Smartphone, Tablet und Co.

Mobile Malware: Herausforderung für die IT-Sicherheit

13.10.2015 von Bernhard Haluschak
Mobile Security ist heute in vielen Unternehmen ein heiß diskutiertes Thema. Im Interview verrät Raj Samani, Vice President und CTO von Intel Security EMEA, mit welchen Aspekten sich Firmen bei Mobile Malware auseinandersetzen müssen.

Immer mehr mobile Geräte erobern die Unternehmen und stellen die IT-Verantwortlichen in puncto Security vor neuen Herausforderungen. Gilt es doch, die Geräte zur jeder Zeit und an jedem Ort so abzusichern, dass Unbefugte keinen Zugriff auf die dort gespeicherten Daten erlangen. So ist es nicht verwunderlich, dass der Markt für Security-Maßnahmen für Mobilgeräte stetig wächst. Was uns in den nächsten Monaten in Bezug auf Mobile Security und im speziellem Mobile Malware erwartet, haben wir den Intel Sicherheitsexperten von Intel Security Raj Samani gefragt.

Raj Samani: Vice President und Chief Technical Officer von Intel Security EMEA.
Foto: Intel Security

Wie sehr müssen Unternehmen 2015/16 wegen mobiler Malware wirklich besorgt sein?

Raj Samani: "Mobile Malware ist eine wachsende Bedrohung. Forscher des McAfee Labs haben bestätigt, dass die Anzahl neuer, mobiler Malware vom vierten Quartal 2014 bis zum ersten Quartal 2015 um 49 Prozent gestiegen ist. Obwohl die Bedrohung durch mobile Malware noch nicht annähernd so hoch ist, wie durch traditionelle Malware, verändern sich die Bedrohungsszenarien ständig. Unsere Abhängigkeit von Mobilgeräten steigt. Damit steigt auch der Fokus der Cyber-Kriminellen, die mobile Plattformen vermehrt angreifen."

Inwieweit beeinflusst der Kampf gegen mobiler Malware das Unternehmensgeschehen?

Raj Samani: "Der Kampf gegen jede Art von Malware oder IT-Risiko muss ein Gleichgewicht zwischen Usability und Sicherheit finden. Keine Organisation kann alle Risiken vollständig eliminieren. Die Herausforderung besteht beim Management der Informationssicherheit darin, herauszufinden wie man diese empfindliche Balance erreicht. IT-Verantwortliche müssen sicherstellen, dass ihre Maßnahmen am Ende nicht die Produktivität und Zusammenarbeit behindern. Wir können Risiken nicht vollständig ausschalten, aber wir können das Ausmaß der Risiken ermitteln und Sicherheitsmaßnahmen daran anpassen."

Malware für mobile Endgeräte wird größtenteils als "Adware" und ähnliches eingestuft, die eher ärgerlich als gefährlich ist. Sollten Sicherheits-Profis ihre Aufmerksamkeit überhaupt auf diese Art Malware richten?

Raj Samani: "Mobile Malware als Malware mit geringeren Auswirkungen zu beschreiben, ist lachhaft, auch wenn Adware zunächst nur ein großes Ärgernis für den Anwender bedeutet. Tatsache ist, mobile Malware kann viel größere Bedrohungen bedeuten, die einen echten Einfluss auf das Unternehmen haben. Hinter mobiler Malware steht eine ganze Bandbreite Krimineller: von jenen, die Ihre Kontaktdaten von ihrem Telefon stehlen bis zu jenen, die Ire beim Online-Banking Ihre mTAN (mobile Transaction Authentication Number) abfangen. Security-Verantwortliche müssen mobile Malware ernst nehmen: mobile Angriffe werden weiterhin stetig zunehmen, weil die zunehmende Verbreitung mobiler Technologien die Angriffsfläche vergrößert."

Security-Trends 2015
1. Exploit-Bekämpfung reduziert die Einfallstore für Kriminelle.
Cyberkriminelle hatten in den vergangenen Jahren mehr oder weniger leichtes Spiel mit Microsoft Windows. Glücklicherweise hat der Konzern Exploits in letzter Zeit gezielt bekämpft, so dass Attacken immer schwieriger werden. Allerdings gibt es eine Kehrseite der Medaille, da viele Malwareentwickler sich nun wieder den Social-Engineering-Techniken zuwenden oder auf Nicht-Microsoft-Plattformen abzielen.
2. Internet-of-Things-Attacken haben sich von Machbarkeitsstudien zu Mainstream-Risiken entwickelt.
2014 mussten wir immer häufiger feststellen, dass Hersteller von Internet-of-Things-Geräten es oftmals verschlafen haben, grundlegende Sicherheitsstandards zu implementieren. Entsprechend sind Attacken auf diese Geräte absehbar und werden zudem umfassende Folgen haben. Die IT-Sicherheitsindustrie muss sich weiterentwickeln, um für dieses neue Thema Antworten zu finden.
3. Verschlüsselung ist mittlerweile Standard, aber darüber sind nicht alle glücklich.
Dank häufig auftauchender Schlagzeilen in Sachen Spionagesoftware und Datenbankeinbrüchen hat sich die Verschlüsselung aller Daten schon fast zum Standard entwickelt. Das geht allerdings gerade großen Organisationen wie Strafverfolgungsbehörden oder Geheimdiensten gegen den Strich, da sie befürchten, dass diese „Heimlichtuerei“ die allgemeine Sicherheit gefährdet.
4. Sicherheitsrelevante Programmierfehler in weit verbreiteter Software blieben jahrelang unter dem Radar.
„Heartbleed“ und „Shellshock” machen deutlich, dass weit mehr unsichere Code-Zeilen im Umlauf sind, als gedacht und sie werden seit vielen Jahren unbemerkt von einer großen Anzahl Computersystemen genutzt,. Entsprechend hat sich auch das Augenmerk der Hacker auf diese eher unauffälligen Programme gerichtet und 2015 sind vermehrt Attacken in diesem Bereich zu erwarten.
5. Gesetzliche Neuregelungen bringen mehr Verantwortung bei der Offenlegung von Daten und Haftung mit sich – vor allem in Europa.
Die Mühlen der Gesetze mahlen im Vergleich zur Technologieentwicklung sehr langsam, aber dennoch treten 2015 einige gesetzliche Neuerungen in Kraft, die lange auf sich warten ließen. Es ist wahrscheinlich, dass diese Änderungen auch in anderen Bereichen mit einer progressiveren Datenschutzregulierung einhergehen.
6. Kriminelle schießen sich auf mobile Zahlungssysteme ein, halten aber gleichzeitig noch eine Weile an traditionellen Finanzbetrügereien fest.
Nach der Ankündigung von Apple Pay waren mobile Zahlungssysteme eines der Topthemen der vergangenen Monate. Wie immer, wenn neue Systeme an den Start gehen, werden die Cyberkriminellen nach Lücken Ausschau halten. Da das aber aufgrund einiger sehr positiver Absicherungen nicht ganz einfach sein wird, dürfen wir davon ausgehen, dass die klassischen Onlinegaunereien mit Kreditkarten noch eine Weile weitergehen. Sie sind das bei weitem einfacherer für Betrug zu nutzen.
7. Die Lücke zwischen Sicherheitsaufgaben und geschultem Personal klafft immer weiter auseinander.
Im gleichen Rahmen, wie Technologie immer mehr in unser tägliches Leben Einzug hält und einer der Stützpfeiler für die globale Wirtschaft wird, kommt das fehlende Know-how in Sachen Cybersicherheit zum Vorschein. Diese bedenkliche Entwicklung wird sowohl von Regierungen, als auch der Industrie konstatiert. Das Besetzen der nötigen Stellen kann Jahre dauern und ist somit ein echter Sicherheitsfaktor.
8. Breite “Serviceoffensive” für Attacken und Exploit-Kits, um mobile Plattformen anzugreifen.
In den letzten Jahren hat sich ein neuer Trend bei den Cyberkriminellen durchgesetzt: das zur Verfügung stellen von Malwarepaketen, die keinerlei technisches Wissen voraussetzen und per Klick aktiviert werden können. Der rasante Anstieg bei mobilen Plattformen und der damit verbundene Austausch sensitiver Daten werden dazu führen, dass wir 2015 viele dieser Kits für Smartphone-Angriffe sehen werden. Gleiches gilt für Plattformen, die sich mit dem Internet of Things beschäftigen.
9. Die Lücke zwischen ICS/SCADA und Sicherheit in der realen Welt wächst weiter.
Systeme wie Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA) hinken in Sachen Sicherheit üblicherweise zehn oder mehr Jahre hinter dem Mainstream her. Wir gehen davon aus, dass innerhalb der nächsten Jahre einige besorgniserregende Lücken aufgedeckt werden, die von Hackern auf breiter Front ausgenutzt werden.
10. Flexiblere Rootkit- und Bot-Fähigkeiten eröffnen neue Angriffsvektoren.
Die Technologiesparte befindet sich zurzeit in einem grundlegenden Veränderungsprozess, in dessen Rahmen nun Plattformen und Protokolle abgeändert werden, die jahrelang als Standard dienten. Allein die Menge solcher Veränderungen der althergebrachten Technologiestandards wird viele alte Wunden aufreißen und neue Sicherheitslücken schaffen.

Auf welche Sicherheitsmaßnahmen sollten sich die Unternehmen heute konzentrieren?

Raj Samani: "Security-Verantwortliche müssen das große Ganze im Blick behalten, Risiken identifizieren und ihnen begegnen, um Unternehmensdaten sicher zu halten. Es gibt nicht das eine Ziel, die eine Lösung für jedes Sicherheitsproblem. Jede Bedrohung und jede Organisation ist unterschiedlich. Ein gutes Risiko Management System für Unternehmensdaten hilft der IT, die Risiken zu identifizieren. Die IT kann dann ein individuelles Sicherheitsnetzwerk erstellen."

Wie wahrscheinlich ist es, dass ein Unternehmen die negativen Auswirkungen mobiler Malware zu spüren bekommt?

Raj Samani: "Auf viele Unternehmen trifft das bereits zu. Die App BatteryBot tarnt sich beispielsweise als kostenlose Version einer legitimen App. Sobald sie heruntergeladen wurde, beginnt die Malware, das Opfer mit PopUp-Werbung zu bombardieren und verschickt kostenpflichtige SMS-Nachrichten. Sie lädt außerdem weitere boshafte Pakete herunter und nistet sich dadurch tief auf dem Gerät des Opfers ein. Die Unternehmen benötigen Ressourcen, um die infizierten Geräte zu reinigen und herauszufinden, ob und welche Daten gestohlen wurden. Viele boshafte Apps überwachen den Anwender, zeichnen seinen Standort auf, die Sprache, den verfügbaren Speicher und vieles mehr. Auf den meisten BYOD-Geräten sind geschäftskritische Daten gespeichert und werden von dort aus übermittelt. Cyber-Kriminelle, die hier Daten abgreifen, stellen ein reales Risiko dar."

"Ein grundlegendes Maß an Kontrolle"

Gibt es ein einfaches Mittel, um mobiler Malware vorzubeugen? Falls ja: Welche Maßnahmen kann die IT ergreifen, ohne mit Kanonen auf Spatzen zu schießen?

Raj Samani: "Heutzutage investieren Kriminelle beachtliche Geldsummen, um mit innovativen Angriffsmethoden traditionelle Sicherheitskontrollen zu umgehen. Bei Malware für mobile Endgeräte ist das nicht anders. Wir stehen der Herausforderung gegenüber, dass manche Bedrohungen einfacher als andere zu entdecken sind. Es ist unerlässlich, zumindest ein grundlegendes Maß an Kontrolle zu haben. Gute Antiviren-Programme, geeignete BYOD-Regeln, Verschlüsselung und Mitarbeiterschulungen zur Bedeutung mobiler Updates und die Gefahren kostenloser WLAN-Verbindungen sind wichtige Schritte, um mobile Malware im Zaum halten zu können."

Mobile Security

Ein Diebstahl von Unternehmensdaten ist für die Befragten mit Abstand das größte mobile Sicherheitsrisiko.

Fast 60 Prozent halten das Risiko, das von mobilen Apps hinsichtlich Datenschutz und Datensicherheit ausgeht, für „eher gering“ oder „gering“.

Ein Fünftel der für den Zugriff auf Unternehmensdaten eingesetzten Mobilgeräte unterliegt nicht der Kontrolle der IT-Abteilung.

Fast die Hälfte der Befragten berichtet von bereits bestehenden oder geplanten externen Zugriffsrechten auf die Infrastruktur oder bestimmte Prozesse.

Sollte die IT auch Maßnahmen ergreifen, ihrer Verbreitung im Unternehmen vorzubeugen?

Raj Samani: "IT-Teams sollten das unbedingt versuchen. Viele der besonders erfolgreichen Infektionen waren in der Vergangenheit deshalb so schmerzhaft, weil sie sich sehr schnell verbreitet haben. Erinnern Sie sich an Old-School-Viren wie Blaster? 2003 hatte Blaster bereits vier Tage nachdem er im Internet aufgetaucht war über 423.000 Systeme infiziert. Die Bedrohungslandschaft verändert sich mit der Zeit und fortgeschrittene Malware kann sich mit erstaunlicher Geschwindigkeit verbreiten. Wenn die IT ein infiziertes System isolieren kann, kann sie es säubern. Die Kapazitäten der IT-Abteilung sind normalerweise beschränkt. Alle mobilen Endgeräte reinigen zu müssen, hätte für das betroffene Unternehmen schwerwiegende Folgen."

Welche Gefahren drohen, wenn man Malware ignoriert?

Raj Samani: "Das hätte schwere Folgen für das Geschäft. Der Verlust von Daten und geistigem Eigentum kann sowohl kurzfristig als auch langfristig spürbare Folgen hinterlassen. So oder so, Angriffe gegen IP und Kundendaten können sehr viel Geld kosten. Der Hacker-Angriff gegen Ashley Madison, der kürzlich öffentlich wurde, ist ein Beispiel dafür. Nachdem die Hacker damit gedroht haben, die persönlichen Informationen von Millionen Kunden zu veröffentlichen, wird die Seite dieses Jahr wahrscheinlich nicht mehr wie geplant an die Börse gehen können. Mobile Malware ist eine echte Bedrohung. Kriminelle haben es auf die Geräte abgesehen, die wir immer bei uns tragen. Diese Gefahr kann und sollte nicht ignoriert werden."