Warnung

Transcript

SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil-Göllsdorf Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Warnung vor Verschlüsselungs-Trojanern - __ - Leiten Sie dieses Dokument umgehend an alle Mitarbeiter und Kollegen weiter und sorgen Sie dafür, dass die Informationen beachtet werden! SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil Registergericht: Amtsgericht Stuttgart, HRA 727317     Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seite 1 von 5 IT-Dienstleistungen Netzwerktechnik intelligente Systemlösungen Hard- und Software Aktuelle Information an unsere Kunden SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil-Göllsdorf Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seit einigen Tagen verbreitet sich der Erpressungs-Trojaner Locky rasend schnell, vor allem in Deutschland. Der Schädling verschlüsselt nicht nur Dateien auf dem infizierten Rechner, sondern auch alles, was er über das Netzwerk erreicht und macht auch vor Cloud-Speichern nicht halt. Gegenwärtig gibt es offenbar keine Möglichkeit, die durch den Trojaner verschlüsselten Daten zu retten, ohne dass man das geforderte Lösegeld an die Entwickler zahlt. Deswegen heißt es, Vorsorge betreiben, damit ein Angriff durch Locky & Co. keine allzu schlimmen Folgen hat. Woher kommt die aktuelle Infektionswelle mit Verschlüsselungs -Trojanern? - Obwohl in den meisten Unternehmen umfangreiche Sicherheitsmechanismen wie Virenscanner, Firewalls, IPSSysteme, Anti-SPAM/Antiviren-Email-Gateways und Webfilter im Einsatz sind, registrieren wir aktuell weltweit eine große Anzahl von Infektionen von Unternehmensrechnern mit Verschlüsselungstrojanern wie Cryptowall, TeslaCrypt oder Locky. Im Zuge dieser Infektionen werden Dateien auf Rechnern und Netzlaufwerken verschlüsselt, um die Nutzer dieser Rechner zu erpressen, für das Entschlüsselungswerkzeug einen Geldbetrag von typischerweise 200-500 USD zu zahlen. Laut dem Bundesamt für Sicherheit in der Informationstechnik BSI werden in Deutschland bis zu 17.000 neue Infektionen in einer Stunde gemessen. Eine typische Infektion läuft dabei wie folgt ab: __  Ein Benutzer bekommt eine E-Mail, die angeblich von einem plausiblen Absender stammt, z.B. einem internen Scanner/Kopierer mit angehängtem gescannten Dokument, einem Paketdienst mit angehängten Zustellinformationen oder einem externen Unternehmen mit einer angehängten Rechnung  Der Anhang der E-Mail enthält ein MS Word oder Excel-Dokument mit einem eingebetteten Makro. Wenn der Empfänger das Dokument öffnet, startet automatisch ein Makro, das folgende Aktionen ausführt:  Es versucht, von einer Reihe nur für kurze Zeit existierenden Webadressen, den eigentlichen Verschlüsselungs-Trojaner herunterzuladen. Wenn eine Webadresse nicht erreichbar ist, wird die nächste angesprochen, so lange, bis der Trojaner erfolgreich heruntergeladen wurde.  Das Makro führt den Trojaner aus  Der Trojaner kontaktiert den Command & Control-Server des Herstellers, sendet Informationen über den infizierten Rechner und lädt einen für diesen Rechner individuellen Schlüssel herunter  Mit diesem Schlüssel werden dann Dateien auf dem lokalen Rechner sowie auf allen erreichbaren Netzlaufwerken verschlüsselt. Die Daten sind dann für die Benutzer nicht mehr nutzbar.  Anschließend wird auf dem Desktop dem Benutzer eine Nachricht dargestellt, wie ein Lösegeld innerhalb eines Zeitfensters von z.B. 72 Stunden gezahlt werden kann, um ein passendes Entschlüsselungstool mit dem – nur auf dem System des Angreifers zu findenden –Schlüssel zu erhalten - Dies ist nur ein Beispiel, wie eine solche Infektion ablaufen kann. Andere Schädlinge nutzen teilweise andere/weitere Infektionswege, Verschlüsselungsverfahren und Kommunikationsmechanismen. SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil Registergericht: Amtsgericht Stuttgart, HRA 727317     Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seite 2 von 5 IT-Dienstleistungen Netzwerktechnik intelligente Systemlösungen Hard- und Software Aktuelle Information an unsere Kunden SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil-Göllsdorf Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Warum sind diese Angriffe so erfolgreich? Die Gründe für den Erfolg dieser Infektionen sind vor allem: 1. Art der Angriffe a. b. c. d. __ 2. Situation in den betroffenen Unternehmen a. b. 3. - Hochprofessionell agierende Produzenten der Verschlüsselung-Trojaner. Dazu gehört unter anderem auch, dass nach Zahlung der Erpressungssumme in der Regel tatsächlich ein Werkzeug zur Entschlüsselung bereitgestellt wird. Geschicktes Social Engineering, um den Benutzer zum Ausführen der Installationsroutine des Trojaners zu bewegen (In der E-Mail steht etwas in der Art: „Wenn die Codierung des angehängten Word Dokuments fehlerhaft erscheint, aktivieren Sie bitte die Ausführung von Makros. Das geht wie folgt..“) Nutzung von Technologien zur Infektion, die in vielen Unternehmen zugelassen sind und in denen bösartiger Code leicht verschleiert werden kann (Microsoft Office Makros, JavaScript, VBScript, CHM, Flash, Java) Technologisch fortgeschrittene Schädlinge, die u.a. durch Verschleierungs-mechanismen auf dem infizierten System schwer zu identifizieren sind Fehlendes Sicherheitsbewusstsein bei den Benutzern („Welche Dokumente von wem darf ich öffnen?“, “Wie ist die Prozedur, wenn ein vom Typ eigentlich gesperrtes Dokument empfangen werden muss?“, „Wie erkenne ich eine Phishing-Email?“) Falsche Prioritäten („Wir wissen, dass diese Vorgehensweise nicht sicher ist, aber unsere Leute müssen doch arbeiten..“) Derzeit existiert noch kein verlässlicher Schutz durch Antivirensoftware a. Antivirensoftware erkennt die aktuellen Viren /Trojaner nicht immer. Laut Tests sollen mittlerweile mehrere Anti-Viren Programme Locky erkennen und abwehren können. Welche Programme das wirklich schaffen, ist momentan jedoch noch recht unklar. b. Aktuell muss daher auf das Verhalten der Benutzer geachtet werden. Es ist immens wichtig ALLE Benutzer über die Risiken zu informieren und das unbedachte Öffnen von E-Mail-Anhängen von unbekannten oder zweifelhaften Absendern zu unterbinden. SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil Registergericht: Amtsgericht Stuttgart, HRA 727317     Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seite 3 von 5 IT-Dienstleistungen Netzwerktechnik intelligente Systemlösungen Hard- und Software Aktuelle Information an unsere Kunden SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil-Göllsdorf Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Prioritäten setzen Insbesondere der zuletzt beschriebene Punkt bezüglich der Prioritäten muss hinterfragt werden. Häufig werden mit dem Argument „Sicherheit stört die Benutzer nur, die müssen doch arbeiten“ viele sicherheitstechnisch sinnvolle Maßnahmen nicht umgesetzt. In vielen Fällen trifft das Argument zudem nicht zu, wenn die sicherheitstechnischen Maßnahmen sorgfältig geplant und angepasst an die Situation der Mitarbeiter und des Unternehmens umgesetzt werden. - In manchen Fällen wie dem Empfang per E-Mail und der internen Nutzung von Office-Dokumenten mit Makros muss man sich bewusstmachen, was für das Unternehmen wichtiger ist. Im Zweifelsfall löschen Sie z.B. besser eine Mail mit einer fiktiven Rechnung und frage telefonisch nach falls Ihnen der Absender bekannt vorkommt. Was sollte ich sofort machen? Informieren Sie Ihre Mitarbeiter und Kollegen __ Alle technischen Maßnahmen bringen wenig, wenn die Mitarbeiter sich nicht der potentiellen Gefahren bewusst sind und nicht wissen, wie sie sich in bestimmten Situationen zu verhalten haben. Als Sofortmaßnahme müssen die Mitarbeiter geschult werden, die bei ihrer täglichen Arbeit mit solchen Sicherheitsgefahren und -maßnahmen konfrontiert sind („Wie erkenne ich eine Phishing-E-Mail?“, „Wie kann ich, obwohl Office-Dokumente in E-Mails gesperrt sind, trotzdem mit meinen Geschäftspartnern Daten austauschen?“). DAS WICHTIGSTE: Öffnen Sie KEINE Anhänge von E-Mails mit unbekannter oder zweifelhafter Herkunft Die Infizierung geschieht in der Regel über Spam-Mails, in denen ein Word- oder Excel-Dokument enthalten ist. Es können aber auch andere Dokumentenarten vorkommen. Öffnen Sie das Dokument versehentlich doch (was Sie auf keinen Fall tun sollten!), finden Sie manchmal nur einen kryptischen Text mit einem einzigen leserlichen Hinweis: "Können Sie den Text nicht lesen, sollen Sie die Makros in Word oder Excel aktivieren." - Viren und Trojaner werden ständig verändert und verbessert um deren Erkennung zu erschweren. Die Infektionsmechanismen und die Ursachen können daher unvorhersehbar variieren. Öffnen Sie keine Dateianhänge von Mails, an deren Vertrauenswürdigkeit auch nur der geringste Zweifel besteht. Nehmen Sie sich insbesondere vor Rechnungs-Mails in Acht, die Sie nicht zuordnen können. Konfigurieren Sie Microsoft Office so, dass Makro-Code gar nicht oder erst nach einer Rückfrage ausgeführt wird. Die Vorgehensweise hängt von der verwendeten Office-Version ab. Anleitungen hierfür sind im Internet zu finden oder von uns erhältlich. Starten Sie keine ausführbaren Dateien, an deren Vertrauenswürdigkeit Sie zweifeln. SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil Registergericht: Amtsgericht Stuttgart, HRA 727317     Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seite 4 von 5 IT-Dienstleistungen Netzwerktechnik intelligente Systemlösungen Hard- und Software Aktuelle Information an unsere Kunden SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil-Göllsdorf Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Was sollte ich zusätzlich langfristig machen? Bewusstsein/Schulung der Mitarbeiter Zusätzlich zu den oben beschriebenen Sofortmaßnahmen für Mitarbeiter, die bei ihrer täglichen Arbeit mit solchen Sicherheitsgefahren und -maßnahmen konfrontiert sind, müssen alle Mitarbeiter regelmäßig IT-SicherheitsSchulungen erhalten. Der Erfolg dieser Maßnahmen sollte auch regelmäßig überprüft werden. SWN bietet ITSicherheitsschulungen an. Sprechen Sie uns an. - Infektionsquellen unterbinden Kommunizieren Sie mit allen Beteiligten Mitarbeitern, Kunden, Lieferanten usw. in Zukunft nur noch PDF-Dateien zu akzeptieren. Diese enthalten (wenn es keine getarnten anderen Dateiarten sind!) in der Regel keine ausführbare Schadsoftware. Fremde Geräte im Firmennetzwerk __ Alle Sicherheitsmaßnahmen helfen nichts, wenn ein unbefugt ins Netzwerk eingebrachter Rechner (privates Notebook, Rechner eines Dienstleisters, Firmen-Notebook mit veraltetem Virenschutz) diese Maßnahmen unterwandern kann. Konzeption des IT-Systems Auch wenn sich die Infektion mit Viren und Trojanern nicht immer zu 100% verhindern lässt, kann man doch durch intelligente und durchdachte IT-Konzepte potentiellen Schaden verhindern oder zumindest minimieren. Sprechen Sie uns an. Wir analysieren mit Ihnen Ihre Sicherheitsinfrastruktur und zeigen Ihnen Wege und Risiken auf. Bitte beachten Sie diese Hinweise zu Ihrem eigenen Schutz. Falls Sie Fragen haben stehen wir Ihnen gerne zur Verfügung. Dipl.-Ing. (TU) Armin M. Albrecht SWN (Südwest Network) OHG SWN (Südwest Network) OHG Leo-Sandel-Str. 1 - 78628 Rottweil Registergericht: Amtsgericht Stuttgart, HRA 727317     Tel.: +49 741 175117-0 Fax: +49 741 175117-29 E-Mail: [email protected] Internet: www.swn-it.de Seite 5 von 5 IT-Dienstleistungen Netzwerktechnik intelligente Systemlösungen Hard- und Software Aktuelle Information an unsere Kunden