uhr –> zur Anmeldung

Hier finden Sie alle notwendigen Informationen zur Abwehr einer potenziell bevorstehenden, zweiten Angriffswelle. Dazu gehören auch wichtige Empfehlungen zur optimalen Konfiguration Ihrer Trend Micro Lösungen. Unsere Sicherheitsexperten aktualisieren diese Empfehlungen fortlaufend, daher möchten wir Sie bitten, sich auf dem Laufenden zu halten. Auf unserem Blog erfahren Sie darüber hinaus mehr über aktuelle Erkenntnisse aus den Trend Labs und die weitere Entwicklung des Angriffs.