Aus Sicht des Opfers: So läuft eine Ransomware-Attacke ab

Autor: Tom Wannenmacher

Der wahre Gegner ist der Mensch, nicht die Maschine
Der wahre Gegner ist der Mensch, nicht die Maschine

Keine Organisation möchte Opfer von Cyberkriminalität werden. Aber wenn es Sicherheitslücken gibt, ist es wahrscheinlich, dass Angreifer diese finden und ausnutzen. Und es kann Monate oder sogar länger dauern, bevor das Opfer den Zustand überhaupt bemerkt.

So genannte Incident Responder helfen Unternehmen dabei, Angriffe und deren Auswirkungen zu identifizieren, zu blockieren und abzuschwächen. Dieses Monitoring durch Spezialisten ermöglicht außerdem eine genau Analyse von Angriffsmustern und im Ergebnis eine hautnahe Betrachtung, wie Cyberkriminalität tatsächlich die Opfer trifft.

Der wahre Gegner ist der Mensch, nicht die Maschine

Angreifer sind immer geschickter darin, sich zu tarnen, um keinen Verdacht bei Sicherheitsteams zu wecken und unentdeckt zu bleiben. Daher sind verschiedene Sicherheitslevel notwendig, die die Angriffskette an unterschiedlichen Orten durchbrechen. Während die initiale Verletzung automatisiert abläuft, nutzen Hacker im Anschluss beispielsweise legitime IT-Werkzeuge, wie z.B. Netzwerk-Scanner, für ihre illegalen Zwecke, um Sicherheitstechnologien zu umgehen und sich lateral durch das Netzwerk zu bewegen. Die Herausforderung für Opfer liegt darin, dass IT-Sicherheitsteams besonders wachsam bei der Bewertung von Tools sein müssen, die legitim und deswegen aber auch beliebt und häufig gebräuchlich bei Angreifern sind. Zudem kompromittieren Angreifer regelmäßig bestehende Administrator-Accounts, um sich vor aller Augen zu verstecken. Werden sie in ihren Angriffen gestoppt, versuchen sie etwas anderes. Und hier offenbart sich einer der bedeutendsten und durch die Opfer immer noch zu sehr unterschätzten Aspekte von Cyberkriminalität: man kämpft nicht gegen Malware-Code, man kämpft gegen Menschen

Ransomware ist das Finale einer Cyberattacke

Laut Incident Respondern glauben viele Opfer, dass ein Angriff erst kurz vor seiner Sichtbarkeit – zum Beispiel durch die Ransomware-Meldung – erfolgt ist. Das ist allerdings sehr selten der Fall. Tatsächlich ist es so, dass sich Angreifer in aller Regel bereits eine ganze Weile vor diesem Zeitpunkt im Netzwerk aufgehalten haben. Sie agieren verborgen unter dem Radar, scannen das System, installieren Hintertüren und stehlen Informationen. All diese Aktivitäten sind Marker, die geprüft werden müssen, um eine vollständige Wiederherstellung nach dem Angriff zu erleichtern. Der Teil des Angriffs, der am meisten die Alarmglocken klingen lässt, ist das Starten von Ransomware. An diesem Punkt gelingen dem Angreifer alle oben genannten Methoden im Opfer-Netzwerk (siehe Grafik zu unterschiedlichem Ransomware-Verhalten), so dass er aus seiner Deckung kommen und präsent sein kann. Mit anderen Worten: die Implementierung von Ransomware markiert das Finale eines Angriffs, nicht seinen Beginn.

Opfer und Angreifer sind großem Stress ausgesetzt

Rund Neunzig Prozent der Attacken, die von Incident Respondern gesehen werden, involvieren Ransomware, und die Auswirkungen dieser Angriffe sind oft verheerend. Dies gilt besonders für systemrelevante Organisationen, wie zum Beispiel Gesundheitseinrichtungen, wo ein erfolgreicher Angriff abgesagte Operationen, verschwundene Röntgenbilder, verschlüsselte Ergebnisse von Krebs-Screenings und mehr bedeuten kann.

Einige Opfer fühlen sich ohnmächtig und halten eine Lösegeldzahlung für die einzige Option, um zum Beispiel den Zugriff auf Daten-Backups, die von den Angreifern gekapert wurden, wiederzuerlangen. Andere Organisationen entscheiden sich gegen eine Zahlung. Wiederum andere sorgen sich mehr um den Schaden für ihre Reputation (Veröffentlichung der gestohlenen Daten) denn über Lösegeld für Entschlüsselungscodes. Ransomware selbst variiert von geschäftsmäßig und raffiniert bis minderwertig und schlampig. Ransomware-Analysen haben gezeigt, dass Attacken nicht nur für die Opfer anstrengend und einschüchternd sind, sondern dass auch die Kriminellen zunehmend unter „Erfolgsstress“ stehen: Sie bedrängen Unternehmen, die sich weigern zu zahlen, immer massiver.

Herausforderung Wiederaufbau: Finde die Quelle

Die Incident-Responder-Daten deuten auch darauf hin, dass es vielen Opfern schwerfällt, die Bewegung von Ransomware durch die Organisation nachzuvollziehen. Es gibt die generelle Annahme, dass sie sich von ihrem Startpunkt automatisch in alle Richtungen des Netzwerks ausdehnt – während sie in Wirklichkeit strategisch auf eine vorausgewählte Liste von Geräten und Netzwerkbereichen konzentriert. Zudem zeigt sich, dass die Angreifer nicht nur Dokumente und andere Daten anvisieren, sondern sie schlichtweg die Geräte und Systeme soweit funktionsunfähig machen wollen, dass diese nur noch über genug Ressourcen verfügen, um die Ransomware-Benachrichtigung zu starten.

Für die Opfer einer Attacke bedeutet das: die Wiederherstellung des Systems beginnt nicht mit dem Wiedereinspielen eines Backups und der Suche danach, was die Angreifer noch angerichtet haben. Der Wiederherstellungsprozess startet oft mit der signifikanten Herausforderung, sämtliche betroffenen Maschinen neu aufzubauen. Und mit ihr die schwierige Aufgabe der Identifikation: von wo ging die Attacke aus und sind die Kriminellen vielleicht sogar noch immer im System?

Gefahrenabwehr nur mit Maschine UND Mensch

Überwachungskameras können Verbrechen aufnehmen, Täter vielleicht auch abschrecken, aber stoppen können sie den Einbruch nicht. Entscheidend ist das Eingreifen der Sicherheitskraft, die live die Aufnahmen verfolgt und entsprechende Handlungen unternimmt. Seitdem die Cybergangster immer häufiger im Stealth-Modus unterwegs sind und sie ihre Fähigkeiten, legitime Werkzeuge und Prozesse zu verwenden, verbessert haben, steigt der Wert des menschlichen Faktors im Threat Hunting. Diese Methode kombiniert fortgeschrittene Algorithmen modernster Sicherheitssoftware mit täglicher menschlicher Expertise, die in der Lage ist, die Nuancen eines Angriffs zu bewerten – eine Fähigkeit, die Software (so noch) nicht besitzt.

Quelle: Sophos
Artikelbild: Shutterstock / Von Zephyr_p
Unterstützen 🤍

FAKE NEWS BEKÄMPFEN

Unterstützen Sie Mimikama, um gemeinsam gegen Fake News vorzugehen und die Demokratie zu stärken. Helfen Sie mit, Fake News zu stoppen!

Mit Deiner Unterstützung via PayPal, Banküberweisung, Steady oder Patreon ermöglichst Du es uns, Falschmeldungen zu entlarven und klare Fakten zu präsentieren. Jeder Beitrag, groß oder klein, macht einen Unterschied. Vielen Dank für Deine Hilfe! ❤️

Mimikama-Webshop

Unser Ziel bei Mimikama ist einfach: Wir kämpfen mit Humor und Scharfsinn gegen Desinformation und Verschwörungstheorien.

Abonniere unseren WhatsApp-Kanal per Link- oder QR-Scan! Aktiviere die kleine 🔔 und erhalte eine aktuelle News-Übersicht sowie spannende Faktenchecks.

Link: Mimikamas WhatsApp-Kanal

Mimikama WhatsApp-Kanal

Hinweise: 1) Dieser Inhalt gibt den Stand der Dinge wieder, der zum Zeitpunkt der Veröffentlichung aktuell
war. Die Wiedergabe einzelner Bilder, Screenshots, Einbettungen oder Videosequenzen dient zur
Auseinandersetzung der Sache mit dem Thema.


2) Einzelne Beiträge (keine Faktenchecks) entstanden durch den Einsatz von maschineller Hilfe und
wurde vor der Publikation gewissenhaft von der Mimikama-Redaktion kontrolliert. (Begründung)


Mit deiner Hilfe unterstützt du eine der wichtigsten unabhängigen Informationsquellen zum Thema Fake News und Verbraucherschutz im deutschsprachigen Raum

INSERT_STEADY_CHECKOUT_HERE

Kämpfe mit uns für ein echtes, faktenbasiertes Internet! Besorgt über Falschmeldungen? Unterstütze Mimikama und hilf uns, Qualität und Vertrauen im digitalen Raum zu fördern. Dein Beitrag, egal in welcher Höhe, hilft uns, weiterhin für eine wahrheitsgetreue Online-Welt zu arbeiten. Unterstütze jetzt und mach einen echten Unterschied! Werde auch Du ein jetzt ein Botschafter von Mimikama

Mehr von Mimikama

Mimikama Workshops & Vorträge: Stark gegen Fake News!

Mit unseren Workshops erleben Sie ein Feuerwerk an Impulsen mit echtem Mehrwert in Medienkompetenz, lernen Fake News und deren Manipulation zu erkennen, schützen sich vor Falschmeldungen und deren Auswirkungen und fördern dabei einen informierten, kritischen und transparenten Umgang mit Informationen.