Erfahren Sie Mehr

Transcript

Trend Micro White Paper | März 2016 Crypto-Ransomware: Geld oder Daten Digitale Erpressung lässt sich vermeiden EINLEITUNG Im Grunde genommen ist es immer dasselbe Muster: Jemand besitzt etwas Wertvolles, möglicherweise nur für den Eigentümer selbst von Bedeutung, und daraus lässt sich Profit schlagen. Die Methoden, um den Eigentümer dazu zu „überreden“, für den Schutz seines Besitzes oder die Rückgabe im Fall des Diebstahls Geld zu bezahlen, sind unterschiedlich. Eine davon, und zwar eine sehr wirksame, ist Erpressung. In der Cyber-Welt funktioniert dies mit Ransomware, einem Typus von Schadsoftware, mit dessen Hilfe ein digitaler Erpresser den Zugriff auf die Dateien eines Opfersystems sperren kann, sodass der Betroffene erst dann wieder auf die Daten zugreifen kann, wenn er das geforderte Lösegeld (Ransom) gezahlt hat. Das ist zumindest das Versprechen des Kriminellen. Von den Anfängen bis heute Digitale Erpressersoftware, ist nichts Neues. Den Anfang machten die „alten“ Fake-AV-Schädlinge, die Nutzern fingierte AV-Scanning-Ergebnisse präsentierten und sie damit dazu brachten, gefälschte AV-Software zu kaufen. Vor etwa zehn Jahren begannen Cyberkriminelle immer mehr Gefallen an Erpressungssoftware zu finden. Berüchtigt war die so genannte Polizei-Ransomware, die Nutzer mit Nachrichten über angeblich begangene Vergehen erpresste. Mittlerweile hat sich eine viel raffiniertere Art von Ransomware durchgesetzt: Crypto-Ransomware. Diese Schadsoftware geht einen Schritt weiter und verschlüsselt die gekaperten Dateien in den Systemen oder Netzwerklaufwerken der Opfer. 2013 tauchte mit CryptoLocker die erste Variante dieser Art auf und hat sich seither immer weiter entwickelt. Neue Taktiken und Methoden sollen unter anderem einer frühzeitigen Erkennung vorbeugen. Inzwischen bieten die Untergrundmärkte auch schon Ransomware-Dienstleistung an. Das Geschäftsmodell: Der Provider versorgt Interessierte mit den benötigten Angriffsmitteln und erhält dafür 10% vom Lösegeld [1]. Schon immer setzten Erpresser auf die Angst ihrer Opfer, doch mit diesen neuen Fähigkeiten können die Cyberkriminellen ganze Organisationen als Geiseln nehmen und von ihnen Geld erpressen, denn es geht um das für Unternehmen entscheidende Gut – Informationen. Wie erfolgreich Erpressung mit Crypto-Ransomware ist, lässt sich mit Zahlen aus Trend Micros Smart Protection Network belegen: Lag der Anteil der Crypto-Ransomware im Jahr 2013 noch bei 20% der gesamten Erpressersoftware, so ist er im Jahr 2015 auf 80% gestiegen. Auch sind die Cyberkriminellen wählerisch geworden und zielen mit ihren Angriffen eher auf Unternehmen mit wertvolleren Daten, so die Online Trust Alliance (OTA) in einer Studie [2]. Die Höhe des Lösegelds passen sie der Größe des Opferunternehmens und dem Wert der Daten an. Auch gibt es Indizien dafür, dass aktuell auch speziell kritische Infrastrukturen im Fokus dieser Angriffe stehen, weil die Betreiber solcher Systeme unter einem besonders hohen Druck stehen und schnell agieren müssen. Die Angst wird weiterhin Teil einer jeden erfolgreichen Erpressungstaktik sein. Und je persönlicher die Kriminellen werden können, desto leichter geben ihre Opfer den Forderungen nach. Experten gehen davon aus, dass CyberErpresser immer neue Taktiken entwickeln, die die Psyche ihrer Opfer – seien es Unternehmen oder Einzelpersonen – im Visier haben. Beispielsweise wenn der Ruf einer Einzelperson oder eines Unternehmens auf dem Spiel steht, ist die Erpressung besonders wirksam und entsprechend lukrativ. Seite 2 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten AKTUELLE ANGRIFFSWELLE Trend Micros CTO Raimund Genes hatte in den Vorhersagen für 2016 betont: „2016 wird das Jahr der CyberErpressung.“ Die Realität hat ihm bereits Recht gegeben [3]. Im Februar häuften sich die Meldungen über digitale Erpressungsversuche auf Krankenhäuser, vor allem im Raum NRW [4], aber auch in den USA, wo das Hollywood Hospital über eine Woche lahmgelegt wurde und 40 Bitcoins (17.000$) Lösegeld zahlte [5]. Beim Neusser Lukaskrankenhaus hielt sich zwar der Schaden in Grenzen, weil ein zeitnahes Backup vorhanden war, dennoch mussten viele Systeme heruntergefahren werden. Die Angriffe in Deutschland und in den USA stehen nicht direkt miteinander in Verbindung, sie haben dennoch eines gemeinsam: Es sind Crypto-Ransomware-Angriffe mit dem Ziel, den Opfern zu schaden und ihnen Geld abzunehmen. Die derzeit „prominenteste“ Ransomware aber ist „Locky“. Dieser Schädling verschlüsselt Dateien auf der Platte mit einer Mischung aus RSA/2048- und AES/128-Algorithmen und versieht sie mit der Endung .locky. Perfiderweise scheint Locky nicht sofort nach einer Infektion zu verschlüsseln. Vielmehr scheint er ein bestimmtes Datum (Montag, 15.2.2016, 15:06) abgewartet zu haben, um damit anzufangen. Der zum Entschlüsseln benötigte Decryptor/Key kann gegen Zahlung von einem Bitcoin (~360 EUR) erworben werden [6]. Den Daten aus Trend Micros Smart Protection Network zufolge sind Deutschland und Japan am meisten von Locky betroffen: Bild 1: Die weltweite Verteilung der Infektionen mit der Ransomware Locky Seite 3 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten INFEKTIONSWEGE Die Verbreitungswege der Ransomware sind vielfältig. Eines steht fest: Eine Infektion ist nur dann möglich, wenn ein Nutzer eine wie auch immer geartete Datei herunterlädt und ausführt. Über die folgenden Vektoren gelangt Ransomware am häufigsten an seine Opfer: • E-Mail: Sehr häufig ist es eine Mail mit einem infizierten Anhang, die den Schädling mitbringt: Office-Dokumente, pdf-Dateien oder gar Javascripts, die der Empfänger ahnungslos anklickt. Laut derzeitigem Kenntnisstand von Trend Micro erfolgte zumindest der Angriff auf das Lukaskrankenhaus in Neuss über eine Mail mit einem Word-Dokument als Anhang, welches nach dem Öffnen weiteren Schadcode nachlädt. Die Hintermänner von Locky etwa zeigen viel Phantasie, um ihre Opfer zu überrumpeln: Zuerst verbreitete sich der Trojaner ebenfalls nur über eine Mail mit dem Betreff „Rechnung“ und einem infizierten Word-Anhang. Als nächstes wählte er Skript-Dateien, die täuschend echt aussehenden Rechungs-Mails anhängen. Dann tarnte sich der Trojaner als Meldung über den Empfang eines Fax [7]. Mittlerweile kommt er auch in einer Batch-Datei, die Antivirenprogramme austrickst [8]. • Mobilgeräte: Zum Teil gelangte der Schadcode auch auf direktem Wege ins Netzwerk, zum Beispiel über mitgebrachte Mobilgeräte externer Mitarbeiter. • „Drive-By“-Infektion: Wer sich jedoch nur auf den Schutz der Mail konzentriert, ist trotzdem vor Ransomware nicht sicher. Denn Nutzer können auf einen Erpressungs-Trojaner auch bei dem Besuch von eigentlich seriösen Webseiten ist als Verbreitungsweg treffen. ABLAUF EINES ANGRIFFS Bild 2: Ein Angriff mit Ransomware läuft in sechs Schritten ab. Seite 4 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten Der Nutzer erhält eine Spam-Mail mit einem verseuchten Anhang. • Sobald er den Träger (meist Dokument) des Schädlings öffnet, wird er heruntergeladen und auf dem System des Opfers ausgeführt. • Der Crypto-Trojaner erzeugt eine Textdatei mit Zahlungsanweisung (Höhe der Lösegeldforderung, Art der Zahlung – zumeist eine Bitcoin-Transaktion – und der Behauptung, nach Abwicklung der Zahlung, die Dokumente wieder entschlüsseln zu können) und verschlüsselt alle Dokumente des Opfers, auf die er zugreifen kann – sowohl auf dem System als auch in Netzwerkfreigaben. Bild 3: Die Erpressernachricht nach einem Angriff • In einigen Fällen ließ sich auch ein „Selbstzerstörungsbefehl“ des Schädlings beobachten. Das Design der heutigen Ransomware-Varianten setzt auf die mächtigen modernen Verschlüsselungsalgorithmen, deren Ziel es ist, nicht aufgebrochen werden zu können. Das bedeutet aber, dass die damit verschlüsselten Dateien nur noch mit dem zugehörigen Decryption-Key zugänglich sind. Ohne diesen Schlüssel bleiben die Dateien auch nach dem Entfernen der Malware verschlüsselt. Opfer der Erpressersoftware sollten sich nicht darauf verlassen, von ihren Peinigern tatsächlich den befreienden Schlüssel zu erhalten, nachdem sie das Lösegeld gezahlt haben. Das BSI empfiehlt, im Fall eines Angriffs kein Lösegeld zu zahlen, sondern Screenshots mit der Erpressernachricht zu machen und Anzeige zu erstatten. Seite 5 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten GEGENMASSNAHMEN In der Praxis stellen die Angreifer in der Regel sicher, dass idealerweise die eingesetzte Malware nicht von StandardVirenscannern erkannt wird, das heißt, sie wird entsprechend modifiziert, so dass Signaturen in der Regel nicht greifen. Dennoch können sich Anwender und Organisationen gegen die digitalen Erpresser effizient wehren: • Breach Detection-Systeme: Mit so genannten Breach Detection-Systemen ist es möglich, solche Angriffe frühzeitig zu erkennen und sie entweder direkt abzuwehren oder die Ransomware in ihrer Wirksamkeit sofort zu begrenzen. Da diese Systeme mit speziellen Methoden arbeiten, um verhaltensbasierte Analysen durchzuführen, werden diese gefährlichen Angriffe recht einfach erkannt. • Hochentwickelte E-Mail-Lösungen können beispielsweise nicht nur gefährliche und teilweise verschlüsselte Anhänge einer verhaltensbasierten Analyse unterziehen, sondern auch gefährliche Links erkennen. Auf diese Weise kann eine gefährliche E-Mail schon geblockt und unzugänglich gemacht werden, bevor sie den Nutzer erreicht. Wird ein Angriff erkannt, so wird die Mail in der Regel bei einer guten Zusammenarbeit der einzelnen Module einer Sicherheitslösung in „Quarantäne“ gestellt und erreicht im besten Fall den Empfänger gar nicht. • Kommunikation der Sicherheitskomponenten in Echtzeit: Bei einer „Drive-By“-Infektion ist dies unter Umständen nur begrenzt möglich, aber potenzieller Schaden für das Unternehmen kann in der Regel abgewehrt werden, weil der Angriff direkt mit dem Eintritt des Schädlings ins Firmennetzwerk erkannt wird. Ein hoher Integrationsgrad zwischen verschiedenen Teilaspekten einer Lösung (z.B. die Endpoint-Produkte kommunizieren in Echtzeit mit einem Breach Detection-System und einer Firewall und verhindern somit Datenabfluss oder Ausbreitung im Netzwerk) erhöht den Sicherheitsgrad erheblich. Deshalb sollten Unternehmen bei der Auswahl einer Lösung, darauf achten, dass alle eingesetzten Produkte miteinander kombiniert werden können. HANDLUNGSEMPFEHLUNGEN Zusätzlich sind die folgenden Empfehlungen für alle Unternehmen von Bedeutung: • Jedes Unternehmen braucht geschultes Personal, das im Falle eines Angriffs in der Lage ist, adäquat zu reagieren. In der Fachsprache sind dies typischerweise Security Analysten oder so genannte Incident Response Teams. Dazu gehört natürlich auch der entsprechende Incident Response-Prozess, damit bei einem Vorfall die richtigen Schritte eingeleitet werden. • Als probates Mittel haben sich regelmäßige spezielle Security-Analysen und -Audits der Systeme bewährt, um versteckte Malware oder Verbindungen ins Darknet zu entdecken (Breach Detection Systeme sind hierzu auch geeignet). • Schließlich sind die Konzeption, Durchführung & Review von Security Awareness Maßnahmen unerlässlich. • Last but not least gilt es, existierende Backup-Prozesse zu überarbeiten und zu härten, und einen Business ContinuityProzess, sowie einen Business Recovery-Prozess aufzusetzen, um kritische Situationen überstehen zu können. Auch gibt es bestimmte Regeln, die jeder Anwender beachten sollte, um den Erpressern keine Chance zu geben: • In erster Linie ist es dringend zu empfehlen, regelmäßig Backups wichtiger Daten zu erstellen. Dabei sollte das 3-2-1-Prinzip angewendet werden: drei Kopien, zwei unterschiedliche Medien, ein separater Speicherort. CloudSpeicher können einen nützlichen Teil der Backup-Strategie darstellen. • Empfänger einer Mail sollten stets prüfen, wer der Absender ist. Kommen Mails angeblich von einer Bank, lässt sich dort prüfen, ob die empfangene Nachricht legitim ist. Kommt die Mail von einem persönlichen Kontakt, so ist es ratsam zu checken, ob dieser die Nachricht tatsächlich gesendet hat. Die Tatsache, dass ein bekannter Absender vorhanden ist, heißt noch gar nichts, denn dieser Freund oder Verwandte könnte auch Spammern zum Opfer gefallen sein. Seite 6 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten • Auch der Inhalt der Nachricht lässt sich auf offensichtliche Fehler oder Ungereimtheiten prüfen: etwa die Behauptung einer Bank oder eines Freunds, etwas vom Empfänger erhalten zu haben. Deshalb sollte dieser die gesendeten Mails prüfen, ob kürzlich tatsächlich etwas von diesem Konto aus gesendet wurde, was deren Behauptung rechtfertigt. • Es gilt, Links in Mails prinzipiell nicht anzuklicken. Es ist sicherer, Sites, die in einer Mail erwähnt werden, direkt zu besuchen. Ist es dennoch nötig, einen Link in einer Mail anzuklicken, sollte sichergestellt sein, dass der Browser Web-Reputation nutzt, die den Link prüft. • Schließlich ist es wichtig sicherzustellen, dass Programme und Nutzer des Computers nur die Mindestpriviligien haben, die für die Durchführung einer Aufgabe erforderlich sind. BEST PRACTICES: KONFIGURATION VON TREND MICROS LÖSUNGEN Als Best Practices zur Vermeidung von Ransomware-Infektionen bietet Trend Micro OfficeScan und Worry-Free Business Security/Services (WFBS/WFBS-SVC). Trend Micro liefert auch Best Practices für das Konfigurieren des Malware-Schutzes in OfficeScan und Worry-Free Business Security/Services (WFBS/WFBS-SVC). Unternehmen, die eine dieser beiden Lösungen im Einsatz haben, können die folgenden Einstellungen vornehmen: • IT-Admins aktivieren die Funktion Ransomware Protection, die in OSCE 11 SP1 vorhanden ist, um bekanntes Ransomware-artiges Verhalten in der Umgebung des Clients zu vermeiden. • Für Mail-Anhänge gilt, dass häufig bestimmte in den Anhängen als JS- oder HTML-Datei vorhanden sind. Es ist dringend zu empfehlen, diese Dateien zu blocken, entweder über True File Type oder über den Extension-Namen (eg. *.js, *.jse, *.htm, oder *.html). • Im Fall von anderen Arten der Malware-Anhänge gibt es Anleitungen, wie die Anhänge mit Trend Micros MessagingProdukten gefiltert und geblockt werden können. • Für Nutzer von ERS Advance Service (IP-Reputation) lässt sich sicherstellen, dass diese Funktion aktiviert ist und dass QIL mindestens auf Level 2 gesetzt ist. • Für zusätzlichen Schutz vor Social Engineering-Angriffen dient Trend Micros Social Engineering Attack ProtectionFunktion, die in Trend Micros InterScan Messaging Security und Hosted Email Security-Produkte integriert ist. • IMSVA-Nutzern und für den Fall einer Infektion empfiehlt Trend Micro Kunden, eine Policy zu erstellen, in der festgelegt ist, dass die Executables (oder einen bestimmten Dateitypus/Extensions, die für die Übertragung von bestimmter Malware bekannt sind) blockiert und Dokumente sowie zip-Dateien archiviert werden, um sie für weitere Analysen an den Support zu übermitteln: • Blocken von ausführbaren Dateien • Archivieren von doc- und zip-Dateien • Obige Policies werden üblicherweise nach folgenden Regeln aufgesetzt: • Spam-Regel • Antivirus-Regel • Weitere eigene Regeln des Kunden (optional) Ziel ist es, alle bekannten Spam-Mails und bekannte Schadsoftware gleichzeitig zurückzuweisen, eine hochvertrauliche Sample-Datei zu erhalten, die für weitere Analysen an den Support übermittelt wird. Des Weiteren unterstützen verschiedene Versionen von Trend Micros Tool AntiRansomware bei der Erkennung und Beseitigung von Ransomware-Varianten: • AntiRansomware Tool für Geschäftsanwender • Threat Cleaner for GOZ and CryptoLocker for 32-bit systems • Threat Cleaner for GOZ and CryptoLocker for 64-bit systems • AntiRansomware Tool für Endanwender • AntiRansomware Tool 3.0 mit USB für Privatanwender • Housecall (Free Online Virus and Spyware Scan) • Trend Micro Titanium Internet Security (fortschrittlicher Schutz für Privatanwender) Seite 7 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten RESSOURCEN [1] „Ransomware-Dienstleistung für 10% Provision“, 9. November 2015, http://blog.trendmicro.de/ransomwaredienstleistung-fuer-10-provision/ FAZIT Der rasante Anstieg der Angriffe mit Ransomware auf Einzelpersonen und auf Unternehmen in der letzten Zeit deutet darauf hin, dass Online-Erpressung zu der bevorzugten Verdienstmethode der Cyberkriminellen mutiert ist. Auch zeigen die Zahlen, dass Ransomware nahezu die Hälfte der Schadsoftwareangriffe des letzten Jahres ausmachten. Für Verbraucher sind diese Angriffe sehr unangenehm, für Unternehmen können die Auswirkungen zum Desaster werden, weil sie zur Unterbrechung der Geschäftstätigkeiten führen und mit potenziell hohen Kosten verbunden sind. Die gute Nachricht: Ransomware ist kein Schicksalsschlag, und Einzelne wie auch Unternehmen können sich wehren, wenn sie zum Einen bestimmte Regeln im Umgang mit ihrer IT beachten und wenn sie zum Anderen effiziente Sicherheitslösungen einsetzen. Wichtig dabei ist ein hoher Integrationsgrad zwischen verschiedenen Teilaspekten einer Lösung (z.B. die Endpoint-Produkte kommunizieren in Echtzeit mit einem Breach Detection System und einer Firewall und verhindern somit Datenabfluss oder Ausbreitung im Netzwerk). [2] „Ransomware Being Used to Target Specific Data Types“, 26. Januar 2016, http://www.infosecurity-magazine.com/ news/ransomware-being-used-to-target/ [3] Sicherheitsvorhersagen für 2016: Der schmale Grat“, http://www.trendmicro. de/sicherheitsinformationen/forschung/ sicherheitsvorhersagen-2016/index.html [4] „Ransomware-Virus legt Krankenhaus lahm“, 12. Februar 2016, http://www.heise.de/security/meldung/ Ransomware-Virus-legt-Krankenhauslahm-3100418.html [5] „Ransomware Attack Holds Hollywood Hospital Records Hostage for $3.6M“, 15. Februar 2016 http://www.trendmicro. com/vinfo/us/security/news/cyber-attacks/ ransomware-attack-holds-hollywoodhospital-records-hostage-for-3-6m [6] „Neue Crypto-Ransomware Locky nutzt verseuchte Word-Makros“, 19. Februar 2016, http://blog.trendmicro. de/neue-crypto-ransomware-lockynutzt-verseuchte-word-makros/ [7] „Neue Virenwelle: Krypto-Trojaner Locky tarnt sich als Fax“, 24. Februar 2016, http://www.heise.de/security/meldung/ Neue-Virenwelle-Krypto-Trojaner-Lockytarnt-sich-als-Fax-3117249.html [8] „Ransomware Crosses Over from WordPress to Joomla“, 23. Februar 2016, http://www.trendmicro.com/vinfo/us/ security/news/cybercrime-and-digitalthreats/ransomware-crosses-over-fromwordpress-to-joomla TREND MICRO Deutschland GmbH Zeppelinstrasse 1 85399 Hallbergmoos Deutschland Tel. +49 (0) 811 88990–700 Fax +49 (0) 811 88990–799 TREND MICRO Schweiz GmbH Schaffhauserstrasse 104 8152 Glattbrugg Schweiz Tel. +41 (0) 44 82860–80 Fax +41 (0) 44 82860–81 TREND MICRO (SUISSE) SÀRL World Trade Center Avenue Gratta-Paille 2 1018 Lausanne Schweiz www.trendmicro.com © 2016 Trend Micro Incorporated. Alle Rechte vorbehalten. Trend Micro und das Trend Micro T-Ball-Logo sind Marken oder eingetragene Marken von Trend Micro Incorporated. Alle anderen Firmen- oder Produktnamen sind Marken oder eingetragene Marken ihrer jeweiligen Eigentümer. Seite 8 von 8 | Trend Micro White Paper Crypto-Ransomware: Geld oder Daten