Die Melde- und Analysestelle Informationssicherung MELANI stellt fest, dass in letzter Zeit vermehrt Schweizer Unternehmen und Organisationen Ziel von Cyberattacken mittels Verschlüsselungstrojanern geworden sind. Dabei werden raffinierte Angriffsmethoden eingesetzt. MELANI zeigt auf, wie Angriffsszenarien ablaufen können und was die Unternehmen zur Vorbeugung unbedingt tun müssen.

Das sind die aktuellen Angriffsweisen auf Unternehmen

•    Angreifer versenden gezielt schädliche E-Mails an Schweizer Unternehmen, um diese mit Ransomware zu infizieren. Diese beinhalten in der Regel einen Link auf eine bösartige Webseite oder einen schädlichen Dateianhang.

•    In einschlägigen Internetforen im Darknet werden Zugänge zu infizierten Computern in Schweizer Unternehmen zum Verkauf angeboten. Diese sind in der Regel mit „Emotet“, „TrickBot“ oder vereinzelt auch „Qbot“ infiziert. Kriminelle Gruppierungen „kaufen“ die infizierten Computer, um das Netzwerk des Opfers grossflächig zu infiltrieren.

•    Angreifer scannen das Internet nach offenen Servern von virtuellen privaten Netzwerken (VPN) und Terminalservern ab und versuchen mittels Brute-Forcing-Angriffen Zugriff auf diese zu erhalten.

Bei allen genannten Vorgehensweisen verwenden die Angreifer weitere Angriffswerkzeuge wie „Cobalt Strike“ oder „Metasploit“, um an die nötigen Zugriffsrechte des Unternehmens zu kommen. Ist dies erfolgreich, wird eine Ransomware (wie „Ryuk“, „LockerGoga“ oder MegaCortex“ auf den Systemen platziert, welche die Daten vollständig verschlüsselt.

Was Unternehmen zur Vorbeugung gegen Cyberangriffe unbedingt tun müssen

•    Regelmässig Backups aller Daten auf einem externen Speicherort vornehmen. Dieser Speicherort muss vom zu sichernden System physisch getrennt sein, damit die gesicherten Daten bei einem Angriff garantiert unversehrt bleiben. Dabei empfiehlt sich laut MELANI das Generationenprinzip, auch Grossvater-Vater-Sohn-Prinzip genannt. Dieses stellt sicher, dass immer mehrere Sicherungen in verschiedenen zeitlichen Abstufungen vorhanden sind, um verschiedene Versionen für eine mögliche Wiederherstellung zur Verfügung zu haben.

•    Bei Cloud-basierten Backuplösungen sollte sicherstellt sein, dass der Provider analog zum klassischen Backup mindestens über zwei Generationen verfügt und dass diese für eine Ransomware nicht zugreifbar sind, indem man für kritische Operationen beispielsweise eine Zweifaktorauthentifizierung verlangt.

•    Die Qualität der Backups muss laufend überprüft werden. Zudem ist das Einspielen von Backups einzuüben, damit im Notfall keine unnötige Zeit verloren geht.

•    Sämtliche Betriebssysteme wie auch alle auf den Computern oder Servern installierten Programme müssen konsequent, wenn möglich automatisch, upgedatet werden.

•    Mit der Zweifaktorauthentifizierung zu schützen sind sämtliche vom Internet erreichbaren Ressourcen: Terminalserver, Remote-Access-Service(RAS)-Zugänge, Zugänge von virtuellen privaten Netzwerken (VPN).

•    Der Empfang von gefährlichen E-Mail-Anhängen ist auf dem E-Mail-Gateway zu blockieren. Dazu zählen namentlich auch Office-Dokumente mit Makros. Eine Liste von zu sperrenden Dateianhängen findet man hier.

•    Man beobachte dauernd die Logfiles der Antivirus-Lösungen auf Unregelmässigkeiten.