Morse-Code und Double Extortion: Aktuelle Landschaft fortgeschrittener Malware-Bedrohungen

Ransomware ist in Unternehmensnetzwerken kein Fremder, da sie enorme Risiken und noch größere, kostspielige Wiederherstellungsbemühungen birgt. Erfolgreiche Ransomware-Angriffe können zu gesperrten Systemen, gestohlenen Identitäten und als Geisel genommenen Daten führen – all das kann Chaos und Katastrophe für die betroffenen Organisationen bedeuten. Wenn Ransomware ihr Ziel erreicht, ist es praktisch Game Over. Die Malware verschlüsselt Dateien und breitet sich auf das gesamte System aus, um maximalen Schaden anzurichten, was viele Unternehmen zwingt, Netzwerke abzuschalten, um die Ausbreitung zu stoppen.

Während Verschlüsselung überall eingesetzt wird, darf sie nicht mit Hashing oder Obfuskation von Dateien verwechselt werden. Hashing- und Obfuskationstechniken helfen, Erkennungstools zu umgehen, während Ransomware Ihre Daten wegen Verschlüsselung als Geisel nimmt.

Jede nutzt unterschiedliche Arten von Kryptografie, von modernen symmetrischen Chiffren bis zu asymmetrischen Chiffren – die Idee ist, jede Reverse-Operation ohne Schlüssel zu verhindern.

Viele Ransomware-Stämme zeigen nach der Verschlüsselung eine „besondere Notiz“, die verlangt, dass der einzige Weg zur Entschlüsselung der Dateien darin besteht, Bitcoins an die Wallet der Kriminellen zu senden. Wie wir jedoch wissen, sind einige Formen von Ransomware entschlüsselbar, und das Lösegeld muss nicht gezahlt werden, oder die Last sollte nicht allein auf der Cyber-Versicherung liegen. Beispielsweise enthält Jigsaw, eine alte Malware-Form, erstmals 2016 geprägt, den zum Verschlüsseln verwendeten Schlüssel im Quellcode. Wir haben kürzlich gesehen, dass diese Art von Angriff in diesem Jahr wieder im Morse-Code auftauchte, was beweist, dass Kriminelle, selbst wenn Malware sich weiterentwickelt, alles nutzen, was funktioniert – was bedeutet, dass Unternehmen sich nicht nur gegen sich entwickelnde Bedrohungen, sondern auch gegen alte Angriffsweisen wappnen müssen.

Jüngste Angriffe verschlüsseln nicht nur Daten. Die Malware ist auch in der Lage, kritische Informationen vor der Verschlüsselung zu exfiltrieren. Da sich Ransomware-Schutz verbessert, besonders bei Entfernungs- und Wiederherstellungsstrategien, wenden sich Hacker gestohlenen Daten als neuem Hebel zu, um Opfer weiter zu bedrohen, falls sie das Lösegeld nicht zahlen – was eine doppelte Ransomware-Bedrohung schafft.

Wir haben kürzlich beobachtet, dass Bedrohungsakteure ein „Double Extortion“-Modell übernehmen, bei dem sie die Daten des Ziels verschlüsseln und nicht nur Lösegeld für deren Rückgabe fordern, sondern auch zusätzliche Zahlungsanreize nutzen, um Druck auf das Opfer auszuüben, das Lösegeld zu zahlen. Einige Bedrohungsakteure gehen sogar einen gezielteren Ansatz und drohen, die Daten öffentlich freizugeben oder zu versteigern, es sei denn, das Opfer zahlt – eine Situation, die das Risiko der Nichteinhaltung der EU-Datenschutz-Grundverordnung (DSGVO) und hunderter Datenschutzrichtlinien und -gesetze verdeutlicht. Zwei solche Beispiele sind Conti und REvil, beide auf unserer 2021 Nastiest Malware Liste, die dafür bekannt sind, geleakte Daten auf Dark-Web-Seiten zu veröffentlichen, wenn Lösegeld nicht gezahlt wird.

Ein kritischer Weg zur Verbesserung der Cyber-Resilienz – der Fähigkeit, Angriffe standzuhalten und fortgesetzten Datenzugriff zu gewährleisten – ist eine solide Backup-Strategie. Bemühungen können jedoch vergeblich werden, wenn Organisationen vergessen, ihre Anforderungen klar aufzulisten und zu identifizieren, und dann ihre Verfahren nicht regelmäßig testen, um massive Ausfälle im schlimmsten Moment zu verhindern.

Datenschutz dreht sich alles um Risikominderung, und Sie müssen sich einige Schlüsselfragen stellen, um den umfassendsten Plan zu haben:

• Wie hängen Ihre Daten mit Ihren Geschäftsabläufen oder Ihrem Umsatz zusammen, und müssen die Daten archiviert werden?
• Befinden sich die Daten in einem Legacy-System, wo sie regulatorischen Rahmenbedingungen unterliegen könnten, die Ihr Unternehmen bei einem Datenleck Strafen aussetzen?
• Was sind die Daten, ohne die Ihr Geschäft nicht funktionieren kann?
• Wie lange könnte es dauern, diese Daten wiederherzustellen?
• Was könnte eine vollständige Wiederherstellung kosten?

Cyberkriminelle werden ihre Ansätze weiter verfeinern und mit verschiedenen Geschäftsmodellen experimentieren, da evolutionäre Ransomware-Angriffe enormen Stress auf die Verfügbarkeit von Diensten und Datenströmen ausüben.

Während diese Adversaries zweifellos weiterhin nach zusätzlichen Wegen suchen werden, um Druck auf Opfer auszuüben und ihre Chancen auf Bezahlung zu maximieren, können Sie gestärkt werden, das zu bewahren, was Ihnen heute am wertvollsten ist, indem Sie starke Cyber-Resilienz-Praktiken einsetzen – jetzt und in der Zukunft.

David Dufour ist Vice President of Cybersecurity and Threat Intelligence Engineering bei Webroot und Carbonite, OpenText-Unternehmen.