Online Abzocke, »CaaS«, »Cybercrime as a Service«, Hacken ist einfach wie nie

#Online #Abzocke, »CaaS«, »#Cybercrime as a Service«, Hacken ist einfach wie nie

#Firmen und #User zu verängstigen, zu erpressen oder einfach kaputtzumachen – Cyberkriminelle haben einige Motivationen und Methoden, um ihre Opfer zu drangsalieren. Dabei nehmen vor allem Ransomware Attacken zu, weil sich diese Erpressungsmasche relativ leicht realisieren lässt. Und die Lösegelder, mit denen sich Betroffene freikaufen wollen, sind nicht nur schnell kassiert – die Hacker erfahren durch die Zahlung auch, wer sich noch weiter ausnehmen lässt.

• Die detaillierten Bedrohungsanalysen des »Cyber Threat Intelligence Reports« liefern eine Übersicht und beschreiben einzelne Kampagnen sowie ihre Attack-Chains aus dem vergangenen Quartal.

Lieber einmal zähneknirschend zahlen, als durch Online-Erpresser Daten, Geschäftsprozesse, Websites & Co. blockieren zu lassen und zudem langfristige Image-Schäden zu riskieren? Das klingt zunächst nach dem kleineren Übel, geht aber in der Regel ins Auge. Denn Ransomware Erpresser, die Daten und Services von Unternehmen, Institutionen oder Privatanwendern unterwandern und verschlüsseln oder lahmlegen, geben sich meist nicht mit dem geforderten Lösegeld zufrieden. Sie legen in der Regel nach und »melken« ihre Opfer so lange und so oft wie möglich. Dann oft mit noch höheren Forderungen – denn offenbar ist ein Zahlungswilliger gefunden. Auch die klassischen Phishing Attacken und Porno Erpressungen erfreuen sich nach wie vor großer Beliebtheit.

Ransomware-Trends auf dem Vormarsch

Dass Ransomware Attacken Methode haben, belegt unter anderem der neueste »Cyber Threat Intelligence Report«. Die »Infoblox Cyber Intelligence Unit« erstellt die Studie quartalsweise und untersucht darin detailliert exemplarische Cyber Bedrohungen der vergangenen drei Monate. Der jüngste Report zeigt eindeutig: Ransom Strategien sind – wenn auch in unterschiedlicher Ausformung – für immer mehr Cyber Verbrecher das Mittel der Wahl, um sich zu zu bereichern.

Ob das angedrohte Erpressungsszenario aus dem Verschlüsseln von Daten, dem Lahmlegen von Websites, Servern und ganzen Firmen IT Infrastrukturen oder dem Leaken von Dateien besteht, eines haben die Ransomware Attacken gemeinsam: Sie sorgen inzwischen für einen regelrechten Schatten Markt mit zahlreichen »as a Service« Angeboten. Diese ermöglichen es Cyber-Erpressern, auch ohne IT Kenntnisse #online Angst und Schrecken zu verbreiten, Geschäftsmodelle zu torpedieren und Geld abzugreifen. Im Frühsommer 2021 hat die »Cyber Intelligence Unit« sogar vier ganz besondere Ransomware »Trends« identifiziert …

Trend 1 – erpresserische Online Attacken, schneller, häufiger, fokussierter

Eine Zusammenschau mehrere Untersuchungen aus den vergangenen Monaten zeigt: Ransomware ist ein heißes Thema. Der Grund dafür? Es geht um viel Geld. Ransomware bringt eine große potentielle »Rendite« für Online Gauner. Bis zu 10 Prozent aller Security-Vorfälle haben mittlerweile mit Ransomware zu tun.

Übereinstimmend bestätigen mehrere Studien auch, dass rund 80 Prozent der Unternehmen, die bereits einmal »Lösegeld« für Daten gezahlt haben (oder »Schutzgeld«, um nicht von Botnets lahmgelegt zu werden), ein zweites Mal Opfer eines Ransomware-Angriffs geworden sind. Oft werden diese Angriffe durch dieselben Personen initiiert, die bereits den ersten Vorfall hervorgerufen haben. Kurz: Einmal attraktives Opfer – immer attraktives Opfer. Die »Infoblox Cyber Intelligence Unit« untersucht nicht nur detailliert exemplarische Cyber-Attacken, sondern sammelt auch andere Studienergebnisse und eigene Recherchen, um quartalsweise aussagekräftige Momentaufnahmen zur Cyber Sicherheit zur erhalten.

Die Experten gehen inzwischen davon aus, dass rund zwei Drittel der Unternehmen bereits massive Umsatzeinbußen nach Ransomware-Angriffen hinnehmen mussten. Über die Hälfte der Unternehmen fürchten, dass ihr Image schon einmal nach einem erfolgreichen Angriff Schaden genommen hat. Und rund ein Drittel geht davon aus, dass sie als direkte Folge von Ransomware Angriffen schon einmal junge Talente auf Führungsebene verloren haben.

Trend 2 – »#Ransomware-as-a-Service« (»#RaaS«) breitet sich aus

Die Ransomware Angriffe auf Unternehmen wie JBS und Colonial Pipeline (detailliert im aktuellen Threat Report nachzulesen) oder Städte sind Beispiele für kriminelle Organisationen, die RaaS-Plattformen nutzen. Viele potenzielle Bedrohungsakteure können alles, was sie für einen Angriff benötigen, über das »#Dark #Web« kaufen. Vorrangig wird davon Gebrauch gemacht, wenn sie nicht über die nötigen Fähigkeiten verfügen, um ihre eigenen Ransomware Angriffe zu entwickeln und zu starten. Fast zwei Drittel der Ransomware-Angriffe im Jahr 2020 sind nach Infoblox-Recherchen ursprünglich von »RaaS« basierten Plattformen ausgegangen.

»RaaS« Plattformen umfassen Support, Community Foren, Dokumentation, Updates und mehr. Ihr Support System ähnelt sehr stark dem, was auch bei einwandfreien SaaS-Produkten angeboten wird. Einige RaaS-Websites bieten unterstützende Marketingliteratur und Erfahrungsberichte von Benutzern zu relativ niedrigen Kosten an. Außerdem gibt es Angebote, für das sich »Partner« für einen einmalig fälligen Betrag oder mit einem monatlichen Abonnement anmelden können.

In einigen Fällen verwenden die Bedrohungs-Akteure übrigens gern sorgfältig zugeschnittene Social-Engineering-Taktiken, wie zum Beispiel ansprechend und hochwertig gestaltete E-Mails, um die Zielpersonen dazu zu verleiten, auf manipulierte URLs zu klicken oder Anhänge zu öffnen, die gefährliche Viren et cetera beinhalten. Hier ist besondere Vorsicht geboten.

Trend 3 – Ransomware Leakseiten sind eine neue Taktik der Bedrohungsakteure

Ransomware Bedrohungsakteure verfolgen oftmals eine bestimmte Strategie. Dazu gehören aktuell auch Drohungen, die Daten eines Opfers auf einer Leak-Seite zu veröffentlichen oder (das ursprüngliche »Geschäftsmodell« der Ransomware) die Verschlüsselung der Dateien. In einigen Fällen ist der finanzielle Schaden aufgrund der Bezahlung der Lösegeldforderung vermeintlich kleiner als der Schaden, welcher durch die Veröffentlichung von Daten entsteht. Diese Abwägung nutzen die Cyber-Angreifer aus. Was nicht vergessen werden darf: Manchen Angreifern geht es auch nur um blinde Zerstörungswut. Wenn sich damit noch Geld machen lässt, sind solche kriminelle Methoden umso willkommener …

Trend 4 – Angriffsvektor RDP

Das Remote Desktop Protocol (RDP) hat sich zuletzt zu einem äußerst effektiven und gefährlichen Angriffsvektor entwickelt. Vor einigen Jahren wurde in einer Studie festgestellt, dass mehr als 10 Millionen Online-Rechner mit dem offenen Port 3389 konfiguriert waren. Für Bedrohungsakteure ist es mittlerweile keine Schwierigkeit mehr, diese Geräte mit Hilfe von Suchmaschinen wie Shodan ausfindig zu machen. Sie sind in der Lage, sich Zugang zu RDP Servern zu verschaffen, indem sie Standardkennwörter auf nicht aktualisierten Servern verwenden. Alternativ können auch Brute Force Techniken oder Open Source Passwort Cracker eingesetzt werden, um in diverse Systeme einzubrechen.

Remote Desktop Protocol (RDP)

Das Remote Desktop Protocol (RDP) ist ein proprietäres Netzwerkprotokoll von Microsoft für den Fernzugriff auf Computer. Es ermöglicht die Übertragung grafischer Bildschirminhalte eines entfernten Rechnersystems sowie die Bereitstellung von Peripheriefunktionen eines Arbeitsplatzes (Tastatur, Maus, Audio Eingabe und Ausgabe, Videoeingabe sowie sitzungsbezogenen Datenaustausch wie Textpuffer (»Clipboard«), Druckerkopplung und Dateisystembereitstellung). Das Protokoll definiert die Zusammenarbeit zwischen einer Serverkomponente (bei MS Windows Remote Desktop Services, vormals Terminal Services) und der Clientkomponente. Der Dienst hört nach Standard auf Port 3389/TCP sowie 3389/UDP. Die Nutzung der UDP-Übertragung wird bei Microsoft ab Windows 8 und Windows Server 2012 hinzugefügt (RDP Version 8), ist aber nicht zwingend erforderlich.

Fazit

Die detaillierten Bedrohungsanalysen des »Cyber Threat Intelligence Reports« liefern eine Übersicht und beschreiben einzelne Kampagnen sowie ihre Attack Chains aus dem vergangenen Quartal. Außerdem zeigen sie die ausgenutzten Schwachstellen und empfohlene Abwehrmaßnahmen auf. Das Ergebnis ist, dass Ransomware auf dem Vormarsch ist, denn mit erpresserischen Aktivitäten lässt sich viel Geld verdienen. Die Bedrohungsszenarien, die angedroht werden, können recht unterschiedlich sein – pure Zerstörung von Daten, das Leaken von Informationen, die Verschlüsselung von wichtigem Material – oder Botnet Attacken, die für geschäftsschädigende Downtimes sorgen. Im Hintergrund steht immer der gleiche Gedanke, nämlich der, dass das Opfer lieber das Erpressungsgeld bezahlt, als Daten, Kunden und Image aufs Spiel zu setzen. Von sich aus werden Online Erpresser ihr »Geschäftsmodell« nicht aufgeben. Deshalb ist es an Unternehmen, Mitarbeitern und nicht zuletzt jedem Einzelnen gelegen, sensibel zu bleiben und mit größter Vorsicht auch auf »gut gemachte« Betrugsversuche zu reagieren.

www.security-insider.de