Kategorie: Schadsoftware

Cyberkriminelle missbrauchen den Namen SOPHOS für ihre Ransomware „Sophosencrypt“ – ein Ransomware-as-a-Service Produkt.

Das Schadprogramm verschlüsselt nach der Eingabe eines individuellen Tokens und einiger weiterer Informationen entweder einzelne Dateien oder die gesamte Festplatte – je nach Wahl des getäuschten Anwenders. Sollte die Verschlüsselung durch den Schadcode erfolgreich sein, wird in jedem verschlüsselten Verzeichnis eine Datei namens „information.hta“ hinterlassen, die zur Zahlung in Bitcoin auffordert.

Erfreulicherweise identifiziert und blockiert das in die Sophos Endpoint Protection integrierte Produkt CryptoGuard die Ausführung von Sophosencrypt.

Während die Sensibilität in Bezug auf die Verbreitung von Malware über Office-Dokumente mit Makro-Funktionen zugenommen hat und Microsoft diesen Angriffsvektor zunehmend eindämmt, nutzen Angreifer vermehrt bösartige HTML-Anhänge in E-Mails als ihr bevorzugtes Mittel.

Im Grunde besteht die Möglichkeit, dass sich in HTML-E-Mail-Anhängen Schadecode befindet. Obwohl viele Nutzer HTML-Dateien als vergleichsweise harmlos betrachten, können sie dennoch bösartigen Code enthalten. Leider können Firewallsysteme HTML-Anhänge nicht vollständig filtern, da dies die Kommunikation übermäßig beeinträchtigen würde.

Um sich vor Angriffen mit bösartigen HTML-Anhängen zu schützen, sollten bewährte Sicherheitsmaßnahmen beachtet werden. Es ist wichtig, ein hohes Maß an Sensibilisierung und Vorsicht walten zu lassen. Misstrauen Sie E-Mails von unbekannten Absendern oder solchen, die verdächtige Links oder Anhänge enthalten. Seien Sie besonders vorsichtig bei E-Mails, die dringende Handlungen erfordern oder eine erhöhte Aufmerksamkeit erzeugen wollen.

Ein typisches Beispiel für bösartige E-Mail-Anhänge sind Phishing-Attacken. Dabei erhält man eine E-Mail, die scheinbar von einem bekannten und seriösen Anbieter stammt, wie beispielsweise einer Buchungsseite oder einem Paketversender. Der bösartige Link im Anhang führt zu einer Webseite, die der Original-Anmeldemaske des seriösen Anbieters zum Verwechseln ähnlich sieht. Sobald die Anmeldedaten erfasst werden, hat der Kriminelle sein Ziel erreicht.

Aktuellen Studien zufolge enthalten etwa 45% aller HTML-E-Mail-Anhänge Schadecode (Stand: 03/23). Das stellt eine erhebliche Bedrohung dar.

Der effektivste Schutz gegen Schadecode in HTML-E-Mail-Anhängen ist das Bewusstsein der Mitarbeiter. E-Mails von unbekannten Absendern, insbesondere solche mit Anhängen, bergen ein hohes Risiko. Es lohnt sich auch, genauer auf die Absenderadressen zu achten. Ein Beispiel: Die E-Mail-Adresse „service@d4e.kj4445h.com“ gehört sicherlich nicht zum Mailserver des Technik-Konzerns Robert Bosch GmbH.

Zusätzlich bieten leistungsfähige Mailfilter und Sandbox-Funktionen von Firewallsystemen einen wirksamen Schutz. Ein Beispiel dafür ist die XGS-Baureihe des Herstellers Sophos. Des Weiteren kann der Mailserver Nachrichten rigoros ablehnen, wenn diese aus Regionen und Zeitzonen stammen, die bekanntermaßen von Kriminellen als Operationsplattform genutzt werden.

Siehe auch: SOPHOS Sandstorm

Die aktuelle Variante des bekannten Trojaners Emotet verbreitet sich über E-Mails, die sich meist auf Zahlungsströme beziehen. Die täuschend echt gestalteten E-Mails enthalten ZIP-Anhänge mit Office-Dokumenten, die Schadmakros enthalten, die den Schadcode als schädliche DLL (Dynamic Link Library = Funktionsbibliothek) aus dem Internet nachladen.

Emotet ist nicht mehr darauf angewiesen ist, dass der E-Mail-Empfänger die Ausführung der Makros fahrlässig mit „Inhalt aktivieren“ zulässt, stattdessen werden für die E-Mail-Anhänge nun OneNote-Dateien (Software zur Organisation von Notizen von Microsoft) verwendet, für die ein Schutzstatus vorgetäuscht wird – ein Doppelklick auf „Anzeigen“ startet dann ohne weitere Sicherheitsabfrage die Ausführung der Makros und damit die Installation des Trojaners.

Bei Emonet handelt es sich um einen APT (Advanced Persistent Threat), der auf komplexe und zielgerichtete Weise IT-Infrastrukturen angreift.

Nachdem die Malware in der befallenen Infrastruktur aktiv geworden ist, nimmt diese Kontakt mit ihren Command&Control-Servern auf, lädt weitere Schadsoftware nach oder die Angreifer vollenden den Angriff manuell.

Nachdem bereits prominente Opfer wie die Heise-Gruppe, das Kammergericht Berlin sowie der BwFuhrpark-Service
, der auch als Fahrdienst für den Deutschen Bundestag fungiert, Emonet zum Opfer fielen, konnte Anfang 2021 ein ukrainischer Emonet-Betreiber ausgehoben und die Verbreitung weitestgehend gestoppt werden.

Derzeit kommt es zu einem vermehrten Aufkommen von täuschend authentisch formulierten Spam-E-Mails mit dem bereits seit längerem bekannten Trojaner „Emotet“ im Anhang.

Neu ist die noch authentischer wirkende Fälschung der Nachrichten von scheinbar bekannten Absendern. So „kapert“ Emotet auf infizierten Rechnern vergangene E-Mail-Konversationen und Anhänge und nutzt sie zur eigenen Verbreitung an die gespeicherten Kontakte. Die Spam-E-Mails sehen aus, als seien es Antworten auf früher verschickte Nachrichten.

Da die schadhaften E-Mails zunehmend authentischer scheinen, ist es umso wichtiger, auch die potenziellen Einfallstore auf Firmenrechnern zu schließen. Dazu gehört die Deaktivierung von Makro-Funktionen in Microsoft Office Produkten und die Einschränkung der Benutzerrechte.

Unser Infoblatt „6-Regeln“ zeigt die wichtigsten Regeln zur Prävention auf. Sie finden das Infoblatt in unserem Dokumente-Bereich oder direkt hier als PDF.

Eine israelische Spionagesoftware, die unter Experten als das leistungsfähigste Spähprogramm für Smartphones bekannt ist und ebenfalls als Cyberwaffe eingestuft wurde, macht zurzeit erneute Schlagzeilen.

Es handelt sich hierbei um die Spionagesoftware „Pegasus“ der israelischen Sicherheitsfirma NSO Group Technologies, mit welcher ein Kunde uneingeschränkten Zugang zu dem Smartphone seiner Zielperson genießt. Jegliche Chat-Nachrichten können mitgelesen werden, jede App kann geöffnet werden und das Mikrofon, wie auch die Kamera kann nach Belieben aktiviert werden.

Laut NSO Group wurde diese Spionagesoftware zum Zwecke der Fernüberwachung der Smartphones von Terroristen und Kriminellen entwickelt. Des Weiteren wurde die Software angeblich nur an ausgewählte Staaten verkauft, wobei zwingend die Zustimmung des Verteidigungsministerium vorhanden war.

Jüngste Ergebnisse der internationalen Recherchegruppe erwiesen jedoch das Gegenteil.

Auf der Liste der Zielpersonen befanden sich forensisch nachgewiesen Journalisten meinungsbildender Publikationen, hochrangige Politiker, Oppositionelle, wie auch Menschenrechtsaktivisten. 

Es kam verteilt auf 40 Ländern seit 2016 zu ca. 50’000 nachgewiesenen Zielpersonen. 

Zu den Clients der NSO Group zählen unter anderem Mexiko, Marokko, Indien und Ungarn (als einziges Land Europas) – Länder, die häufig für mangelnde Meinungs- und Medienvielfalt kritisiert werden.

Wie kommt Pegasus aufs Smartphone?

Die Spionagesoftware kommt überwiegend über eine fingierte Nachricht inkl. eines korrumpierten Links auf das Smartphone. Allerdings ist es auch möglich das Schadprogramm unbemerkt auf das ausgewählte Smartphone zu laden –  vorausgesetzt es ist eingeschaltet und mit dem Internet verbunden.

Wie überprüft man ob man ein Teil der Pegasus-Attacke ist?

Bislang haben IOS-User einen gewissen Vorsprung im Kampf gegen Pegasus, da hier bereits ein Programm entwickelt wurde, welches Pegasus und andere Schadsoftware aufspüren soll.

Es handelt sich um die kostenlose App Lookout. Ist dies der Fall soll persönlicher Kontakt zu Lookout aufgenommen werden.

Am 27.01.2021 teilten das BKA sowie die Generalstaatsanwaltschaft Frankfurt am Main die erfolgreiche Übernahme der Kontrollserver des Emotet-Botnetzes mit.

Die vom BSI seit 2018 als gefährlichste Schadsoftware der Welt eingestufte Bedrohung wurde somit endgültig abgeschaltet.

Besondere Bekanntheit erlangte Emotet durch Verschlüsselungen der gesamten Infrastruktur von Krankenhäusern, Gerichten und Stadtverwaltungen, sowie unzählige Unternehmen, welche dadurch komplett lahmgelegt wurden. Durch Zahlung eines Lösegeldes konnte man seine Daten wieder freikaufen. In Deutschland alleine entstand durch Emotet ein Schaden i.H.v. mindestens 14,5 Millionen Euro.

Emotet hat seit seinem ersten Auftreten im Jahr 2014 der Öffentlichkeit deutlich gemacht, dass ein umfassender und möglichst auch redundanter Virus- und Malwareschutz in der heutigen Zeit unabdingbar ist. Die Geiselnahme von Geschäftsdaten mit der Androhung der Löschung derselbigen brachte viele Unternehmen an den Rand des Ruins. 

Obschon Emotet nun keine Bedrohung mehr darstellt, so ist zu erwarten, dass mittelfristig neue Bedrohungen erwachsen. Mit den von der Arconda Systems AG präferierten hochwertigen und stets aktuellen Produkten der Marktführer Kaspersky und Malwarebytes ist es sowohl Unternehmen, als auch Privatleuten möglich, Daten zu schützen und bestmöglich einem Schadsoftware-Befall vorzubeugen.

Der Traditions-Juwelier Wempe wurde nach eigenen Angaben am 24.06.2019 Opfer eines Ransomware Angriffes auf die hauseigenen Server. Im Zuge des Angriffes wurden  Firmendaten verschlüsselt und von den Angreifern eine Nachricht sowie eine E-Mail Adresse zur Kontaktaufnahme hinterlegt. Die Erpresser forderten ein Lösegeld und boten als Gegenleistung die Herausgabe eines Passwortes zur Entschlüsselung an.

Auf seiner Webseite gibt der Juwelier an, unmittelbar nach dem Angriff die Hilfe externe Experten für IT-Forensik und IT-Sicherheit hinzugezogen zu haben und bereits ein neues Sicherheitskonzept zu implementieren. 

Laut Hamburger Abendblatt habe der Juwelier schließlich ein Lösegeld in Höhe von mehr als einer Million Euro in Bitcoin an die Erpresser gezahlt und ein Passwort zur Wiederherstellung erhalten. 

Der Fall zeigt deutlich auf, dass die Gefahr, Opfer eines Angriffes mit Verschlüsselungs-Trojanern – auch Ransomware genannt – zu werden noch immer sehr hoch ist. Besonders mittelständische Betriebe stehen im Fokus der Kriminellen.

Da die Angriffe meist aufgrund unachtsamen Umgangs mit E-Mail-Anhängen durch Mitarbeiter gelingen, haben wir ein Info-Blatt bereitgestellt, das die wichtigsten Regeln zum Schutz vor Ransomware zusammenfasst: 6 Regeln für den Schutz vor Ransomware und andere Schadsoftware

Für einen wasserdichten Schutz vor diesen neuartigen Bedrohungen bieten wir mit unserem Partner Sophos eine hochwertige Cloud-Lösung an, die mit ihrer Sandbox-Technologie in der Lage ist, auch zielgerichtete Attacken mit bisher nicht bekannter Schadsoftware abzuwehren Weitere Informationen hierzu Sie auf unserer Portfolio-Seite zu Sophos Sandstorm.

Anfang dieses Monats wurde die IT eines Verwaltungsbezirks des amerikanischen Bundesstaates Georgia durch den Verschlüsselungstrojaner „Ryuk“ komplett lahmgelegt und um 400.000 Dollar erpresst. 

Der Fall zeigt, dass auch ein Jahr nach Auftreten der populären Ransomware „Wannacry“ die Gefahr durch Verschlüsselungstrojaner noch immer aktuell ist. Die Verschlüsselungstrojaner der neuesten Generation heißen Emotet, Cr1ptTor, Hidden Tear oder auch Grandcrab.

Gefährdet sind in erster Linie Windows-Systeme, welche mittels gefälschter Bewerbungsschreiben oder Rechnungen über Dateianhänge infiltriert werden. Manche Ransomware, wie Cr1ptTor, hat es aber auch gezielt auf Netzwerkspeicher von D-Link abgesehen und infiltriert Linux-Systeme. 

Aufgrund des Auftauchens immer neuer Schadsoftware bieten klassische Anti-Viren-Programme, welche Schadsoftware anhand bekannter Signaturen identifizieren, keinen ausreichenden Schutz. 

Wir haben daher für Sie und Ihre Mitarbeiter die wichtigsten Grundregeln im Umgang mit solchen Bedrohungen in einem Merkblatt zusammengefasst: 6 Regeln zur Abwehr von Ransomware & anderer Schadsoftware

Für einen „wasserdichten“ Schutz vor diesen neuartigen Bedrohungen bieten wir mit unserem Partner Sophos eine hochwertige Cloud-Lösung an, die mit ihrer Sandbox-Technologie in der Lage ist, auch zielgerichtete Attacken mit bisher nicht bekannter Schadsoftware abzuwehren. Weitere Informationen hierzu Sie auf unserer Portfolio-Seite: Sophos-Sandstorm