Cybereason Honeypot: Mehrstufige Ransomware-Angriffe befürchtet

Die Anbieter kritischer Infrastrukturen sollten in Alarmbereitschaft versetzt werden, denn es werden mehrstufige Ransomware-Angriffe befürchtet. Diese Prognose stammt von Cybereason. Sie haben einen neuen Honeypot eingerichtet, um Taktiken, Techniken und Verfahren zu analysieren, die staatlich geförderte Hacker-Gruppierungen und Cyber-Kriminelle gegen Anbieter kritischer Infrastrukturen einsetzen.

Der aktuelle Honeypot folgt auf einen früher eingerichteten aus dem Jahr 2018, der die gleiche Branche untersuchte. Der Honeypot wurde so aufgebaut, dass er vorgeblich wie ein Elektrizitätsversorgungsunternehmen mit Niederlassungen in Nordamerika und Europa wirkte. Im Rahmen der aktuellen Untersuchung hat das Cybereason-Team mehrere Angreifer identifiziert, die Ransomware-Attacken ausgeführt und Daten gestohlen sowie Benutzer-/Anmeldeinformationen abgegriffen haben.

Die Angreifer sind dabei in den typischen lateralen Bewegungen ins Netzwerk des vermeintlichen Opfers vorgedrungen, um so viele Endpunkte wie möglich zu infizieren. Dazu gehörten auch kritische Systeme wie die Domain-Controller, bei denen eine Infiltration einen Zeitraum von wenigen Minuten bis hin zu mehreren Stunden umfassen kann.

Zwar wurden die Ransomware-Funktionen bereits zu Beginn des Hacker-Angriffs bereitgestellt, aber nicht sofort genutzt. Die Schadsoftware war so konzipiert, dass sie erst dann an sämtlichen, kompromittierten Endpunkten scharf geschaltet wurde, nachdem die Vorstufen des Angriffs abgeschlossen waren. Dieses Vorgehen gewährleistet maximalen Schaden beim Opfer.

Dieses operative Angriffsmuster versucht, so viele Systeme wie möglich zu treffen. Dieses Vorgehen stellt für die betroffenen Unternehmen ein wesentlich höheres Risiko dar als Ransomware-Angriffe, die sich auf einzelne Rechner auswirken. Nämlich auf die Computer, die als erste angegriffen werden. Dieses operative Muster hat aber auch Vorteile: über eine schnelle Erkennung und Vorfallsreaktion ist es möglich, einen solchen Angriff in seinem Frühstadium zu identifizieren und wirksam darauf zu reagieren, bevor die Ransomware die Umgebung beeinträchtigt.

Angesichts der Ergebnisse der Untersuchung kommt das Cybereason-Team zu dem Schluss, dass mehrstufige Ransomware-Angriffe auf Anbieter kritischer Infrastrukturen gefährlicher werden und zunehmend häufiger vorkommen.

Anbieter von kritischen Infrastrukturen sind einer ständigen Flut von Cyber-Angriffen ausgesetzt, meistenteils durch hoch motivierte und finanziell gut ausgestattete Gruppen von Cyber-Kriminellen und staatlich geförderte Akteure. Nach der Definition des Department of Homeland Security umfassen kritische Infrastrukturen „das riesige Netz von Autobahnen, Verbindungsbrücken und -tunneln, Eisenbahnen, Versorgungseinrichtungen und Gebäude, die zur Aufrechterhaltung der Normalität des täglichen Lebens notwendig sind. Verkehr, Handel, sauberes Wasser und Elektrizität hängen ausnahmslos von diesen lebenswichtigen Systemen ab.“

Bereits im Rahmen einer früheren Honeypot-Analyse und des ebenfalls ICS-basierten Honeypots 2018 beobachtete das Team von Cybereason auch eine Reihe von Ransomware-Angriffen. Sie zeichneten sich durch die typische Dateiverschlüsselung aus, und in einigen Fällen war die Schadsoftware in der Lage, sich selbst weiter zu verbreiten, indem sie bekannte Schwachstellen des Betriebssystems ausnutzte, um Dateien verschlüsseln zu können.

Beim Vergleich des Honeypot 2018 mit neueren Beobachtungen am Honeypot 2020 wurde ersichtlich, dass bei verschiedenen Ransomware-Angriffen die typische Dateiverschlüsselung um Hacking-Operationen erweitert wurde. Man kann davon ausgehen, dass dies ein Versuch ist, die Auswirkungen des Angriffs auszuweiten, die Ransomware-Kosten in die Höhe zu treiben und die Neigung des Opfers, das Lösegeld tatsächlich zu zahlen, zu erhöhen.

Deutliche Veränderungen

Der Vergleich zwischen den Ergebnissen von 2018 und 2020 zeigt deutliche Veränderungen. Immer häufiger gehen Hacker inzwischen zu mehrstufigen Ransomware-Angriffen über. Einer der Trends, den das Cybereason-Team gerade für den ICS-Bereich belegen kann: Es gibt 2020 weniger neue Ransomware-Stämme; demgegenüber erzielen die existierenden aber deutlich höhere Gewinne. Hacker haben dahingehend ihre Strategie geändert. Sie gehen jetzt wesentlich gezielter vor als noch vor wenigen Jahren, und sie wollen von jedem Opfer so viel wie möglich abkassieren. Cybereason rechnet in absehbarer Zeit mit einem Anstieg bei mehrstufiger Ransomware, die in Hacking-Operationen eingebettet ist.

Ein anderer Erfolgsfaktor dieser Angriffe ist die Destabilisierung des Unternehmens und der Verfügbarkeit. Wegen der potenziell enormen und unmittelbaren Auswirkungen auf das Gemeinwesen, können Hacker die Lösegeldforderungen in die Höhe treiben. Gleichzeitig steigt die Neigung solchen Forderungen nachzukommen, insbesondere, wenn es Versicherungsgesellschaften sind, die dafür aufkommen. Ein zweischneidiges Schwert, denn je häufiger Angriffe dieser Art es in die Schlagzeilen schaffen, desto eher werden Unternehmen geneigt sein, für eine entsprechende Versicherungsdeckung zu zahlen. Das wiederum wird die Zahl der Angriffe erneut in die Höhe treiben. Vermutlich solange, bis die Kosten für die Versicherungsprämien mit denen vergleichbar sind, die ein Unternehmen aufwenden müsste, um den Schaden zu beseitigen.

Dagmar Schulz

Cybereason