Das Ransomware-Problem
Ransomware hat in den letzten Jahren die Schlagzeilen dominiert, vor allem, wenn Unternehmen ins Visier gerieten. Allein 2017 hat es einige spektakuläre Angriffe gegeben (WannaCry, Bad Rabbit, NonPetya etc.), die allesamt auf Unternehmen abzielten, um deren Daten zu verschlüsseln und Lösegeld zu ergaunern.
Einige Zahlen und Fakten zum jüngsten Erfolg von Ransomware:
- 209 Millionen US-Dollar Umsatz im 1. Quartal 2016 und eine Milliarde US-Dollar im gesamten Jahr 2016
- 56.000 Infektionen pro Monat
- 101 bekannte Ransomware-Familien
- Bereitstellung über eine Reihe von Mechanismen aus Exploit-Kits, E-Mail und Website-Links
Ransomware-as-a-Service
Was vielen nicht bewusst ist, ist das bestens funktionierende Ökosystem, in dem diese Ransomware-Familien gedeihen. Die Cerber-Ransomware-Familie beispielsweise machte dieses Jahr, bis Wannacry kam, 70 Prozent aller Angriffe aus. Dies geht zurück auf die zunehmende Verfügbarkeit von „Ransomware-as-a-Service“ oder „RaaS“, wodurch Ransomware nun für ein breiteres Publikum jenseits von Cyberkriminellen zugänglich wird.
RaaS ist ein einfaches Franchise-ähnliches Bereitstellungsmodell. Anstatt ihren eigenen Schadcode zu schreiben, können sich Kriminelle nun bei ihrem bevorzugten RaaS-Portal anmelden, ihre Ransomware einfach konfigurieren und die Malware sofort an unwissende Opfer versenden lassen.
Ransomware gewinnt an Raffinesse
Frühe Formen von Ransomware waren nicht übermäßig anspruchsvoll. Die Cerber-Familie zeigte jedoch eine beispiellose Menge an Details und Raffinesse. Einige Eigenschaften von Cerber:
- Eine verschlüsselte JSON-Datei gibt dem Benutzer die Möglichkeit, Einstellungen zu ändern (z.B. bestimmte Dateitypen auszuwählen), bestimmte Sprachpakete oder IP-Bereiche zu meiden oder Umgebungsüberprüfungen durchzuführen (sucht nach Anti-Virus und virtuellen Maschinen).
- Moderne Ransomware sucht nach fast allen Dateitypen, einschließlich VMware, Datenbanken, Java-Script und E-Mails.
- Sie erstellt mehrere Mutex-Dateien, nistet sich in Windows ein und verfügt über Fault- oder Watcher-Prozesse, so dass sie erneut erzeugt werden kann.
- Wenn Cerber feststellt, dass es gejagt wird, wird es beendet und vorerst nicht ausgeführt. Der UAC-Modus (User Account Control) wird vollständig umgangen.erber kann verschlüsseln, ohne auf eine Internetverbindung angewiesen zu sein, denn es enthält die Schlüssel in der Nutzlast (RSA-2048).
- Cerber sendet Statistiken über UDP (User Datagram Protocol) zum Angreifer. Im Wesentlichen wird es Statistiken von dem, was es in der Umgebung entdeckt, wenn möglich, hochladen.
- Cerber verschlüsselt Daten mit einem hohen Grad an Entropie.
Tipps zum Schutz vor Ransomware:
Einstiegspunkte (Web, Geräte, USB und E-Mail)
Standardverfahren zum Scannen von E-Mails und zum Blockieren von USB-Anschlüssen verwenden
Auf virtuellen Maschinen den Webzugriff nicht aktivieren
Patchen, Patchen und nochmals Patchen
Netzwerke und persönliche Geräte trennen
Benutzer und Zugriff
Endbenutzer und auch IT-Mitarbeiter schulen. Dies ist entscheidend für das Erkennen von Ransomware und die richtige Reaktion darauf
Softwarebeschränkungen auferlegen. Berechtigungen für Benutzer zum Ausführen von .exe. entfernen. Wenn Benutzer keinen Workload ausführen können, kann er auch von Ransomware nicht ausgeführt werden
Zugriffsverwaltung für geringstmögliche Rechte ein einstellen. Mitarbeitern nur Zugriff auf Daten zur Verfügung stellen, die sie wirklich benötigen.
Dateifreigaben überprüfen
Aktualisierte Firewalls, IPS (Intrusion Prevention Systems) und Richtlinien nutzen
Das Ransomware-Problem bleibt – Unveränderbare, automatisierte Backups sind unverzichtbar
Dies sind nur einige Methoden, mit denen Unternehmen ihre Daten schützen können. Die Quintessenz ist, dass Ransomware nicht einfach so verschwinden wird. Die Frage bei Ransomware lautet nicht „ob“, sondern „wann“ sie zuschlägt. Jeder Beitrag über Ransomware kommt daher zu dem Schluss, dass „Backups ein Muss sind“. Aber was ist zu tun, wenn der Ernstfall eintritt? Zunächst heißt es Ruhe zu bewahren und die folgenden Schritte durchzuführen:
- Reagieren und die weitere Verbreitung stoppen
- Testen des Backups vor dem Wiederherstellen
- Wiederherstellen
- Ursachenanalyse
Der Schlüssel hierbei ist die Reaktionszeit und es geht darum, die betroffenen Daten in kürzester Zeit wieder online zu bekommen. Hilfreich sind hier hochautomatisierte Backups mit minimaler RTO (Recovery Time Objective). Zusätzlich wichtig sind unveränderbare Backups, so dass sie nur gelesen und nicht überschrieben werden können. Der Schutz wertvoller Daten mit einer hochautomatisierten Backup-Plattform ist entscheidend für die Gewissheit, dass bei einer Ransomware-Infektion die Daten schnell wiederhergestellt werden können. Ransomware wird nicht so schnell verschwinden. Daher ist es für Unternehmen unerlässlich, eine Datenmanagementstrategie mit mehrschichtiger Sicherheit, einfacher Automatisierung und schneller Wiederherstellung zu verfolgen.
Über Rubrik
Rubrik bietet sofortige Anwendungsverfügbarkeit mit Datensicherung, Suche, Analyse, Archivierung und Copy Data Management. Hybrid-Cloud-Unternehmen profitieren von Rubriks marktführender Cloud Data Management-Plattform, die sich durch Einfachheit, sofortigen Datenzugriff, Anwendungsmobilität, richtliniengesteuerte Automatisierung, Ransomware-Schutz und umfangreiche Analysemöglichkeiten auszeichnet. Weitere Informationen finden Sie unter www.rubrik.com und auf Twitter (@rubrikInc).
