Thales-Analyse zeigt: Cyberangriffe zu COVID-19 folgen der Ausbreitung des Virus

Cyber Threat Assessment Report 2020 vorgestellt

[datensicherheit.de, 15.04.2020] Angesichts der gehäuften Meldungen zu Cyberangriffen rund um COVID-19 hat Carsten J. Pinnow für datensicherheit.de (ds) ein Interview mit Quentin Delmas, Cyber Threat Intelligence Analyst bei Thales zum vorliegenden COVID-19 Cyber Threat Assessment Report 2020 geführt.

ds: Welche Trends konnten Sie in Ihrer Analyse feststellen?

Delmas: Cyberkriminelle Gruppierungen scheinen der tatsächlichen Entwicklung des Virus zu folgen, mit wichtigen Angriffen zunächst in Asien (Taiwan, Südkorea, Mongolei…), dann in Mittel- und Osteuropa (Tschechische Republik, Ukraine) und schließlich in Westeuropa (Italien, Frankreich).

In den letzten Wochen wurden viele Fake-Domains, die mit COVID-19 in Verbindung stehen, angemeldet. Mehr als 10 Prozent dieser Domains können zur Einschleusung von Malware führen (d.h. einige Millionen Möglichkeiten zur Infektion mit Malware). So duplizieren Hacker beispielsweise Websites mit Hilfe interaktiver Karten über den Verlauf des Virus und fügen ihnen Malware hinzu. Massive Spam-Kampagnen nutzen COVID-19 als Lockmittel. Diese Kampagnen zielen in der Regel darauf ab, Lösegeldforderungen und Datendiebstahl zu betreiben oder Bank-Malware (z.B. TrickBot, Agent Tesla, FormBook, Loki Bot) einzusetzen. Per E-Mail verschickte Phishing-Kampagnen fordern die Benutzer auf, sich auf einer gefälschten Office 365-Webseite anzumelden, um Zugang zu einem angeblich wichtigen Dokument zu erhalten. Betrugskampagnen (Business Email Compromise oder BEC) verbreiten nicht unbedingt Malware, sondern fordern eine Geldsumme. Darüber hinaus nehmen auch Angriffe, die von staatlich finanzierten Hackergruppen durchgeführt werden, zu (Advanced Persistent Threat). Sie benutzen COVID-19 aktuell als Vorwand, um ihre Spionagekampagnen zu starten.

Bild: Thales

Quentin Delmas, Cyber Threat Intelligence Analyst bei Thales

Hierzu ist wichtig zu wissen, dass diese cyberkriminellen Gruppierungen nicht neu sind, sondern die gleichen Cybergangster, mit denen wir es schon vorher zu tun hatten. Nun sprangen und springen sie auf die aktuellen Entwicklungen auf und versuchen davon zu profitieren. In Zeiten, in denen wir es mit Malware-as-a-Service zu tun haben und die Versender der Phishing-Mails nicht mehr die Urheber der Schadsoftware selbst sind, wird der Erfolg der Kampagnen und letztlich der Gruppierungen daran gemessen, wer am meisten Infektionen und erpresstes Lösegeld nachweisen kann. Die Tools bekommt der Angreifer dann von selbst und natürlich erhält die erfolgreichste Gruppe auch Zugriff auf die neuesten und besten Werkzeuge. Cybercrime ist ein Geschäft und in diesem Fall ist das Ausnutzen des Informationsbedarfs innerhalb der Bevölkerung der am meisten erfolgsversprechende Treiber.

Letztlich geht es aber nicht nur um die Infektion, um die Erpressung via Ransomware, es geht auch um Industriespionage. Dass jetzt besonders viele Mitarbeiter im Home Office arbeiten ist für viele Cyberkriminelle ein Vorteil, weil sie weniger Hürden nehmen müssen, um sich Zugriff auf sensible Daten zu verschaffen.

ds: In Deutschland ist vor allem der Mittelstand gefährdet, denn er kann sich keine teuren Sicherheitslösungen leisten, schon gar nicht, wenn die halbe Belegschaft und mehr nun aus der Ferne auf die IT-Systeme zugreifen müssen. Wie können sich gerade diese mittelständischen Unternehmen am besten vor solchen Angriffen schützen?

Delmas: In der Regel können Unternehmen gegen Spear-Phishing wenig ausrichten, sie können nicht von allen Mitarbeitern ständige Wachsamkeit erwarten. Die Opfer sind nicht wirklich darauf vorbereitet und es ist schwer sie im Home-Office zu schulen. Letztlich wird bei den Phishing-E-Mails und Business E-Mail Compromise (BEC) ein enormer Druck auf die Empfänger ausgeübt und es gibt zahlreiche Beispiele, bei denen selbst Experten es schwer haben die Anzeichen auf eine Phishing-E-Mail sofort richtig zu erkennen. Wir sehen über unsere Systeme, dass vor allem Telearbeiter über Cloud Services wie Office 365 mit Phishing geradezu bombardiert werden. BEC nimmt ebenfalls eher zu, als dass es weniger wird.

Wir raten dazu die Empfehlungen der ANSSI (Agence nationale de la sécurité des systèmes d’information, das französische Counterpart zum BSI) in ihrem Bulletin d’actualité CERTFR-2020- ACT-002 zu befolgen:

1. Wichtig ist, unter keinen Umständen die Webschnittstellen von Microsoft Exchange-Servern, die nicht auf dem neuesten Stand sind, im Internet zu veröffentlichen.
2.  Gewähren Sie keinen Zugriff auf Ihre File-Sharing-Server über das SMB-Protokoll.
3.  Wenn Sie neue Dienste im Internet bereitstellen oder bereitstellen müssen, aktualisieren Sie diese sobald wie möglich mit den neuesten Sicherheits-Patches und aktivieren Sie Protokollierungsmechanismen. Wenn möglich, aktivieren Sie die Zwei-Faktor-Authentifizierung.
4. Schnelles Aufspielen von Sicherheits-Patches, insbesondere bei Geräten und Software, die dem Internet ausgesetzt sind (VPN-Lösung, Remote-Desktop-Lösung, Messaging-Lösung usw.).
5. Führen Sie Offline-Backups für Ihre kritischen Systeme durch.
6. Verwenden Sie eine firmenspezifische Zugangslösung wie VPN, idealerweise IPsec oder TLS, um zu vermeiden, dass Anwendungen direkt dem Internet ausgesetzt werden.
7. Implementierung von Zwei-Faktor-Authentifizierungsmechanismen zur Begrenzung des Risikos von Identitätsdiebstahl (VPN und zugängliche Anwendungen).
8. Überprüfen Sie regelmäßig die Zugriffsprotokolle der im Internet veröffentlichten Lösungen, um verdächtiges Verhalten zu erkennen.

Darüber hinaus sollten Sie die folgenden Tipps befolgen:

• Vermeiden Sie es, dass Ihre Mitarbeiter auf Fake-News hereinfallen. Weisen Sie Ihre Mitarbeiter darauf hin, nur vertrauenswürdige Informationen zu konsumieren, die von staatlichen Stellen stammen. Nur so gelingt es die Flut an Falschinformationen einzudämmen, die dann dazu beitragen weitere per Phishing zugeschickte Fake-News anzuklicken und den eigenen Laptop zu infizieren.
• Alarmieren Sie Ihre Telearbeiter auf der Grundlage der Empfehlungen der ANSSI. Die überwiegende Mehrheit der Institutionen und Organisationen hat sich für die Fernarbeit entschieden. Dennoch sollte die Änderung der Arbeitsumgebung die Mitarbeiter nicht dazu veranlassen, ihre Gewohnheiten zu ändern. Im Gegenteil, im Lichte der hier beschriebenen Ereignisse ist es ratsam, sich an die Vorschriften zu erinnern, die in Ihrem Unternehmen zu beachten sind.
• Geben Sie der Aufklärung von Cyber-Bedrohungen den Vorrang. Einige der Angreifer sind äußerst erfolgreich. Die Überwachung ihrer Bewegungen vor dem Hintergrund laufender Kampagnen ist auf der Ebene der Institutionen und Organisationen von wesentlicher Bedeutung. Die Aufklärungsteams für Cyber-Bedrohungen sind mit diesen Gruppen vertraut, wissen, wie sie arbeiten und was sie motiviert. Regelmäßige Analysen ermöglichen es, eine proaktive Haltung gegenüber diesen Angreifern einzunehmen.
• Die Kombination von Erkennungswerkzeugen mit Informationen über Cyber-Bedrohungen zum Schutz ihrer Systeme. Der Einsatz von Werkzeugen wie IDS (Intrusion Detection Systems), die mit den Informationen der Cyber-Bedrohungsintelligenz angereichert sind, ermöglicht, die Angriffe aller Gruppen zum Zeitpunkt ihres Auftretens zu erkennen und so den potenziellen Schaden erheblich zu reduzieren.

ds: Gibt es bei all dem Negativen auch einen kleinen Lichtblick?

Delmas: Zumindest für Europa, allerdings ist der eher schwach. Nachdem die Gruppen im März vor allem in Europa aktiv waren, lenken sie nun ihre Aufmerksamkeit auf die USA. Das heißt jedoch nicht, dass jetzt europäische Firmen weniger im Fokus stehen. Die Cyberkriminellen gehen nur Back-to-Business, also nutzen jetzt wieder die allgemeinen Aufhänger für ihre Aktivitäten und nicht mehr die Themen COVID-19 und Heimarbeit. Wir müssen also wachsam bleiben und auch mittelständische Firmen müssen auf kurz oder lang in ihre Sicherheit investieren. Wenn man allerdings die oben genannten Tipps verfolgt, dann ist die Ausgangslage schon mal besser als vorher.

ds:Herr Delmas, wir bedanken uns für das Gespräch.

Weitere Informationen zum Thema:

datensicherheit.de, 14.04.2020
COVID-19: Cyberangriffe auf Regierungen und medizinische Organisationen

datensicherheit.de, 01.04.2020
Hacker nutzen COVID-19-Krise: Smartphone-Nutzer oftmals das Ziel

datensicherheit.de, 31.03.2020
Vermeidung von Enpässen im Netz – Appell zu digitaler Besonnenheit

datensicherheit.de, 26.03.2020
Corona: Verunsicherte Nutzer im Fokus von Cyber-Betrügern