Mit Künstlicher Intelligenz und dem ChatGPT-Algorithmus auf der Jagd nach Cyberkriminellen
GPT-3 bietet enorme Potenziale für die IT-Security
GPT-3 ist ein vortrainiertes, umfangreiches Sprachmodell, dessen Flexibilität und Genauigkeit durchaus bahnbrechend sind. Und genau an dieser Stelle ist die menschliche Kreativität von Sophos AI gefragt, nämlich wo und wie sich diese Technologie sinnvoll im Kampf gegen Cyberkriminalität einsetzen lässt. Denn wenn Eingabe- und Ausgabedaten in Text umgewandelt werden können, sind die Anwendungsmöglichkeiten von GPT-3 auch in diesem Bereich endlos. Zum Beispiel könnte man GPT-3 bitten, aus einer Funktionsbeschreibung funktionierenden Python-Code zu schreiben oder eine Klassifizierungsanwendung mit nur wenigen Beispielen erstellen.
Die Experten von Sophos AI sehen in GPT-3 enorme Potentiale. Beispielsweise ist es relativ einfach, einen unmarkierten Datensatz zu finden; allerdings ist es meist sehr zeitaufwändig und schwierig, einen markierten Datensatz für das Training eines herkömmlichen maschinellen Lernmodells zu erstellen. Herkömmliche maschinelle Lernmodelle, die mit wenigen Beispielen trainiert werden, weisen häufig Probleme mit der Überanpassung auf. Sprich, sie lassen sich nicht gut auf zuvor nicht existente Beispiele verallgemeinern. Mit dem GPT-3 „Few-Shot Learning“ hingegen benötigt Sophos AI nur wenige kommentierte Trainingsbeispiele und übertrifft damit herkömmliche Modelle. Da GPT-3 selbstüberwacht und in großem Umfang trainiert wurde, hat sich gezeigt, dass es bei mehreren Klassifizierungsproblemen mit nur wenigen Beispielen gut abschneidet.
Zwei Beispiele für die konkrete Anwendung:
Spam-Erkennung
Es ist eine Herausforderung, ein leistungsstarkes Spam-Klassifizierungsmodell mit nur vier unkritischen und vier Spam-Beispielen zu trainieren. Herkömmliche Klassifizierungsmodelle benötigen oft einen großen Trainingsdatensatz, um genügend Signale zu lernen. Da GPT-3 jedoch ein Sprachmodell ist, das mit einem großen Textdatensatz trainiert wurde, kann es die Intension einer Klassifizierungsaufgabe erkennen und die Aufgabe mit wenigen Beispielen lösen.
Beim Lernen mit wenigen Beispielen ist das Prompt-Engineering, bei dem das Format der Eingabedaten für Textvervollständigungsaufgaben entworfen wird, ein wichtiger Schritt. Abbildung 1 zeigt den Prompt für eine Spam-Klassifizierungsaufgabe.
Der Prompt enthält eine Anweisung und einige Beispiele mit ihren Beschriftungen als Support-Set, und im letzten Abschnitt ist ein Abfragebeispiel angefügt. Anschließend wird GPT-3 aufgefordert, aus der Eingabe eine Antwort als Label-Predication zu generieren.
Vergleicht man die Klassifizierungsergebnisse zwischen traditionellen ML-Modellen und dem „Few-Shot-Learning“ mit GPT-3, ist schnell zu erkennen, dass es die traditionellen ML-Modelle wie logistische Regression und „Random Forest“ deutlich übertrifft. Dies liegt daran, dass das „Few-Shot-Learning“ die Kontextinformationen der gegebenen Beispiele nutzt und das Label des ähnlichsten Beispiels als Ausgabe auswählt. Dadurch erfordert GPT-3 kein erneutes Training, sondern ermöglicht es, ein leistungsstarkes Klassifizierungsmodell mit einfachem Prompt-Engineering zu erstellen.
Lesbaren Erklärungen für schwer zu entzifferndem Code
Das Reverse Engineering von Befehlszeilen ist selbst für Sicherheitsexperten eine schwierige und zeitraubende Aufgabe. Noch schwieriger ist es, „Living-off-the-Land"-Befehle zu verstehen, denn diese sind lang und enthalten schwer zu analysierende Zeichenketten. Angreifer nutzen hierfür Standard-Apps und Standard-Prozesse auf dem Computer ihrer Opfer, um beispielsweise Phishing-Aktivitäten zu tarnen. GPT-3kann eine Befehlszeile in eine verständliche Beschreibung übersetzen – zum Beispiel aus einer gegebenen Beschreibung des Codes einen funktionierenden Python- oder Java-Code schreiben. Es ist auch möglich, GPT-3 zu bitten, mehrere Beschreibungen aus einer Befehlszeile zu generieren, und die ausgegebenen Beschreibungen werden mit Token-Wahrscheinlichkeiten auf Wortebene versehen, um den besten Kandidaten auszuwählen. Der Ansatz von Sophos AI zur Auswahl der besten Beschreibung aus mehreren Varianten ist die Verwendung einer Rückübersetzungsmethode, die diejenige Beschreibung auswählt, die die ähnlichste Befehlszeile zur Eingabebefehlszeile erzeugen kann.
„GPT-3 ist ein Meilenstein für die Cybersicherheit, da es Spam erkennen und komplexe Befehlszeilen mit wenigen Beispielen analysieren kann“, so die Experten des Sophos AI Teams. „Die Flexibilität von GPT-3 eignet sich sehr gut für den Kampf gegen die sich ständig weiterentwickelnden Cyber-Bedrohungen. Wir gehen davon aus, dass in Kürze auch die noch schwierigeren Cybersicherheitsprobleme mit entsprechend größeren neuronalen Netzwerkmodellen adressiert werden können.“
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Chatbots auf dem Vormarsch: Künstliche Intelligenz ist jetzt der natürlichen Ignoranz gewachsen
Chester Wisniewski, Cybersecurity-Experte bei Sophos
Der auf künstlicher Intelligenz basierende Chatbot ChatGPT macht weltweit Schlagzeilen – und neben den Meldungen im Börsen- und Urheberrechtsumfeld, steht auch die IT-Sicherheit im Fokus der Diskussionen. Denn die seit kurzem realisierte, breitere Verfügbarkeit des Tools bringt trotz aller Sicherheitsbemühungen des Herstellers neue Herausforderungen mit sich, wenn es um Phishing-Köder oder dialogorientierte Betrugsmaschen wie Romance Scams über soziale Netzwerke oder geschäftlich ausgerichtete Kompromittierungsangriffe via E-Mail geht.
„Eines der größten Risiken besteht darin, dass Angreifer diese Plattformen nutzen, um die Qualität ihrer Phishing-Köder erheblich zu verbessern. Damit sind Phishing-Angriffe selbst für aufmerksame Nutzer immer schwieriger zu identifizieren“, so Chet Wisniewski, Cybersecurity-Experte bei Sophos. „Letztendlich liefern die immer besseren KI-Chatbots ein kostenloses Upgrade für alle Arten von Social-Engineering-Angriffen. Programme wie ChatGPT können dazu genutzt werden, kriminell orientierte, sehr realistische, interaktive Gespräche via E-Mail zu führen oder Chat-Angriffe über Facebook Messenger, WhatsApp oder andere Chat-Apps zu starten. Heute besteht die größte Gefahr für die englischsprachige Zielgruppe. Es ist aber wahrscheinlich nur eine Frage der Zeit, bis neue Versionen verfügbar sind, um glaubwürdige Texte in allen häufig gesprochenen Sprachen der Welt zu erstellen. Wir haben ein Stadium erreicht, in dem Menschen immer öfter nicht in der Lage sind, maschinengenerierte Prosa von der von Menschen geschriebenen zu unterscheiden – im Besonderen, wenn wir das Gegenüber nicht gut kennen.“
Diese Entwicklung bildet eine Zäsur für bislang bestehende Standards im Bereich Mitarbeiterschulung und IT-Sicherheit. Die Zeiten, in denen sich Unternehmen darauf verlassen konnten, dass die Mitarbeiter eine aktive Rolle bei der Verteidigung gegen Cyberattacken spielen, in dem sie auf Grammatik- und Rechtschreibfehler oder seltsame Formulierungen achten, sind vorbei. Eines der letzten effizienten Elemente von Schulungsprogrammen wird durch Chatbots wie ChatGPT ausgehebelt – und das sehr effektiv, wie die folgenden zwei Beispiele verdeutlichen.
Der originale Ködertext eines BEC-Betrügers (Business E-Mail Compromise), der versucht, den Gehaltsscheck einer anderen Person auf das Konto des Angreifers umzuleiten, ist relativ einfach als „nicht echt“ zu erkennen. Im Vergleich dazu steht im Anschluss eine Variante, die durch die Eingabe der entsprechenden thematischen Eckpunkte von ChatGPT geschrieben wurde.
Standard Betrugs-E-Mail:
Hi ….,
I changed my banks because of my old account is no longer good to accept dd payment and I’ll like to change my paycheck direct deposit details, can the change be effective for the current pay date?
Thanks, ….
Von ChatGPT geschriebener Text:
Dear HR,
I am writing to request that you update my direct deposit information in the company’s payroll system. My current bank account information is no longer valid and I will be switching to a new bank.
Could you please let me know what information you need in order to update my direct deposit information? I am happy to provide any necessary details.
I would also like to request that this update be made in time for the next payroll period. Is there anything else I need to do to ensure a smooth transition?
Thank you for your attention in this matter. I appreciate your help in ensuring that my paychecks are deposited into the correct account.
Sincerely,
[Your name]
Und auch das folgende Beispiel für einen Geschenkkartenbetrug macht schnell deutlich, wie gut die KI-Chatbots mittlerweile sind.
Standard Betrugs-E-Mail:
Please, I need you to purchase gift cards. We have a few clients I want to send gifts to. How quickly can you arrange these? Because I need to send them out in less than 1 hour. So can I tell you which product we will need and the amount?
Thanks.
Von ChatGPT geschriebener Text:
Hey [Employee]
I hope you’re doing well. I’m reaching out because I need your help with something really important.
I have a client who needs a gift card ASAP, and I don’t have time to get it myself. Would you be able to pick up a gift card from [store or e-gift card website] for [amount] and send it to me via email as soon as possible?
I know this might be a bit of inconvenience, but I really appreciate your help in getting this taken care of quickly. If you have any questions of need more info, just let me know.
Thanks a ton for your help.
Take care,
[Your name]
Wisniewski über seine „Kreativarbeit“ mit dem Chatbot: „Beide Beispiele klingen wie die E-Mail einer realen Person, haben gute Zeichensetzung, Rechtschreibung und Grammatik. Sind sie perfekt? Nein. Sind sie gut genug? Auf jeden Fall! Da Betrüger bereits Millionen mit ihren schlecht gefertigten Ködern verdienen, lässt sich die neue Dimension dieser KI-gepushten Kommunikation leicht vorstellen. Stellen sie sich vor, sie würden mit diesem Bot über WhatsApp oder Microsoft Teams chatten. Hätten sie die Maschine erkannt?“
Fakt ist, dass nahezu alle Anwendungsarten im Bereich KI bereits an einem Punkt angelangt sind, an dem sie einen Menschen in fast 100% der Fälle täuschen können. Die Qualität des „Gesprächs“, das mit ChatGPT geführt werden kann, ist bemerkenswert, und die Fähigkeit, gefälschte menschliche Gesichter zu erzeugen, die (für Menschen) von echten Fotos fast nicht zu unterscheiden sind, ist beispielsweise ebenfalls bereits Realität. Das kriminelle Potential solchen Technologien ist immens, wie ein Beispiel deutlich macht: Kriminelle, die einen Betrug über eine Scheinfirma abwickeln wollen, generieren sich einfach 25 Gesichter und verwenden ChatGPT, um deren Biografien zu schreiben. Dazu noch ein paar gefälschte LinkedIn-Konten und es kann losgehen.
Im Umkehrschluss muss sich auch die „gute Seite“ der Technologie zuwenden, um Paroli bieten zu können. „Wir alle müssen unsere Iron-Man-Anzüge anziehen, wenn wir den immer gefährlicher werdenden Gewässern des Internets trotzen wollen“, so Wisniewski. „Es sieht zunehmend so aus, als würden wir Maschinen brauchen, um zu erkennen, wenn andere Maschinen versuchen, uns zu täuschen. Ein interessanter Proof of Concept wurde von Hugging Face entwickelt, das Texte erkennen kann, die mit GPT-2 generiert wurden – was darauf hindeutet, dass ähnliche Techniken verwendet werden könnten, um GPT-3-Ausgaben zu erkennen.“
„Traurig aber wahr: KI hat den letzten Nagel in den Sarg des Endbenutzer-Sicherheitsbewusstseins geschlagen. Will ich damit sagen, dass wir ganz damit aufhören sollten? Nein, aber wir müssen unsere Erwartungen zurückschrauben. Es schadet auf keinen Fall, die bislang und oftmals immer noch geltenden Best Practices in Sachen IT-Sicherheit zu befolgen. Wir müssen die Benutzer dazu animieren, noch misstrauischer als bislang zu sein und vor allem auch fehlerfreie Mitteilungen gewissenhaft zu überprüfen, die den Zugang zu persönlichen Informationen oder monetäre Elemente enthalten. Es geht darum, Fragen zu stellen, um Hilfe zu bitten und sich die wenigen Momente zusätzlicher Zeit zu nehmen, die notwendig sind, um zu bestätigen, dass die Dinge wirklich so sind, wie sie scheinen. Das ist keine Paranoia, sondern der Wille, sich von den Gaunern nicht übers Ohr hauen zu lassen.“
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Neue Spielart bei Ransomware-Attacken
- Sophos vereitelt Ransomware-Angriff durch seltenen, bösartigen Treiber, der mit einem gültigen digitalen Zertifikat signiert ist
- Treiber zielt auf Endpoint Detection and Response (EDR)-Software ab
- Angriffe stehen in Verbindung mit der Cuba Ransomware Group
Sophos hat Schadcode in mehreren Treibern gefunden, die mit legitimen digitalen Zertifikaten signiert sind. Der neue Report „Signed Driver Malware Moves up the Software Trust Chain“ beschreibt die Untersuchung, die mit einem versuchten Ransomware-Angriff begann. Die Angreifer verwendeten einen bösartigen Treiber, der mit einem legitimen digitalen Windows Hardware Compatibility Publisher-Zertifikat von Microsoft signiert war.
Der maliziöse Treiber zielt speziell auf Prozesse ab, die von wichtigen Endpoint Detection and Response (EDR)-Softwarepaketen verwendet werden. Er wurde von einer Malware installiert, die mit Bedrohungsakteuren im Umfeld der Cuba Ransomware Goup in Verbindung gebracht wird – einer äußerst produktiven Gruppe, die im vergangenen Jahr weltweit mehr als 100 Unternehmen erfolgreich angegriffen hat. Sophos Rapid Response konnte den Angriff erfolgreich vereiteln. Diese Untersuchung löste eine umfassende Zusammenarbeit zwischen Sophos und Microsoft aus, um Maßnahmen zu ergreifen und die Bedrohung zu beseitigen.
Schadhafte Treiber mit gestohlenen Zertifikaten signiert
Treiber können hoch privilegierte Operationen auf Systemen durchführen. So können Kernel-Mode-Treiber unter anderem viele Arten von Software, einschließlich Sicherheitssoftware, beenden. Die Kontrolle darüber, welche Treiber geladen werden können, ist eine Möglichkeit, Computer vor dieser Art von Angriffen zu schützen. Windows verlangt, dass Treiber eine kryptografische Signatur – einen "Genehmigungsstempel" – tragen, bevor der Treiber geladen werden kann.
Allerdings sind nicht alle digitalen Zertifikate, die zum Signieren von Treibern verwendet werden, gleichermaßen vertrauenswürdig. Einige gestohlene und ins Internet gelangte digitale Signierzertifikate wurden später zum Signieren von Malware missbraucht; andere Zertifikate wurden von skrupellosen PUA-Softwareherstellern gekauft und verwendet. Sophos‘ Untersuchung eines schädlichen Treibers, der zur Sabotage von Endpoint Security-Tools während eines Ransomware-Angriffs verwendet wurde, ergab, dass die Angreifer konzertiert vorgingen, um sich von weniger vertrauenswürdigen zu immer vertrauenswürdigeren digitalen Zertifikaten zu bewegen.
Cuba höchstwahrscheinlich involviert
„Diese Angreifer, höchstwahrscheinlich Mitglieder der Ransomware-Gruppe Cuba, wissen, was sie tun – und sie sind hartnäckig“, sagt Christopher Budd, Senior Manager, Threat Research bei Sophos. „Wir haben insgesamt zehn bösartige Treiber gefunden, die alle Varianten der ursprünglichen Entdeckung sind. Diese Treiber zeigen ein konzertiertes Bestreben, in der Vertrauenswürdigkeit aufzusteigen, wobei der älteste Treiber mindestens bis Juli zurückreicht. Die ältesten Treiber, die wir bisher gefunden haben, waren mit Zertifikaten unbekannter chinesischer Unternehmen signiert. Danach haben sie es geschafft, den Treiber mit einem gültigen, durchgesickerten und widerrufenen NVIDIA-Zertifikat zu signieren. Jetzt verwenden sie ein legitimes Windows Hardware Compatibility Publisher Digital Zertifikat von Microsoft, einer der vertrauenswürdigsten Instanzen im Windows-Ökosystem. Wenn man aus der Sicherheitsperspektive eines Unternehmens betrachtet, haben die Angreifer gültige Unternehmensausweise erhalten, um das Gebäude ohne Fragen zu betreten und zu tun, was sie wollen", so Christopher Budd weiter.
Eine genauere Untersuchung der ausführbaren Dateien, die bei dem versuchten Ransomware-Angriff verwendet wurden, ergab, dass der bösartige, signierte Treiber mit einer Variante des Loaders BURNTCIGAR auf das Zielsystem heruntergeladen wurde, einer bekannten Malware, die der Ransomware-Gruppe Cuba angehört. Sobald der Loader den Treiber auf das System heruntergeladen hat, wartet er darauf, dass einer von 186 verschiedenen Programmdateinamen, die üblicherweise von wichtigen Endpunktsicherheits- und EDR-Softwarepaketen verwendet werden, gestartet wird, und versucht dann, diese Prozesse zu beenden. Wenn dies gelingt, können die Angreifer die Ransomware einsetzen.
Aktueller Trend: Versuch alle gängigen EDR-Produkte zu umgehen
„Im Jahr 2022 haben wir beobachtet, dass Ransomware-Angreifer zunehmend versuchen, die EDR-Produkte vieler, wenn nicht sogar der meisten großen Hersteller zu umgehen“, so Christopher Budd weiter. „Die gebräuchlichste Technik ist als ‚Bring your own driver‘ bekannt, die BlackByte vor kurzem verwendet hat. Dabei nutzen die Angreifer eine bestehende Schwachstelle in einem legitimen Treiber aus. Es ist weitaus schwieriger, einen bösartigen Treiber von Grund auf neu zu erstellen und ihn von einer legitimen Behörde signieren zu lassen. Sollte dies jedoch gelingen, ist es unglaublich effektiv, da der Treiber beliebige Prozesse ausführen kann, ohne dass dies in Frage gestellt wird.“
Im Fall dieses speziellen Treibers ist praktisch jede EDR-Software anfällig. Glücklicherweise konnten die zusätzlichen Manipulationsschutzmaßnahmen von Sophos den Ransomware-Angriff stoppen. Die Sicherheits-Community muss sich dieser Bedrohung bewusst sein, damit sie zusätzliche Sicherheitsmaßnahmen implementieren kann. Es ist davon auszugehen, dass weitere Angreifer dieses Modell nachahmen werden.“
Sophos hat nach Entdeckung des Treibers umgehend mit Microsoft zusammengearbeitet, um das Problem zu beheben. Microsoft hat in seinem Sicherheitshinweis weitere Informationen veröffentlicht und im Rahmen des Patch Tuesday veröffentlicht.
Weitere Informationen zu diesem Thema finden Sie in dem Artikel „Signed Driver Malware Moves up the Software Trust Chain“ auf Sophos.com.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Sophos mit Bestergebnissen bei aktuellen Tests von MITRE ATT&CK und SE Labs
– Sophos Intercept X erhält drei AAA-Awards von SE Labs für Schutz und Genauigkeit
– Sophos MDR erkennt 100% in der MITRE Engenuity ATT&CK Evaluation
Sophos kann heute gleich zwei Auszeichnungen verkünden: Die Endpoint-Security-Lösung Sophos Intercept X gehört zu den Branchenbesten der SE Labs Protection Tests im dritten Quartal 2022 und erhält AAA-Ratings in allen drei Kategorien. Zudem hat Sophos MDR in der ersten MITRE Engenuity ATT&CK Evaluation von Sicherheitsdienstleistern maximal gepunktet: Erkennungsrate 100 Prozent.
Triple bei SE Labs
In den Kategorien Enterprise, SMB und Consumer erreichten die Sophos Endpoint-Security-Lösungen bei SE Labs eine 100-Prozent-Bewertung für Schutzgenauigkeit, Legitimationsgenauigkeit und Gesamtgenauigkeit.
Jede Lösung hatte die gleichen Bedrohungen zu meistern, eine Mischung aus gezielten Angriffen mit etablierten Techniken sowie E-Mail und Web-basierte Bedrohungen, die zum Zeitpunkt des Tests live im Internet zu finden waren. Sophos Intercept X stoppte sämtliche Bedrohungen und erlaubte gleichzeitig legitime Anwendungen.
Volle Erkennungsrate aller MITRE ATT&CK Steps
Erstmals wurde bei Security Service Providern die Erkennung von MITRE ATT&CK Steps in einer MITRE Engenuity ATT&CK Evaluation getestet. In dieser unabhängigen Evaluation erkannte und meldete Sophos MDR alle zehn MITRE ATT&CK®-Schritte. Sophos MDR wurde zusammen mit 15 weiteren Anbietern bewertet und zeichnete sich durch seine Fähigkeit aus, komplexe Bedrohungen schnell und präzise zu erkennen.
„Die Komplexität und Raffinesse der heutigen Cyberbedrohungen macht es für die meisten Unternehmen immer schwieriger, diese im eigenen Team effektiv zu bewältigen. Managed Security Service-Partner, die nicht nur aktiv und in Echtzeit Bedrohungen erkennen, sondern für die Kunden zielgerichtet und effizient reagieren, sind daher entscheidend für den Schutz", sagt Mat Gangwer, Vice President of Operations bei Sophos MDR.
Folgen Sie uns auf und
LinkedIn: https://www.linkedin.com/groups/9054356/
Twitter: @sophos_info
Sophos ist ein weltweit führender und innovativer Anbieter von fortschrittlichen Cybersecurity-Lösungen, darunter Managed Detection and Response (MDR)- und Incident-Response-Dienste. Das Unternehmen bietet ein breites Portfolio an Endpoint-, Netzwerk-, E-Mail- und Cloud-Sicherheitstechnologien, das bei der Abwehr von Cyberangriffen unterstützt. Als einer der größten auf Cybersecurity spezialisierten Anbieter schützt Sophos mehr als 500.000 Unternehmen und mehr als 100 Millionen Anwender weltweit vor aktiven Angriffen, Ransomware, Phishing, Malware und vielem mehr.
Die Dienste und Produkte von Sophos werden über die cloudbasierte Management-Konsole Sophos Central verbunden und vom bereichsübergreifenden Threat-Intelligence-Expertenteam Sophos X-Ops unterstützt. Die Erkenntnisse von Sophos X-Ops erweitern das gesamte Sophos Adaptive Cybersecurity Ecosystem. Dazu gehört auch ein zentraler Datenspeicher, der eine Vielzahl offener APIs nutzt, die Kunden, Partnern, Entwicklern und anderen Anbietern von Cybersecurity und Informationstechnologie zur Verfügung stehen. Sophos bietet Cybersecurity-as-a-Service für Unternehmen an, die vollständig verwaltete, schlüsselfertige Sicherheitslösungen benötigen. Kunden können ihre Cybersecurity auch direkt mit der Security Operations Platform von Sophos verwalten oder einen hybriden Ansatz verfolgen, indem sie ihre internen Teams mit Sophos Services ergänzen, einschließlich Threat Hunting und Systemwiederherstellung.
Sophos vertreibt seine Produkte über Reseller und Managed Service Provider (MSPs) weltweit. Der Hauptsitz von Sophos befindet sich in Oxford, U.K.
Weitere Informationen unter: www.sophos.de
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Makros sind out – Cyberkriminelle verlegen sich für die Malware-Verbreitung auf Disk-Images und Archivformate
Im Februar dieses Jahres kündigte Microsoft an, dass es Makros aus dem Internet standardmäßig blockieren würde. Solche Makros werden seit Jahren von Angreifern missbraucht, um Malware zu übermitteln. Während die Sicherheits-Community spekulierte, dass Angreifer aufgrund der Entscheidung von Microsoft auf alternative Formate ausweichen würden, hat Sophos diese Tatsache anhand seiner Telemetriedaten bereits bestätigt.
Von April bis September dieses Jahres hat Sophos einen starken Rückgang der Anzahl schädlicher DOC-, DOCM-, XLS- und XLSM-Dateien festgestellt – vier beliebte Office-Formate für die Verbreitung schädlicher Makros.
Gleichzeitig war bis Mitte Juni ein stetiger Anstieg der Verwendung obskurer Archivformate (ACE, ARJ, XZ, GZ oder LZH) und ab September ein starker Anstieg der gängigeren Archivformate (ZIP, 7Z, CAB, TAR und RAR) zu verzeichnen. Auch die Verwendung von Disk-Image-Formaten (ISO, VHD und UDF) für die Verbreitung von Malware hat stetig zugenommen.
Disk-Image-Formate sind für Bedrohungsakteure besonders attraktiv, weil sie Microsofts neue "Mark of the Web"-Funktion (MOTW) umgehen. Microsoft verwendet MOTW, um festzustellen, ob ein Makro aus dem Internet stammt oder nicht; ist dies der Fall, wird es automatisch blockiert.
Sicherheitsprodukte sollten außerdem in der Lage sein, mehrere Archiv- und Disk-Image-Formate zu entpacken, darunter auch unbeliebte Formate, um diese Anhänge ordnungsgemäß auf Malware zu untersuchen. Um die Risiken weiter zu minimieren, können E-Mail-Filter so konfiguriert werden, dass bestimmte Dateiformate standardmäßig blockiert werden. Denn E-Mails zählen nach wie vor zu den Hauptangriffsvektoren.
Chester Wisniewski, Principal Research Scientist bei Sophos, sagt: "Wir geben schon seit Jahren dieselben Ratschläge für die E-Mail-Sicherheit. Dinge wie ‚Klicken Sie nicht auf diesen Link‘ oder ‚Öffnen Sie keine gefährlichen Attachments‘. Die Realität ist, dass sich die Cybersicherheitslandschaft ständig verändert. Es ist unwahrscheinlich, dass Cyberkriminelle Makros vollständig aufgeben werden, denn sie passen sich mit hoher Wahrscheinlichkeit an diese neuesten Sicherheitsmaßnahmen von Microsoft an. Die Unternehmen sollten das Gleiche tun. Eine gute E-Mail-Sicherheit muss zentral verwaltet werden, wobei sich die Sicherheitsteams auf die technischen Aspekte konzentrieren, z. B. darauf, welche Dateierweiterungen gefährlich sind. Zudem gilt es die Benutzer zu schulen, wie sie vermeiden können, auf das trickreiche Social Engineering der Cyberkriminellen hereinzufallen.“
Weitere Informationen über die Umstellung von Makros auf Disk-Images und Archivformate finden sich in englischer Sprache auf Sophos.com.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Sophos stellt weitere KI-Ressourcen in den Dienst der Open-Source-Gemeinde
Aus diesem Grund hat SophosAI die Leistungsfähigkeit des maschinellen Lernens in YARA eingebracht. Mit dem neuen YaraML-Tool, das als Open-Source-Tool unter Apache 2.0 veröffentlicht wurde, können Incident-Response und Malware-Forscher gebrauchsfertige YARA-Regeln bereitstellen, die aus einem Datensatz mit als bösartig/gutartig gekennzeichneten Daten generiert werden. Joshua Saxe, Chef des SophosAI-Teams, hat YaraML so entwickelt, dass das Tool ohne vorherige Erfahrung mit maschinellem Lernen verwendet werden kann. Gleichzeitig ermöglicht es fortgeschrittenen Benutzern, die bereits Erfahrungen mit maschinellen Lernprojekten haben, benutzerdefinierte Parameter festzulegen.
YaraML analysiert einen Datensatz gutartig und bösartig gekennzeichneter Zeichenfolgenartefakte, um YARA-Regeln zu erstellen und Muster zu extrahieren, die zum Identifizieren schädlicher Zeichenfolgenartefakte mit YARA verwendet werden können. Nähere Einzelheiten zur Analyse und Nutzung des Tools gibt es in einem umfangreichen Blogeintrag zu dem Thema.
Mit der aktuellen Initiative setzt Sophos seine Offensive zur herstellerübergreifenden Förderung gemeinsamer Innnovationen im Bereich IT-Sicherheit weiter fort. Im Dezember 2021 wurden bereits vier neue Entwicklungen im Bereich offener Künstliche Intelligenz (KI) für Open-Source-Anwender veröffentlicht, die dazu beitragen, den Schutz gegen Cyberangriffe branchenweit zu optimieren.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Illegaler Zugang zu Unternehmensdaten: Cookie-Klau ist zunehmend im Trend
- Cyberkriminelle nutzen gestohlene Cookies, um Multi-Faktor-Authentifizierungen zu umgehen und Zugriff auf Unternehmensressourcen zu erhalten
- Mit gestohlenen Cookies können sich Angreifer als rechtmäßige Benutzer ausgeben und frei im Unternehmens-Netzwerk bewegen.
Sophos beschreibt im neuesten X-Ops Report "Cookie stealing: the new perimeter bypass", dass Cyberkriminelle zunehmend gestohlene Session-Cookies nutzen, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen und Zugriff auf Unternehmensressourcen zu erhalten. In einigen Fällen ist der Cookie-Diebstahl eine gezielte Attacke, bei der Cookie-Daten von kompromittierten Systemen ausgelesen werden. Dabei nutzen die Kriminellen legitime ausführbare Dateien, um ihre Aktivitäten zu verschleiern.
Sobald sie mithilfe der Cookies einen Zugang zu web- oder cloudbasierten oder Unternehmens-Ressourcen haben, können sie diese für weitere Angriffe nutzen. Dazu gehören beispielsweise die Kompromittierung von E-Mails oder Social Engineering, um zusätzliche Systemzugänge zu ergaunern oder sogar für die Änderung von Daten oder Quellcode-Repositories zu sorgen.
„Im vergangenen Jahr haben wir beobachtet, dass Cyberkriminelle vermehrt auf Cookie-Diebstahl zurückgreifen, um die zunehmende Verbreitung von MFA zu umgehen. Sie nutzen neue und verbesserte Malware – etwa Raccoon Stealer – um den Diebstahl von Authentifizierungs-Cookies, auch bekannt als Access Tokens, zu vereinfachen", sagt Sean Gallagher, Principal Threat Researcher bei Sophos. „Wenn Angreifende im Besitz von Session-Cookies sind, können sie sich frei in einem Netzwerk bewegen.“
An der Authentifizierung vorbei: „Pass-the-Cookie“-Angriffe
Sitzungs- oder Authentifizierungs-Cookies sind eine bestimmte Art von Cookie, die von einem Webbrowser gespeichert werden, wenn sich ein Benutzer bei Webressourcen anmeldet. Sobald Cyberkriminelle in ihren Besitz gelangen, können sie einen "Pass-the-Cookie"-Angriff durchführen, bei dem sie das Zugriffstoken in eine neue Web-Sitzung einschleusen und dem Browser vorgaukeln, es melde sich ein authentifizierter Benutzer an. Damit ist keine weitere Authentifizierung mehr erforderlich. Da bei der Verwendung von MFA auch ein Token erstellt und in einem Webbrowser gespeichert wird, kann derselbe Angriff verwendet werden, um diese zusätzliche Authentifizierungsebene zu umgehen. Erschwerend kommt hinzu, dass viele legitime webbasierte Anwendungen langlebige Cookies anlegen, die selten oder nie ablaufen; Einige Cookies werden nur dann gelöscht, wenn sich der Benutzer ausdrücklich vom Dienst abmeldet.
Dank Malware-as-a-Service wird es selbst für eher unerfahrene Cyberkriminelle immer einfacher, in das lukrative Geschäft mit dem Diebstahl von Zugangsdaten einzusteigen. Sie müssen beispielsweise nur eine Kopie eines Trojaners wie Raccoon Stealer kaufen, um Daten wie Passwörter und Cookies in großen Mengen zu sammeln und können sie dann auf kriminellen Marktplätzen wie Genesis anbieten. Andere Kriminelle in der Angriffskette, wie z. B. Ransomware-Betreiber, können diese Daten dann kaufen und durchforsten, um alles, was sie für ihre Angriffe als nützlich erachten, zu nutzen.
Der Cookie-Diebstahl wird immer strategischer
Bei zwei der jüngsten Vorfälle, die Sophos untersuchte, verfolgten die Angreifenden hingegen einen gezielteren Ansatz. In einem Fall verbrachten sie Monate im Netzwerk des Zielunternehmens und sammelten Cookies des Microsoft Edge Browsers. Die erste Kompromittierung erfolgte über ein Exploit-Kit. Anschließend nutzten sie eine Kombination aus Cobalt-Strike- und Meterpreter-Aktivitäten, um über ein legitimes Compiler-Tool die Zugriffstoken abzugreifen. In einem anderen Fall nutzten die Angreifenden eine legitime Microsoft-Visual-Studio-Komponente, um eine bösartige Malware abzusetzen, die eine Woche lang Cookie-Dateien abfing.
„Während wir in der Vergangenheit massenhaften Cookie-Diebstahl beobachten konnten, gehen Cyberkriminelle jetzt gezielt und präzise vor, um Cookies zu stehlen. Da ein großer Teil des Arbeitsplatzes inzwischen webbasiert ist, gibt es keine Grenzen für die bösartigen Aktivitäten, die Angreifer:innen mit gestohlenen Sitzungscookies durchführen können. Sie können Cloud-Infrastrukturen manipulieren, geschäftliche E-Mails kompromittieren, andere Mitarbeitende zum Herunterladen von Malware überreden oder sogar Code für Produkte umschreiben. Die einzige Grenze ist ihre eigene Kreativität", so Gallagher. „Erschwerend kommt hinzu, dass es keine einfache Lösung gibt. Zwar können Dienste beispielsweise die Lebensdauer von Cookies verkürzen, was jedoch bedeutet, dass sich die Benutzer:innen häufiger neu authentifizieren müssen. Da Angreifer:innen legitime Anwendungen nutzen, um Cookies abzugreifen, müssen Unternehmen die Erkennung von Malware mit einer Verhaltensanalyse kombinieren."
Um mehr über den Diebstahl von Sitzungscookies zu erfahren und darüber, wie Cyberkriminelle diese Technik ausnutzen, um schädliche Aktivitäten auszuführen, lesen Sie den vollständigen Report "Cookie Stealing: the new perimeter bypass" auf Sophos.com.
Sophos ist ein weltweit führender Anbieter von Next Generation Cybersecurity und schützt mehr als 500.000 Unternehmen und Millionen von Anwendern in mehr als 150 Ländern vor den modernsten Cyberbedrohungen. Basierend auf Threat Intelligence, KI und maschinellem Lernen aus den SophosLabs und von SophosAI bietet Sophos ein breites Portfolio an fortschrittlichen Produkten und Services, um Anwender, Netzwerke und Endpoints vor Ransomware, Malware, Exploits, Phishing und einer Vielzahl anderer Cyberattacken zu schützen. Sophos bietet mit Sophos Central eine einzige, integrierte und cloudbasierte Management-Konsole. Sie ist das Herzstück eines anpassungsfähigen Cybersecurity-Ökosystems mit einem zentralen Data Lake, der eine Vielzahl offener API-Schnittstellen bedient, die Kunden, Partnern, Entwicklern und anderen Cybersecurity-Anbietern zur Verfügung stehen. Sophos vertreibt seine Produkte und Services über Partner und Managed Service Provider (MSPs) weltweit. Der Sophos-Hauptsitz ist in Oxford, U.K. Weitere Informationen unter http://www.sophos.de/.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Suche nach den „Fab Five“
Diese „Partner“ stecken etwa 70 Prozent der Gelder, die von den Opfern erpresst werden, ein. Das ist ein erheblicher Anreiz dafür, gleich ganze Netzwerke mit einem Schlag anzugreifen und zu infizieren.
Gezielte Rekrutierung von Gangs ist gang und gäbe
Vor etwa zwei Jahren beispielsweise bot die REvil-Ransomware-Bande in einem Hacker-Rekrutierungsforum im Untergrund 1.000.000 Dollar als Vorschuss an, um neue Affiliates für ihre cyberkriminellen Machenschaften zu gewinnen. Die entsprechende REvil „Stellenanzeige“ klang nach einer Kernmannschaft von RaaS. Man suchte „Teams, die bereits über Erfahrungen und Fähigkeiten bei Penetrationstests sowie mit msf / cs / koadic, nas / tape, hyper-v und ähnlichen Software- und Gerätetypen verfügen.“
Die REvil-Bande hatte ein besonderes Interesse an Technologien wie NAS (Networked Attached Storage), oder Hyper-V (Microsofts Virtualisierungsplattform), da mit entsprechender Expertise beispielsweise vorhandene Backups während eines Angriffs mit allem anderen verschlüsselt werden können. Dies macht es den Opfern schwerer denn je, sich selbst zu retten.
Meuterei auf der Conti
Die symbiotischen Beziehungen zwischen den Kernmitgliedern einer RaaS-Gang und den angeschlossenen Mitgliedern, auf die sie sich verlassen, sind indes durchaus fragil. So hatte etwa die Conti-Crew vor etwas mehr als einem Jahr mit einer Art Meuterei in den eigenen Reihen zu kämpfen, wie ein wütender Post offenbarte: „Ja, natürlich rekrutieren sie Trottel und teilen das Geld unter sich auf, und die Jungs werden mit dem gefüttert, was sie ihnen mitteilen werden, wenn das Opfer zahlt,“ hieß es da. Einer der verärgerten Partner hatte zudem eine umfangreiche Archivdatei mit dem Titel Мануали для работяг и софт.rar (Bedienungsanleitungen und Software) veröffentlicht, die sich auf die Conti-Bande bezieht.
Zum Hintergrund des Posts konnte Sophos seinerzeit herausfinden, dass zumindest einige Partner in der Conti-Ransomware-Szene eben nicht 70 % der tatsächlich eingenommenen Lösegeldsumme erhielten, sondern 70 % einer imaginären, aber niedrigeren Summe, die ihnen von den Kernmitgliedern der Conti-Bande mitgeteilt wurde.
USA loben bis zu 10 Millionen Belohnung für Hinweise aus
Die Vereinigten Staaten haben gerade offiziell und öffentlich eine Belohnung von "bis zu 10 Millionen Dollar" unter dem Schlagwort Conti ausgesetzt. Auszüge aus der Begründung: „Die erstmals 2019 entdeckte Ransomware Conti wurde für mehr als 1.000 Ransomware-Operationen verwendet, die auf kritische Infrastrukturen in den USA und weltweit abzielten, wie z. B. Strafverfolgungsbehörden, medizinische Notdienste, Notrufzentralen und Gemeinden. Netzwerke des Gesundheitswesens und der Ersthelfer gehören zu den mehr als 400 Organisationen weltweit, die Opfer von Conti wurden, mehr als 290 davon in den Vereinigten Staaten.“
Die Zahlung der Belohnung für Hinweisgebende erfolgt im Rahmen einer globalen US-Initiative zur Verbrechens- und Terrorismusbekämpfung, die unter dem Namen Rewards for Justice (RfJ) bekannt ist und vom diplomatischen Dienst der USA im Auftrag des US-Außenministeriums verwaltet wird. Obwohl es unwahrscheinlich ist, dass ein einzelner Hinweisgeber in der Conti-Saga die gesamten 10 Millionen Dollar für sich beanspruchen werden kann, bleiben auch für weitere Informanten genügend finanzielle Anreize, um sachdienliche Hinweise zu geben.
Wer sind die Fab Five?
Das RfJ-Programm selbst besteht seit fast 40 Jahren und hat in dieser Zeit nach eigenen Angaben etwa 250 Millionen Dollar an mehr als 125 verschiedene Personen weltweit ausgezahlt, was einer durchschnittlichen Auszahlung von etwa 2.000.000 Dollar etwa dreimal pro Jahr entspricht. Auszug aus einer allgemeinen Beschreibung:
„Das RfJ-Programm bietet eine Belohnung von bis zu 10 Millionen Dollar für Informationen, die zur Identifizierung oder zum Auffinden einer Person führen, die auf Anweisung oder unter der Kontrolle einer ausländischen Regierung an böswilligen Cyber-Aktivitäten gegen kritische US-Infrastrukturen unter Verletzung des Computer Fraud and Abuse Act (CFAA) beteiligt ist.“
Diesmal hat das US-Außenministerium jedoch ein ausdrückliches Interesse an fünf Personen bekundet, die im Moment nur unter ihren Untergrundnamen bekannt sind: Dandis, Professor, Reshaev, Target und Tramp.
Fahndungsfotos für die optische Identifizierung scheint es keine zu geben. Die RfJ-Seite zeigt lediglich Dummies.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Neues Sophos X-Ops Active Adversary Whitepaper: Mehrfachangriffe machen Schule – Hive, LockBit und BlackCat Ransomware-Banden greifen nacheinander dasselbe Netzwerk an
Die angegriffene Organisation erhielt drei verschiedene Ransomware-Meldungen für dreifach verschlüsselte Dateien.
Mehrfachangriffe scheinen insgesamt zu einem Trend zu werden.
Im aktuellen Sophos X-Ops Active Adversary Whitepaper "Multiple Attackers: A Clear and Present Danger" berichtet Sophos, dass die drei bekannten Ransomware-Gruppen Hive, LockBit und BlackCat, nacheinander dasselbe Netzwerk angegriffen haben. Die ersten beiden Angriffe erfolgten innerhalb von zwei Stunden, der dritte Angriff fand zwei Wochen später statt. Jede Ransomware-Gruppe hinterließ ihre eigene Lösegeldforderung und einige der Dateien waren dreifach verschlüsselt.
„Es ist schon schlimm genug, eine einzige Ransomware-Meldung von einer Cyberkriminellen-Gruppe zu erhalten, ganz zu schweigen von gleich dreien", sagt John Shier, Senior Security Advisor bei Sophos. „Mehrere Angreifer schaffen eine ganz neue Ebene der Komplexität für die Wiederherstellung, insbesondere wenn Dateien dreifach verschlüsselt sind. Cybersicherheit mit Prävention, Erkennung und Reaktion ist für Unternehmen jeder Größe und Art von entscheidender Bedeutung – kein Unternehmen ist vor Angriffen gefeit."
In dem Whitepaper werden weitere Fälle von sich überschneidenden Cyberangriffen beschrieben, darunter Kryptominers, Remote-Access-Trojaner (RATs) und Bots. Wenn in der Vergangenheit mehrere Angreifer auf ein und dasselbe System abzielten, erstreckten sich die Angriffe in der Regel über viele Monate oder mehrere Jahre hinweg. Die im aktuellen Sophos Whitepaper beschriebenen Attacken fanden innerhalb weniger Tage und Wochen statt – in einem Fall sogar gleichzeitig. Oft werden die Organisationen von den Angreifenden über denselben verwundbaren Einstiegspunkt in das Netzwerk attackiert.
Von Konkurrenz zu vorsichtiger Kooperation zwischen den Cybergangstern
Normalerweise konkurrieren Cyberkriminelle, was es für mehrere Angreifer schwieriger macht, gleichzeitig zu operieren. Meist eliminieren sie ihre Konkurrenten auf demselben System. Die heutigen RATs weisen in kriminellen Foren häufig auf die Möglichkeit des Bot-Killings hin. Bei dem Angriff, an dem die drei Ransomware-Gruppen beteiligt waren, löschte BlackCat als letzte Ransomware-Gruppe auf dem System nicht nur Spuren ihrer eigenen Aktivitäten, sondern auch die von LockBit und Hive. In einem anderen Fall wurde ein System von LockBit-Ransomware infiziert. Etwa drei Monate später gelang es Mitgliedern von Karakurt Team, einer Gruppe mit Verbindungen zu Conti, die von LockBit geschaffene Hintertür zu nutzen, um Daten zu stehlen und Lösegeld zu verlangen.
„Im Großen und Ganzen scheinen sich Ransomware-Gruppen nicht offen feindlich gegenüberzustehen. Tatsächlich verbietet LockBit seinen Mitgliedern nicht ausdrücklich, mit Konkurrenten zusammenzuarbeiten", sagt Shier. „Wir haben keine Beweise für eine Zusammenarbeit. Aber es ist möglich, dass Angreifer erkennen, dass es in einem zunehmend umkämpften Markt nur eine begrenzte Anzahl von Angriffszielen gibt. Oder sie glauben, je mehr Druck auf ein Ziel ausgeübt wird, beispielsweise durch mehrere Angriffe, desto wahrscheinlicher ist es, dass die Opfer zahlen. Vielleicht führen sie Gespräche auf hoher Ebene und treffen Vereinbarungen, die für beide Seiten vorteilhaft sind, etwa dass eine Gruppe die Daten verschlüsselt und die andere exfiltriert. Irgendwann müssen diese Gruppen entscheiden, ob sie zusammenarbeiten und dieses Vorgehen weiter ausbauen, oder ob sie mehr auf Wettbewerb setzen. Im Moment aber ist das Spielfeld für mehrere Angriffe durch verschiedene Gruppen offen."
Das alte Leid: Nicht gepatchte Sicherheitslücken als Einfallstore
Bei den im Whitepaper beschriebenen Angriffen erfolgten die meisten Erstinfektionen über nicht gepatchte Sicherheitslücken. Dazu gehören Lücken in Log4Shell, ProxyLogon und ProxyShell oder schlecht konfigurierte beziehungsweise ungesicherte RDP-Server (Remote Desktop Protocol). In den meisten Fällen, in denen mehrere Angreifer beteiligt waren, gelang es den Opfern nicht, den ursprünglichen Angriff wirksam zu beheben, so dass die Tür für künftige cyberkriminelle Aktivitäten offenstand. Damit wurden die gleichen RDP-Fehlkonfigurationen sowie Anwendungen wie RDWeb oder AnyDesk zu einem leicht ausnutzbaren Weg für Folgeangriffe. Ungeschützte oder manipulierte RDP- und VPN-Server gehören zu den beliebtesten „Angeboten“, die im Dark Web verkauft werden.
„Im aktuellen Active Adversary Playbook stellt Sophos für das Jahr 2021 fest, dass Unternehmen gleichzeitig mehrfach angegriffen werden und dass dies ein wachsender Trend sein könnte", sagt Shier. „Die Tatsache, dass die Zunahme von Mehrfachangriffen aktuell noch auf Basis einzelner Fälle nachvollzogen werden muss, gibt Cyberkriminellen reichlich Gelegenheit, sich über die ausnutzbaren Systeme noch weiter in diese Richtung zu bewegen."
Um mehr über multiple Cyberangriffe zu erfahren, einschließlich Details über den kriminellen Untergrund sowie praktischer Ratschläge zum Schutz von Systemen vor solchen Angriffen, steht das vollständige Whitepaper „Multiple Attackers: A Clear and Present Danger" auf Sophos.com zum Download bereit.
Sophos ist ein weltweit führender Anbieter von Next Generation Cybersecurity und schützt mehr als 500.000 Unternehmen und Millionen von Anwendern in mehr als 150 Ländern vor den modernsten Cyberbedrohungen. Basierend auf Threat Intelligence, KI und maschinellem Lernen aus den SophosLabs und von SophosAI bietet Sophos ein breites Portfolio an fortschrittlichen Produkten und Services, um Anwender, Netzwerke und Endpoints vor Ransomware, Malware, Exploits, Phishing und einer Vielzahl anderer Cyberattacken zu schützen. Sophos bietet mit Sophos Central eine einzige, integrierte und cloudbasierte Management-Konsole. Sie ist das Herzstück eines anpassungsfähigen Cybersecurity-Ökosystems mit einem zentralen Data Lake, der eine Vielzahl offener API-Schnittstellen bedient, die Kunden, Partnern, Entwicklern und anderen Cybersecurity-Anbietern zur Verfügung stehen. Sophos vertreibt seine Produkte und Services über Partner und Managed Service Provider (MSPs) weltweit. Der Sophos-Hauptsitz ist in Oxford, U.K. Weitere Informationen unter http://www.sophos.de/.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Starker Trend in 2021: Organisationen im Gesundheitswesen zu 94% stärker von Ransomware betroffen
– Angriffe steigen deutlich, gleichzeitig sind Organisationen im Gesundheitswesen besser in der Lage, mit den Folgen umzugehen
– Der Gesundheitssektor zahlt am häufigsten Lösegeld, im Branchenvergleich jedoch die niedrigsten Summen
– Mehr Gesundheitsorganisationen entscheiden sich für Cyberversicherungen, stellen aber fest, dass es schwieriger geworden ist, Versicherungsschutz zu bekommen
Sophos hat seine Branchenanalyse „The State of Ransomware in Healthcare 2022" veröffentlicht. Die Ergebnisse beschreiben einen weltweiten Anstieg der Ransomware-Angriffe auf diesen Sektor von 94 %. So war das Gesundheitswesen im Jahr 2021 zu 66 % betroffen, wohingegen im Jahr zuvor dieser Wert noch bei 34 % lag.
Trotz dieser dynamischen Entwicklung zeigt sich auch ein positiver Aspekt: die Organisationen des Gesundheitswesens sind den Umfragedaten zufolge immer besser in der Lage, mit den Folgen von Ransomware-Angriffen umzugehen. Der Bericht zeigt, dass 99 % der von Ransomware betroffenen Organisationen zumindest einen Teil ihrer Daten zurückerhalten haben, nachdem die Cyberkriminellen sie während der Angriffe verschlüsselt hatten.
Weitere Auswirkungen von Ransomware auf den Gesundheitssektor weltweit:
- Organisationen des Gesundheitswesens hatten mit 1,85 Millionen US-Dollar die zweithöchsten durchschnittlichen Wiederherstellungskosten für Ransomware und benötigten im Durchschnitt eine Woche, um sich von einem Angriff zu erholen
- Basierend auf ihren eigenen Erfahrungen glauben 67 % der Unternehmen des Gesundheitswesens, dass Cyberangriffe komplexer geworden sind. Dies ist der höchste Prozentsatz im weltweiten Branchenvergleich.
- Unternehmen des Gesundheitswesens zahlen zwar am häufigsten Lösegeld (61 %), aber im Vergleich zum weltweiten Durchschnitt von 812.000 US-Dollar (über alle in der Umfrage erfassten Sektoren hinweg) mit 197.000 US-Dollar das niedrigste Durchschnittslösegeld.
- Von den Unternehmen, die das Lösegeld gezahlt haben, erhielten nur 2 % alle ihre Daten zurück
- 61 % der Angriffe führten zu einer Verschlüsselung, 4 % weniger als der weltweite Durchschnitt (65 %)
Mehr Gesundheitsorganisationen (78 %) entscheiden sich jetzt für eine Cyberversicherung, aber 93 % der Organisationen mit Versicherungsschutz berichten, dass es im letzten Jahr schwieriger geworden ist, Versicherungsschutz zu erhalten. Da Ransomware der Hauptgrund für Versicherungsansprüche ist, gaben 51% der Befragten an, dass ein höheres Maß an Cybersicherheit erforderlich ist, um sich für eine Versicherung zu qualifizieren. Dies stellt eine Belastung für Gesundheitsorganisationen mit geringeren Budgets und weniger technischen Ressourcen dar.
Daten im Gesundheitswesen besonders attraktiv für Cyberkriminelle
„Ransomware im Gesundheitswesen ist in Bezug auf Schutz und Wiederherstellung differenzierter als in anderen Branchen", sagt John Shier, Senior Security Experte bei Sophos. „Die Daten, die Unternehmen im Gesundheitswesen nutzen, sind äußerst sensibel und wertvoll, was sie für Angreifer sehr attraktiv macht. Darüber hinaus bedeutet die Notwendigkeit eines effizienten und weit verbreiteten Zugriffs auf diese Art von Daten – damit medizinisches Fachpersonal die richtige Pflege leisten kann –, dass typische Zwei-Faktor-Authentifizierung und Zero-Trust-Verteidigungstaktiken nicht immer durchführbar sind. Dies macht Organisationen des Gesundheitswesens besonders verwundbar, und wenn sie betroffen sind, entscheiden sie sich möglicherweise dafür, Lösegeld zu zahlen, um Zugang zu wichtigen, oft lebensrettenden Patientendaten zu erhalten.“ Aufgrund dieser einzigartigen Faktoren müssten Organisationen des Gesundheitswesens ihren Schutz vor Ransomware ausbauen, indem sie Sicherheitstechnologien mit einer von Menschen geführten Bedrohungsjagd kombinieren, um sich gegen die modernen Cyberangreifer zu verteidigen, so der Experte weiter.
Sophos empfiehlt folgende Schritte für eine bessere Sicherheit:
- Installation und Pflege von hochwertigen Schutzmaßnahmen an allen Stellen der Unternehmensumgebung. Regelmäßige Prüfung der Sicherheitskontrollen und Anpassung an die Anforderungen des Unternehmens.
- Härtung der IT-Umgebung durch Aufspüren und Schließen der wichtigsten Sicherheitslücken: ungepatchte Geräte, ungeschützte Rechner und offene Ports des Remote Desktop Protocol. Extended Detection and Response (XDR)-Lösungen sind ideal, um diese Lücken zu schließen
- Erstellung von Backups und Training der Wiederherstellung der Daten, damit das Unternehmen so schnell wie möglich und mit minimalen Unterbrechungen den Betrieb wieder aufnehmen kann.
- Proaktive Bedrohungssuche, um Angreifer zu identifizieren und zu stoppen, bevor sie ihren Angriff ausführen können. Wenn das interne Team nicht die Zeit oder die Fähigkeiten hat, dies selbst zu tun, ist es ratsam externe Spezialisten für Managed Detection and Response (MDR) zu beauftragen.
- Mit einem Plan auf den Worst Case vorbereitet sein. Wissen, was zu tun ist, wenn ein Cybervorfall eintritt, und den Plan auf dem neuesten Stand halten
Für die weltweite Studie „State of Ransomware in Healthcare 2022" wurden 5.600 IT-Experten, darunter 381 Befragte aus dem Gesundheitswesen, in mittelgroßen Unternehmen (100-5.000 Mitarbeiter) in 31 Ländern befragt. Für die DACH-Region standen 63 deutsche, 16 österreichische und 8 schweizer IT-Leitungen Rede und Antwort.
Sophos ist ein weltweit führender Anbieter von Next Generation Cybersecurity und schützt mehr als 500.000 Unternehmen und Millionen von Anwendern in mehr als 150 Ländern vor den modernsten Cyberbedrohungen. Basierend auf Threat Intelligence, KI und maschinellem Lernen aus den SophosLabs und von SophosAI bietet Sophos ein breites Portfolio an fortschrittlichen Produkten und Services, um Anwender, Netzwerke und Endpoints vor Ransomware, Malware, Exploits, Phishing und einer Vielzahl anderer Cyberattacken zu schützen. Sophos bietet mit Sophos Central eine einzige, integrierte und cloudbasierte Management-Konsole. Sie ist das Herzstück eines anpassungsfähigen Cybersecurity-Ökosystems mit einem zentralen Data Lake, der eine Vielzahl offener API-Schnittstellen bedient, die Kunden, Partnern, Entwicklern und anderen Cybersecurity-Anbietern zur Verfügung stehen. Sophos vertreibt seine Produkte und Services über Partner und Managed Service Provider (MSPs) weltweit. Der Sophos-Hauptsitz ist in Oxford, U.K. Weitere Informationen unter http://www.sophos.de.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
