Wir nutzen Cookies, um Ihren Besuch auf unserer Website und unseren Service zu optimieren.
Wir betrachten die weitere Nutzung unserer Website als Zustimmung zu der Verwendung von Cookies.
PortalDerWirtschaft.de



Suchmaschinenoptimierung mit PdW
mit Content-Marketing - Ihre News
English

Blick hinter die Kulissen: Mensch versus REvil

Von Sophos Technology GmbH

Das Managed-Threat-Response-Team von Sophos im direkten Schlagabtausch mit REvil-Ransomware

Ein konkreter Fall zeigt, wie die Cyberkriminellen vorgegangen sind, wie das Managed-Threat-Response (MTR)-Team schließlich die Oberhand gewonnen hat und welche Lehren Unternehmen aus dem Vorfall ziehen sollten Die Erpressungssoftware REvil dient den...

Wiesbaden, 30.06.2021 (PresseBox) - Ein konkreter Fall zeigt, wie die Cyberkriminellen vorgegangen sind, wie das Managed-Threat-Response (MTR)-Team schließlich die Oberhand gewonnen hat und welche Lehren Unternehmen aus dem Vorfall ziehen sollten

Die Erpressungssoftware REvil dient den Cyberkriminellen wie viele andere Ransomware-Familien dazu, Daten zu stehlen und zu verschlüsseln, um im Anschluss ein möglichst hohes Lösegeld zu fordern. Was REvil allerdings besonders macht, ist die Art, wie die Ransomware zur Verfügung gestellt wird. Als wäre es ein ganz normales Geschäft, bieten die Macher ihr „Produkt“ als einen Service an, den man sogar leasen kann – daran lässt dich gut erkennen, dass es in den Gefilden der Cyberkriminellen um millionenschwere Geschäfte geht.

Wie die Attacke abläuft und wie man den Kriminellen wirkungsvoll entgegentreten kann, zeigt das aktuelle Beispiel eines Medienunternehmens, bei dem die Erpresser über zwei Millionen Lösegeld forderten. Mit rund 600 vernetzten Geräten, darunter 25 Server und drei Active Directory Domains für den 24/7-Betrieb, war auch dieses Unternehmen ab der COVID-19-Welle angehalten, viele der täglichen Arbeiten in Remote Offices zu verlegen. Externe Arbeitsplätze wurden mit dem Netzwerk verbunden und die Internetanbindung angepasst – alles gut gemeinte Aktionen im Sinne der notwendigen Anforderungen. Doch es öffnete der REvil-Attacke die Tür.

Im Netzwerk eingedrungen, bahnten sich die Verbrecher ihren Weg zu den ungeschützten Geräten und anderen Online-Systemen, installierten ihre Angriffswerkzeuge und nutzten diese, um den Angriff auf weitere Geräte auszudehnen.

Schnelle Eingreiftruppe

Als das Rapid Response Team von Sophos gerufen wurde und den Tatort genau untersuchte war schnell klar, dass die Angreifer bereits eine Reihe von Konten kompromittiert hatten und sich ungehindert zwischen ungeschützten Computern bewegten. Ein genauerer Blick auf die Applikationen zeigte, dass 130 Endpoints mit der Software Screen Connect 130 ausgerüstet waren, das häufig als Kollaborations-Tool für Remote Offices genutzt wird. Tatsächlich wusste das Unternehmen allerdings nichts von diesen Installationen, was darauf hindeutete, dass die Angreifer dieses Tool neben diversen anderen Programmen für ihre kriminellen Zwecke installiert hatten.

Direkter Schlagabtausch

Als die Angreifer begannen, intensiver im Netzwerk zu arbeiten, war ihnen klar, dass man sie vermutlich entdecken und blockieren würde, und dass das MTR-Team hinter ihnen her war. Sie wussten, dass man sie mit verhaltensbasierten Erkennungs-Tools aufzuspüren versuchte und dass CryptoGuard eine Verschlüsselung erkennt und blockiert. Daraufhin versuchten die Angreifer in weitere ungeschützte Endpoints einzudringen, um die Ransomware dort auszuführen.

Der direkte Schlagabtausch zwischen MTR-Team und Angreifer war intensiver und komplexer als üblich, da das Medienunternehmen die meisten Server online halten musste, um die 24/7-Systeme und Übertragungen aufrecht zu erhalten. Schließlich begann der Ansturm zu erlahmen. Am zweiten Tag wurden zwar sporadisch noch eingehende Angriffe entdeckt, aber es war klar, dass der Hauptangriffsversuch vorbei und gescheitert war. Der Sieger in diesem Kampf stand fest: das MTR-Team.

Bilanz und Erkenntnisse

Es hätte deutlich schlimmer kommen können. Das IT-Sicherheitsteam stellte fest, dass sich der Schaden hauptsächlich auf die ungeschützten Geräte und Domänen beschränkte. Die zuvor per Air-Gap (Netzwerksicherheitsoption) geschützte Online-Domäne war komplett zerstört und musste neu aufgebaut werden, ebenso waren die Online-Backups gelöscht Die gute Nachricht: Obwohl die Angreifer es schafften, ins Netzwerk zu gelangen, wurde das Unternehmen nicht völlig lahmgelegt und musste auch kein exorbitantes Lösegeld zahlen.

"In den meisten Fällen findet der Angriff bereits statt, wenn wir gerufen werden. Wir können dann bei der Eindämmung, Neutralisierung und Untersuchung der Nachwirkungen helfen", sagt Peter Mackenzie, Manager Sophos Rapid Response. "Bei diesem Fall wurden wir um Hilfe gebeten und waren vor Ort, als die letzte Phase des Angriffs entfaltet wurde und wir konnten sowohl die anfängliche Entschlossenheit als auch die dann wachsende Frustration der Angreifer verfolgen. Und sie setzten alle verfügbaren Waffen gegen uns ein und schossen aus so vielen Richtungen, wie sie konnten."

Die Experten von Sophos glauben, dass es zwei wichtige Erkenntnisse gibt, die man aus diesem Vorfall mitnehmen lernen kann:

Die erste betrifft das Risikomanagement. Wenn ein Unternehmen Änderungen an einer Umgebung vornimmt, z.B. ein Netzwerk von Air-Gapped auf Online umstellt, wie im Fall dieses Unternehmens, ändert sich das Risiko. Es entstehen neue Schwachstellen, die von den IT-Sicherheitsteams erkannt und beseitigt werden müssen.

Bei der zweiten Erkenntnis geht es um den Schutz von Daten. Das erste kompromittierte Konto bei diesem Angriff gehörte einem Mitglied des IT-Teams. Alle Daten waren gelöscht worden. Das bedeutet, dass wertvolle Informationen, wie z. B. Details des ursprünglichen Einbruchs, die für die forensische Analyse und Untersuchung hätten verwendet werden können, verloren gingen. Je mehr Informationen intakt bleiben, desto einfacher ist es nachzuvollziehen, was passiert ist und um sicherzustellen, dass so etwas nicht wieder passieren kann.

Detaillierte Berichte zu diesem Vorfall und Tippszur generellen Vorbeugung und zum Schutz stehen in diesen englischen Beiträgen:

MTR in Real Time: Hand-to-hand Combat with REvil Ransomware Chasing a $2.5 Million Pay Day

What to Expect When You’ve Been Hit with REvil Ransomware

30. Jun 2021

Bewerten Sie diesen Artikel

Noch nicht bewertet

Teilen Sie diesen Artikel

Keywords

Hinweis

Für den Inhalt der Pressemitteilung ist der Einsteller, PresseBox.de, verantwortlich.

Pressemitteilungstext: 766 Wörter, 6057 Zeichen. Artikel reklamieren

Über Sophos Technology GmbH


Kommentar hinzufügen

Name*
E-Mail*
Institution
Website
Ihr Kommentar*
Bitte lösen Sie 2 + 4

Weitere Pressemeldungen von Sophos Technology GmbH


Neuer Sophos-Report: Weit verbreiteter Raccoon-Stealer nutzt auch Telegram für Crypto-Mining und Crypto-Diebstahl

Erstmals auch Chat-Dienst Telegram für die Befehls- und Kontrollkommunikation eingespannt. Der Raccoon-Stealer wird über Spam und gecrackte Dropper-Installer verbreitet und zudem mit Ransomware und anderer bösartigen Malware kombiniert

05.08.2021
05.08.2021: Wiesbaden, 05.08.2021 (PresseBox) - Sophos hat die neue Studie "Trash Panda as a Service" Raccoon-Stealer Steals Cookies, Cryptocoins and More" veröffentlicht. Thema ist ein Stealer, der als Raubkopie getarnt Kryptowährungen und Informationen erbeutet und gleichzeitig schädliche Inhalte wie Kryptominer auf das Zielsystemen einschleust.„Da ein Großteil des täglichen und beruflichen Lebens heute von web-basierten Diensten abhängt, haben es Cyberkriminelle mit ihrer Malware zunehmend auf gespeicherte Web-Zugangsdaten abgesehen, denn diese bieten ihnen Zugriff auf viel mehr im Vergleich zu... | Weiterlesen

Sophos übernimmt Refactr und optimiert seine Managed-Threat-Response- sowie Extended-Detection-and-Response-Lösungen mit Security-Operation-Automation-and-Response-Funktionen (SOAR)

Mit Refactr automatisiert Sophos seine Adaptive Cybersecurity-Plattform, auf der alle Produktlösungen, Services, Threat Intelligence und der Data Lake des Unternehmens basieren, weiter.

03.08.2021
03.08.2021: Wiesbaden, 03.08.2021 (PresseBox) - Sophos, ein weltweit führender Anbieter von Cybersicherheit der nächsten Generation, gab heute die Übernahme von Refactr bekannt. Das 2017 in den USA gegründete Unternehmen bietet eine vielseitige DevSecOps-Automatisierungsplattform an, die die Lücke zwischen DevOps und Cybersicherheit schließt. Refactr bedient sowohl den privaten als auch den öffentlichen und staatlichen Sektor, darunter das Center for Internet Security und die Platform One der US Air Force.DevOps- und Sicherheitsteams setzen bei der Verwaltung ihrer Umgebungen häufig auf „IT-as-C... | Weiterlesen

26.07.2021: Wiesbaden, 26.07.2021 (PresseBox) -Nutzer werden mit prominenten Spielen wie Minecraft, Fortnite, oder Grand Theft Auto geködertSophosLabs-Untersuchung zeigt, dass das Volumen bösartiger Inhalte auf Discord im Jahresvergleich um 140 % angestiegen istMalware nicht nur für PCs, sondern auch für Android-Geräte gefundenErfolg macht sexy – das sehen augenscheinlich auch Cyberkriminelle so. In einer neuen Untersuchung haben die SophosLabs herausgefunden, dass Discord, ein momentan sehr erfolgreicher Dienst für Sprach-, Video- und Textkommunikation mit weltweit nach eigenen Angaben über 150 ... | Weiterlesen