Locky, Cryptolocker oder Teslacrypt
Ransomware abwehren - denn: Wer zahlt, wird weiter attackiert
Ein Klick auf einen ungefährlich wirkenden, aber infizierten Link oder das Öffnen eines mit Schadsoftware verseuchten Anhangs einer Email reicht, um Angreifern die Verschlüsselung aller Daten am PC und darüber hinaus im gesamten Netzwerk sowie auf eingebundenen Cloud-Diensten zu ermöglichen.
Oftmals zahlen Institutionen die von den Erpressern geforderten Beträge, um schnellstmöglich ihre Daten zurück zu bekommen, normale Betriebsabläufe wiederherzustellen und weitreichendere Finanz- oder Imageschäden abzuwenden.
Foto: Carlos Amarillo - shutterstock.com
Doch wer zahlt, kauft sich nicht dauerhaft frei. Zahlungswillige Opfer werden von Angreifern auch ein zweites und drittes Mal heimgesucht.
Man lässt es also besser gar nicht erst zu einem erfolgreichen Angriff kommen oder ist alternativ auf einen Angriffsfall so gut vorbereitet, dass man mit Sicherheit behaupten kann, Schadenspotenziale so weit eingedämmt zu haben, dass sie vernachlässigbar sind.
Entwickeln Sie eine effektive Sicherheits-Strategie
Wichtige grundsätzliche Präventionsmaßnahmen, die jeder Organisation dienen, umfassen beispielsweise schnellstmögliches Einspielen von Updates und Patches von Softwareherstellern genauso wie konsequentes Deinstallieren nicht benötigter Software.
Ein zentraler und immer aktueller Überblick des Administrators ist dazu erforderlich. Aufgrund seiner vielschichtigen Zugriffsrechte bedarf es gleichzeitig aber auch besonderer Sicherheitsvorkehrungen für seine Rolle, denn für eine weite Verbreitung von Schadsoftware in einem Netzwerk sind genau diese Rechte notwendig.
- Das hilft gegen Ransomware-Angriffe
Die kriminelle Hackerszene ist ständig auf der Suche nach neuen Wegen, Unternehmen und Privatpersonen zu schaden. Der Einsatz von Malware zu Erpressungszwecken - sogenannte Ransomware - wird unter Cyberkriminellen immer beliebter. Wir zeigen Ihnen, was Sie gegen Ransomware-Hacker tun können. In Kooperation mit Check Point Software Technologies zeigen wir Ihnen, welche Mittel Sie gegen Ransomware-Angriffe ergreifen können. - Software-Update
Viel zu oft werden bekannte Schwachstellen in gängigen Apps nicht repariert, obwohl Patches zur Verfügung stehen. - Backup
Regelmäßige Sicherung der wichtigsten Daten in einem Speichermedium, das normalerweise physisch isoliert ist. - Aktueller Endpunkt-Schutz
Es ist schon eine große Herausforderung, sich vor den neuesten und raffiniertesten Bedrohungen zu schützen; Man möchte sich aber sicher nicht der Gefahr aussetzen, von Ransomware getroffen zu werden, die schon seit Jahren bekannt ist. - Intrusion Prevention System
Nutzung einer IPS-Lösung mit aktuellen Signaturen, die in der Lage ist, die Inhalte von HTTPS-Traffic zu überwachen. Eine leistungsfähige IPS-Lösung kann die Web-Transaktionen unterbrechen, die für das Funktionieren eines Exploit-Kits erforderlich sind. - Datei- und Dokumenten-Analyse
Analyse von eingehenden Dokumenten und Programmdateien, bevor diese Zugang zum Netzwerk erhalten - Sandboxing, Verhaltensanalysen, Firewalls, selbst einfache Antivirus-Scans sind wichtig. Und was, wenn es schon zu spät ist und die Ransomware das Netzwerk befallen hat? - Sample-Extraktion
Falls möglich, sollte ein Sample, das die Rechner infiziert hat, gesichert und mit Open-Source Intelligence Pools, wie VirusTotal, verglichen werden. Es gilt dabei herauszufinden, ob es sich um eine bekannte Bedrohung handelt. Man muss möglichst viel über die Vorgehensweise, das Verschlüsselungsschema und das Finanzmodell der Malware in Erfahrung bringen. - Netzwerkprotokolle wiederherstellen
Die Kommunikation der Malware aus allen Netzwerkprotokollen, die überlebt haben könnten, sollte man wiederherstellen, soweit dies möglich ist. Dort könnte irgendwo der Schlüssel stecken. - Verschlüsselungsanalyse
Analyse der verschlüsselten Dateien, um erkennen zu können, ob schwache oder starke Verschlüsselung verwendet wurde. Wurde eine schwache Verschlüsselung verwendet, ist es vielleicht möglich, sie zu knacken und die Dateien wiederherzustellen.
Die sehr eingeschränkte Vergabe von Administratorenrechten, die Verwendung sehr starker Passwörter zum Log-in für Administratoren, die Verwendung von 2-Faktor-Authentifizierung bei externen VPN-Zugängen, die besondere Sicherung und der auf das Notwendigste eingeschränkte Einsatz der Administratoren-Accounts sowie die gleichzeitige, möglichst weitgehende Rechteeinschränkung anderer Nutzer können das Schadensausmaß im Angriffsfall erheblich mindern.
Gleiches gilt für Backups mit durchdachter Strategie und Offline-Backups sowie das regelmäßige Testen von Wiederherstellungsroutinen.
Auch auf der Ebene der einzelnen Nutzer gibt es - neben der laufenden Förderung von Awareness bei allen Mitarbeitern - weitere präventive Maßnahmemöglichkeiten:
Die Ausführung aktiver Inhalte in Web-Browsern kann eingeschränkt und nicht zwingend benötigte Browser-Plug-ins sollten entfernt werden. Auf die Ausführung von Skripten im Betriebssystem kann unter Umständen gänzlich verzichtet werden Das verhindert beispielsweise versehentliches Ausführen eines schadhaften Anhangs in Emails. Für Serverlandschaften gilt es, das Blockieren von Dateien wie ausführbaren Anhängen, verschlüsselten Archiven sowie MS-Office-Dokument-Makros einzurichten.
Darüber hinaus ist der generelle Einsatz von - immer aktuell gehaltenen - Antivirenprogrammen weiterhin nötig. Jedoch sollte man sich bewusst sein, dass diese Programme einerseits neueste Schadsoftware in vielen Fällen nicht identifizieren oder andererseits durch ihre ständige Anpassungsnotwendigkeit an die jeweilige Umgebung in vielerlei Hinsicht falsch konfiguriert sein können und damit ihre Schutzaufgabe verfehlen.
Wenn auch zahlreiche Präventionsmaßnahmen getroffen werden und IT-Security-Teams versuchen, ständig „am Ball zu bleiben“, bleibt bei größeren Organisationen – ab ca. 200 Mitarbeitern als Richtwert - weiterhin ein erhebliches Unsicherheitspotenzial.
Die Unübersichtlichkeit der IT-Landschaft und die kaum im notwendigen Umfang sicherbare Awareness bei allen Mitarbeitern erfordern umfassendere, durch starke Automatisierung unterstützte und vor allem der aktuellen Gefahrenlage laufend angepasste Sicherheitsmaßnahmen.