Ransomware als profitabelste Malware der IT-Geschichte

Bezugnehmend auf den „Midyear Cybersecurity Report“ geht Cisco von einer Fortsetzung dieses Trends mit noch gefährlicheren Varianten aus

[datensicherheit.de, 27.07.2016] Laut einer aktuellen Cisco-Studie stehen Unternehmen zunehmend im Fadenkreuz von Erpressungssoftware. Diese Ransomware ist demnach inzwischen der profitabelste Malware-Typ in der Geschichte der IT. Dabei erpressen Cyber-Kriminelle Computernutzer, indem sie die Daten auf dem Computer mit einer starken Verschlüsselung unlesbar machen und für die Herausgabe des Schlüssels Lösegeld verlangen.

Künftig ganze IT-Netzwerke in Geiselhaft

Basierend auf Ergebnissen des „Midyear Cybersecurity Report“ (MCR) geht Cisco nach eigenen Angaben davon aus, dass sich dieser Trend mit noch gefährlicherer Ransomware fortsetzt. Diese neue Generation von Ransomware werde sich selbst verbreiten und gesamte Netzwerke – und damit auch Unternehmen – in Geiselhaft nehmen können.
Laut Cisco wird zum Beispiel die Schadsoftware der Zukunft ihre Entdeckung vermeiden, indem sie die Prozessor-Nutzung begrenzt und keine Daten mit einem zentralen Steuerungsserver austauscht – an beiden Phänomenen ließe sich nämlich ein Befall mit Ransomware leicht erkennen. Sie verbreite sich aber auch schneller und vervielfältige sich innerhalb des Unternehmens, bevor sie Lösegeld-Forderungen koordiniert.

Bis zu 200 Tage benötigt, um unbekannte Bedrohungen zu identifizieren

Die Entdeckung von Ransomware und anderen Arten von Malware in Netzwerken und Endpunkten bleibe eine große Herausforderung. Im Durchschnitt benötigten Unternehmen bis zu 200 Tage, um bislang unbekannte Bedrohungen zu identifizieren.
Die mittlere Entdeckungszeit von Cisco betrage dagegen nur rund 13 Stunden. Noch vor einem halben Jahr habe die Entdeckungszeit bei 17,5 Stunden gelegen. Eine kürzere Entdeckungszeit (Englisch „Time to Detection“, TTD) sei entscheidend, um die Möglichkeiten der Angreifer einzuschränken und den Schaden zu minimieren.
Doch Unternehmen hätten weiterhin Schwierigkeiten, die Sicherheit ihrer Geräte und Systeme zu gewährleisten. Nicht mehr unterstützte oder ungepatchte Systeme erleichterten Hackern den Zugriff, die Verschleierung ihrer Aktivitäten und die Erhöhung ihres Profits – zum größeren Schaden des betroffenen Unternehmens.

Weltweites, branchenübergreifendes Problem

Die Cisco-Studie soll zeigen, dass dies ein weltweites Problem ist. Zwar hätten Organisationen in kritischen Branchen wie dem Gesundheitswesen in den vergangenen Monaten eine deutliche Steigerung der Angriffe erlebt, doch gemäß dem Report seien alle Branchen und Regionen betroffen. Clubs und Organisationen, Wohlfahrtsverbände und Nichtregierungsorganisationen sowie Elektronik-Unternehmen seien in der ersten Jahreshälfte 2016 stärker angegriffen worden.
Die Digitalisierung erfordere leistungsfähige IT-Infrastrukturen mit inhärenten Sicherheitsfunktionen, so Klaus Lenssen, „Chief Security Officer“ von Cisco Deutschland. „Natürlich gelten weiter die Grundregeln: Alte Soft- und Hardware darf nicht weiter verwendet werden, wenn sie vom Hersteller bereits abgekündigt wurde und daher nicht mehr mit Sicherheitsupdates versorgt wird“, betont Lenssen. Software müsse auf dem neuesten Stand gehalten werden – hierbei seien auch die Hersteller in der Verantwortung. Selbst dann ließen sich Angriffe aber nicht ausschließen – es gelte, die Entdeckungszeit zu verkürzen, damit Angreifer keinen oder nur geringen Schaden anrichten könnten.

Eine Auswahl an Erkenntnissen aus dem „Midyear Cybersecurity Report“:

• Ausnutzung jahrealter Schwachstellen:
  Neben PCs attackierten Angreifer zunehmend Server in Organisationen. Auf PCs blieben Schwachstellen in „Adobe Flash“ die häufigsten Ziele für „Malvertising“ und „Exploit Kits“.
  Im Bereich Server seien zehn Prozent der mit dem Internet verbundenen „Jboss“-Installationen weltweit kompromittiert. Viele der genutzten Schwachstellen seien schon fünf Jahre alt, so dass die Angriffe durch Patches und Updates einfach vermeidbar gewesen wären.
• Weiterentwickelte Angriffsmethoden:
  „Windows Binary Exploits“ seien zur häufigsten Web-Angriffsmethode in den vergangenen sechs Monaten geworden. Dabei seien sie schwer zu identifizieren und zu entfernen.
  „Social Engineering über Facebook sei in dieser Kategorie auf Platz 2 zu finden.
• Verwischen von Spuren:
  Die vorliegende Studie belege eine verstärkte Nutzung von Kryptogeld wie „Bitcoin“, Verschlüsselung und Anonymisierungsdiensten wie „Tor“ zur anonymen Kommunikation der Hacker über das Web.
  Die Zahl der mit HTTPS verschlüsselten Schadprogramme in „Malvertising“-Kampagnen sei von Dezember 2015 bis März 2016 um 300 Prozent gestiegen.

Laut Cisco könnten Unternehmen demgegenüber aufgrund begrenzter Kapazitäten und veralteter Infrastrukturen nur per Updates mit den Angreifern Schritt halten:

• Bei der Software:
  Im Bereich Browser nutzten 75 bis 80 Prozent der Anwender von „Google Chrome“ durch automatische Updates die neueste oder die Vorversion. Dagegen laufe ein Drittel der „Java“-Software immer noch mit dem von Oracle nicht mehr unterstützten „Java SE 6“. Die aktuelle Version sei „SE 10“.
  Bei „Microsoft Office 2013“ setzten maximal zehn Prozent die neueste „Service Pack-Version“ ein.
• Auf dem Gebiet der Infrastruktur:
  Die Cisco-Studie habe aufgedeckt, dass viele Infrastrukturen in Unternehmen nicht mehr unterstützt würden oder bekannte Schwachstellen aufwiesen. Beispielsweise weise die häufig genutzte „Apache“- und „OpenSSH“-Software im Durchschnitt 16 bekannte Schwachstellen auf, die vor 5,05 Jahren veröffentlicht worden seien.

Browser-Updates gelten laut Cisco als „einfache Aktualisierungen für Endpunkte“. Dagegen seien Unternehmensanwendungen und Server-seitige Infrastruktur aufwändiger zu aktualisieren. Zudem könnten dort Updates unter Umständen zu Problemen mit wichtigen Geschäftsanwendungen führen. So würden Anwendungen umso seltener aktualisiert, je wichtiger sie für das Business seien. Dies führe jedoch zu größeren Sicherheitslücken.

Cisco empfiehlt fünf Schritte zum Schutz von Unternehmen

Die Ergebnisse der Cisco-Studie legten nahe, dass schon einige einfache Maßnahmen die Sicherheit eines Unternehmens deutlich erhöhen könnten:

• Netzwerk-Sicherheit verbessern: Überwachen des Netzwerks, rechtzeitiges Patchen und Upgraden, Netzwerk-Segmentierung, Schutzmaßnahmen in den Randbereichen wie E-Mail und „Web Security“, „Next-Generation“-Firewalls und „Next-Generation Intrusion-Protection“-Systeme
• Integrierter Schutz: Umfassender Architektur-Ansatz statt Nutzung von Einzelprodukten
• Zeit zur Entdeckung messen: Messungen sollten Teil der Sicherheitsrichtlinien sein
• Nutzer überall schützen: Mobile Systeme seien ebenso abzusichern wie das Unternehmensnetzwerk
• Backup kritischer Daten: Sicherungskopien dürften nicht angreifbar sein

Weitere Informationen zum Thema:

CISCO
Cisco 2016 Midyear Security Report