Nach einer kurzen Pause im Jahr 2022 sind die Ransomware-Angriffe von „ “ ( ) nun mit voller Wucht zurückgekehrt und treffen Finanzinstitute besonders hart.
Im vergangenen Jahr, als Unternehmen verstärkt Sicherheitsmaßnahmen einführten und strenger gegen Hacker vorgingen, die auf Geldzahlungen aus waren, sank die Zahl der erfolgreichen Angriffe um 61 % im Vergleich zu 2021, wie aus einem Bericht von Delinea, einem Anbieter von Zugriffsmanagement-Software, hervorgeht. Zwar hätte kein Sicherheitsfachmann bei klarem Verstand den Kampf gegen diese Bedrohungen als gewonnen erklärt, doch die Zahlen führten zu einem allgemeinen Gefühl des Optimismus, dass die Branche die kostspielige Ransomware-Plage endlich in den Griff bekäme.
Nicht so schnell.
Im März geriet aus verschiedenen Gründen alles aus den Fugen. Corvus Insurance, ein Unternehmen, das Hacker-Beiträge im Dark Web verfolgt, meldete einen Anstieg der erfolgreichen Ransomware-Angriffe um 60 % im ersten Halbjahr 2023 im Vergleich zum Vorjahreszeitraum. Noch besorgniserregender ist, dass das Unternehmen einen Anstieg der Angriffe auf Finanzdienstleistungsunternehmen um 300 % verzeichnete .
Ryan Bell, Manager für Bedrohungsanalyse bei Corvus, ist der Ansicht, dass die Gefahr durch Hackerangriffe wieder zugenommen hat und für Banken und andere Finanzinstitute erhebliche Schäden verursachen könnte.
„Angesichts des Rückgangs der Angriffe im letzten Jahr sind meiner Meinung nach viele Menschen vielleicht etwas zu selbstzufrieden geworden“, sagt er. „Aber Achtung, Spoiler: Nach fünf Monaten in diesem Jahr verzeichnen wir erneut einen Anstieg. „An dieser Stelle bezeichnen wir es also als Trend und nicht als Ausnahme.“
Ungewisse Ursachen
Was treibt diesen Trend an? Herr Bell und andere Sicherheitsexperten können lediglich Spekulationen anstellen. Einige vermuten, dass die Hacker im vergangenen Jahr nicht wirklich besiegt, sondern lediglich durch andere auffällige Sicherheitslücken abgelenkt wurden, die mit dem Krieg Russlands gegen die Ukraine in Verbindung standen. Andere vermuten, dass Verbesserungen an der im Dark Web verkauften Ransomware-as-a-Service-Software „ “ () es Hackergruppen erleichtert haben, Angriffe durchzuführen. Wieder andere verweisen auf Hackergruppen wie „ “ und die russische Gruppe „ CL0P “, die Schwachstellen in gängigen Softwareprogrammen ausnutzen.
„“ Achtung, Spoiler: Fünf Monate nach Beginn dieses Jahres ist erneut ein Anstieg von [Ransomware] zu beobachten. Daher bezeichnen wir dies nun als Trend und nicht mehr als Ausnahmeerscheinung.”Ryan Bell, Leiter des Bereichs „Threat Intelligence“, Corvus Insurance
Auch wenn diese Theorien das Wiederaufleben von Ransomware erklären könnten, könnte der letztgenannte Punkt – dass kriminelle Banden bekannte Sicherheitslücken ausnutzen – der wichtigste sein.
Im Juni, nur eine Woche nachdem das FBI und die Cybersecurity and Infrastructure Security Agency (CISA) davor gewarnt hatten, dass die Gruppe „ CL0P “ eine schwerwiegende Sicherheitslücke in der weit verbreiteten Dateiübertragungssoftware MOVEit entdeckt hatte, startete die Bande einen massiven weltweiten Angriff auf US-Regierungsbehörden, Schulen und Universitäten, Medien wie die BBC, , Millionen von Bürgern in Louisiana, Oregon und Illinois sowie Tausende von Unternehmen. [Seit der Drucklegung dieses Artikels ist die Zahl der Opfer weiter gestiegen. Laut (Stand: Anfang Juli) bekämpfen Berichten zufolge mehr als 200 Organisationen (, darunter das US-Gesundheitsministerium, die UCLA und die multinationale Anwaltskanzlei Kirkland & Ellis) diesen Datenverstoß, von dem die Daten von schätzungsweise 17,5 Millionen Menschen betroffen sind.]
Im Finanzdienstleistungssektor gehörten zu den ersten Opfern Berichten zufolge große US-Finanzinstitute sowie, darunter 1st Source, First National Bankers Bank, Putnam Investments und Umpqua Bank. Im Februar gab CL0P zudem an, eine Zero-Day-Sicherheitslücke vom Typ „ “ im sicheren Dateiübertragungstool „GoAnywhere MFT“ ausgenutzt zu haben, von der mehr als 130 Organisationen betroffen waren. Die Fintech-Bankplattform Hatch Bank gab zu, Opfer dieses Angriffs geworden zu sein.
Maßnahmen ergreifen
Bell weist darauf hin, dass die durchschnittliche Zeitspanne zwischen der Bekanntgabe einer Sicherheitslücke und deren Ausnutzung durch Hacker mittlerweile auf zwei Wochen gesunken ist, was dem Leiter der Abteilung für Informationssicherheit ( ) einer Bank, dem Chief Information Security Officer (CISO) , nicht viel Zeit zur Reaktion lässt. Tatsächlich kommt es manchmal vor, dass Hacker eine Sicherheitslücke bereits ausnutzen, bevor die CISOs die Möglichkeit hatten, diese zu schließen, sagt er.
„[Mehrere] Theorien könnten das Wiederaufleben von Ransomware erklären, doch Banden, die bekannte Sicherheitslücken ausnutzen, könnten dabei die bedeutendste Rolle spielen.“
Unabhängig von der Geschwindigkeit oder den Ursachen solcher Angriffe sind Sicherheitsexperten der Ansicht, dass Finanzinstitute den potenziellen Schaden durch Ransomware durch die Einhaltung dieser fünf vernünftigen Vorsichtsmaßnahmen durchaus auf ein Minimum reduzieren können:
1. Machen Sie sich Ihre Schwachstellen bewusst
Es ist von entscheidender Bedeutung, einen Überblick über die von Ihnen eingesetzten Systeme und Softwareprogramme zu haben und sich über bekannte Sicherheitslücken und Angriffsmethoden auf dem Laufenden zu halten, insbesondere angesichts der zunehmenden Geschwindigkeit dieser Angriffe. Cyber-Versicherer wie „ “ können dabei helfen, so Bell. Tatsächlich führt Corvus regelmäßig (sofern zulässig) Überprüfungen der Kundensysteme durch, um festzustellen, ob Versicherungsnehmer möglicherweise von bekannten Sicherheitslücken betroffen sind, und sie in diesem Fall zu benachrichtigen.
2. Verwenden Sie Tools zur Konfigurationsverwaltung
Jeff Farinich, CISO des Hypothekenanbieters New American Funding, empfiehlt, mithilfe verschiedener Konfigurationsmanagement-Tools sichere Konfigurationen auf Servern und insbesondere auf Endgeräten aufrechtzuerhalten. Zwar besteht stets die Gefahr einer übermäßigen Anzahl von Tools zur Erkennung und Bekämpfung von Bedrohungen ( ), doch kann der Einsatz von zwei oder drei solchen Tools ein umfassenderes Bild Ihrer Sicherheitslage vermitteln.
[Lesen Sie auch: Was ist Konfigurationsmanagement?]
3. Achten Sie auf Patches und Anleitungen
Es wird nicht immer ein Sicherheitspatch verfügbar sein, wenn Sie eine Zero-Day-Sicherheitslücke in den wenigen Wochen nach Bekanntwerden der Schwachstelle beheben müssen. Experten wie Farinich sind jedoch der Ansicht, dass die Einhaltung eines strengen Patch-Zeitplans viele Probleme verhindern kann.
Und bei kritischen Sicherheitslücken ist es bekannt, dass Anbieter Updates veröffentlichen. Selbst wenn ihnen dies nicht möglich ist, geben sie häufig Empfehlungen heraus, wie man mit einer Bedrohung umgehen soll. Im Fall des MOVEit-Exploits empfahl dessen Hersteller, die Progress Software Corp. ( ), zunächst unter , den gesamten HTTP- und HTTPS-Datenverkehr zu MOVEit-Umgebungen zu deaktivieren, bis die Unternehmen einen von ihr entwickelten Patch installieren konnten.
4. Achten Sie auf E-Mails
Hackern gelingt es häufig, Ransomware-Angriffe durchzuführen, indem sie ahnungslose Mitarbeiter dazu verleiten, auf gefälschte E-Mail-Links zu klicken, was ihnen den Weg für ihre illegalen digitalen Aktivitäten ebnet. Tatsächlich werden die Unternehmensverluste im Zusammenhang mit dem „Business Email Compromise“ (BEC) unter dem Deckmantel von „ “ im vergangenen Jahr auf über 10 Milliarden US-Dollar geschätzt; daher ist es von entscheidender Bedeutung, über Anti-Phishing-Systeme zu verfügen.
Investing in employee education and awareness is also important since 82% of data breaches involve the “human element,” according to the Verizon 2022 Data Breach Investigations Report.
5. Verlassen Sie sich nicht ausschließlich auf MFA
Bell warnt zudem davor, darauf zu vertrauen, dass Ihre Multifaktor-Authentifizierung (MFA) unter Sie vor Ransomware-Angriffen schützt. Zwar sind sie im Vergleich zu Passwörtern für das Identitäts- und Zugriffsmanagement um Lichtjahre besser, doch verfügen „Phishing-as-a-Service“-Tools wie EvilProxy und Greatness mittlerweile über leistungsstarke Funktionen zur Umgehung der Multi-Faktor-Authentifizierung (MFA). Kurz gesagt: Die Hacker von „ “ haben „“ angepasst.
„Wenn Sie als CISO im Bankensektor tätig sind, müssen Sie Ihre Anstrengungen verstärken, da die Hürden für Hacker immer niedriger werden, selbst grundlegende Schutzmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) zu umgehen“, sagt Bell.
