Alles, was Hacker im September brauchten, um in die Computersysteme mehrerer großer Casinos in Las Vegas einzubrechen, war ein sehr überzeugender 10-minütiger Telefonanruf. Aber das ist nur eine Möglichkeit, wie sie schwache menschliche Verbindungen in den Cybersicherheitsketten der Unternehmen ausnutzten, um verheerende Ransomware-Angriffe zu starten.
Die Betrüger dringen zunächst in MGM Resorts, Caesars Entertainment und andere Casino-Netzwerke ein, indem sie einen der ältesten Tricks im Buch verwendeten: sie überzeugten die IT-Helpdesk-Mitarbeiter, dass sie Mitarbeiter waren, die ihre Logins verloren hatten und neue benötigten.
Die Geschichte erfasste Wochenlang Schlagzeilen, da sie solche gigantischen Ziele am Las Vegas Strip sowie enorme Dollarzahlen umfasste. Zum Beispiel berichtete das Wall Street Journal , dass Caesars geschätzte 15 Millionen US-Dollar Lösegeld zahlte , um die Kontrolle über seine Systeme wiederherzustellen. MGM hat in der Zwischenzeit eine Auszahlung abgelehnt und stattdessen mehr als 100 Millionen US-Dollar an Betriebsverlusten verschluckt, während einige Spielautomaten, Sportplatzautomaten, digitale Hotelzimmerschlüssel, Online-Reservierungen und Kreditkartensysteme inaktiv waren.
Das ist sexy Zeug, um sicher zu sein. Aber fast vergraben in der Angriffsabdeckung ist eine hässlichere Offenbarung: dass eine große Ransomware-as-a-Service (RaaS)-Gruppe wahrscheinlich bewaffnete Proxys mit allen Tools, die sie zum Starten dieser Angriffe benötigten, hat.
Tatsächlich hat eine RaaS-Bande namens ALPHV, auch bekannt als BlackCat, Berichten zufolge einem Hacking-Betrieb namens Scattered Spider oder UNC3944 bei ihren Bemühungen geholfen, Geld aus den Casinos im Austausch für einen Anteil an der Beute zu quetschen. So funktioniert RaaS (ausgesprochen „rass“) typischerweise: Kriminelle nutzen ein Everything-as-a-Service (XaaS) -Modell und bieten einfach zu bedienende Hacking-Tools und -Dienste im Dark Web für eine monatliche Pauschalgebühr oder einen Teil aller Gewinne an.
Solche Vereinbarungen sind typisch für diese Cyberkriminellen, so David Bradbury, CISO von Okta, einem Identitäts- und Zugriffsmanagementunternehmen. „Stellen Sie sich diese eher als Geschäftspartner oder verbundene Unternehmen vor“, sagte Bradbury Reuters.
Seit mindestens 2016 wird dieses Geschäftsmodell für Ransomware von Cyber-Gangs übernommen, die ihr Geschäft mit der Art von Präzision und maßgeschneiderten Services ausführen (einige RaaS-Pakete werden mit Kundenservice, Bewertungen, Feature-Updates und Rabatten geliefert), die einen Professor in Wharton stolz machen würden. Das Ergebnis: RaaS ist spektakulär profitabel geworden.
Die Schmerzen beflügeln – was ist Ransomware-as-a-Service und warum ist sie so effektiv?
Diese Arten illegaler Absprachen haben sich herausgestellt, dass sie nicht nur stark zugenommen haben, sondern auch eine Schlüsselrolle bei einem Anstieg der globalen Ransomware-Angriffe im letzten Jahr um fast 40 % gespielt haben, wie ein Bericht von Zscaler, einer Zero-Trust- Plattform, ergab.
„Wäre es Cyberkriminelle, die RaaS verwenden, um Angriffe durchzuführen, die sie sonst möglicherweise nicht selbst starten können.“Deepen Desai, globaler CISO und Leiter der Sicherheitsforschung, Zscaler
„Würden Cyberkriminelle RaaS verwenden, um Angriffe durchzuführen, die sie sonst möglicherweise nicht selbst starten können“, sagte Deepen Desai, globaler CISO und Leiter der Sicherheitsforschung bei Zscaler. „Die große Mehrheit der Ransomware-Gruppen setzt RaaS ein, das sich als effektiv erwiesen hat und zu einer Zunahme der Anzahl von Angriffen pro Jahr führt.“
BlackCat gilt als eine der größten und schädlichsten RaaS-Gangs, auch wenn seine Mitglieder in ihren Teens oder Anfang 20s weitgehend als Gen Zers angesehen werden. Aber auch andere bekannte Akteure haben Organisationen in den letzten Jahren geschädigt, darunter:
- BlackBasta, das vermutlich im letzten Juni hinter einem kostspieligen Ransomware-Angriff gegen die BankCard USA zurückgeblieben ist
- Clop, die Ransomware-Bande, die kürzlich die Schwachstellen der MOVEit-Dateiübertragungssoftware nutzte, um Angriffe zu starten, die mehr als 40 Millionen Menschen und mindestens 600 öffentliche und private Organisationen betreffen
- Karakurt, ein Ableger der berüchtigten Conti-Gang, die sich im letzten Jahr an Gesundheitsorganisationen richtet und damit droht, vertrauliche Patientenakten offenzulegen
- LockBit, das nach Angaben der US-Regierung seit 2020 rund 91 Millionen US-Dollar von US-Unternehmen erpresst hat. Derzeit sucht es ein Lösegeld von CDW, einem der größten Wiederverkäufer der Welt.
RaaS-Banden sind schon lange genug in der Nähe, dass viele der berüchtigtsten Namen bereits eliminiert wurden. Im Januar wurde beispielsweise die Hive RaaS-Gruppe, die angeblich mehr als 100 Millionen US-Dollar von 1 500 Opfern in 80 Ländern zwischen 2021 und 2023 gestohlen hat, infiltriert und von FBI-Agenten aufgenommen. Und letztes Jahr wurden Mitglieder von REvil, der erfolgreichen Bande, die US-Amtsträger sagten, dass sie den Angriff auf die Kolonialpipeline durchführten, der zu einem Kauf von Panikbenzin an der Ostküste führte, in Russland verhaftet.
[Lesen Sie auch: CTI Roundup – FBI und CISA geben eine gemeinsame Beratung für Snatch RaaS heraus]
Trotz solcher Inanspruchnahmen expandieren und drohen kriminelle RaaS-bezogene Aktivitäten weiterhin, die IT-Systeme von Organisationen in den Bereichen Bildung, Bauwesen, Regierung, Gesundheitswesen, Medien, Einzelhandel, Energie, Transport und Finanzdienstleistungen unter anderen Branchen zu beeinträchtigen. Daher sagen Branchenexperten, dass es wichtig ist, wachsam zu bleiben, Vorsichtsmaßnahmen zu treffen und sich anzupassen, da es nicht bald weggeht.
„Ich vermute für mich, es ist einer der größten Treffer von böswilligen Schauspielern“, sagte Kathryn Goldman, CEO von Cybermaniacs, einer Cyber-Awareness-Schulungsberatungsfirma. „Ob es anhält oder mutiert, weiß ich nicht. Aber es scheint sich zu verschlechtern und wir müssen darauf reagieren.“
Vorbereitung auf das Unvermeidliche – um Ransomware-as-a-Service rückgängig zu machen, Ihre Mitarbeiter zu schulen (und neu zu schulen)
Goldman schlägt vor, mit kulturellen Veränderungen zu beginnen, die darauf abzielen, die Mitarbeiter auf das Problem aufmerksam zu machen, um dasselbe Schicksal zu vermeiden wie die Hotel-Casinos in Las Vegas. Vorgestern veröffentlichte Microsoft einen Threat Intelligence-Bericht über ein Cyberkriminalkollektiv von Muttersprachlern in Englisch, die sich an Helpdesk-Mitarbeiter und technische Administratoren richteten und neue Mitarbeiter mit bemerkenswerter Genauigkeit in Bezug auf Dialekt- und Stimm-Tics imitierten, und Sicherheitsmitarbeiter davon überzeugten, Passwörter und Multifaktor-Authentifizierungsmethoden (MFA) zurückzusetzen.
Mitarbeiter müssen sich nicht jede RaaS-Bande auf dem Planeten merken oder gar kennen, zumal sich die Akteure ständig ändern. Eine effektivere Vorgehensweise, sagt Goldman, besteht darin, sie darüber aufzuklären, wie Angreifer heutzutage ihre Psychologien oder Emotionen nutzen, um sie zum Handeln zu zwingen, wie z. B. durch Klicken auf einen Link oder die Bereitstellung von Informationen über das Telefon. Social-Engineering-Techniken wie diese ermöglichen es RaaS-Angreifern, ein Netzwerk zu durchbrechen, seine Assets zu nutzen oder es für ein Lösegeld zu sperren.
„Was Sie versuchen zu tun, ist, alle Ihre Mitarbeiter zu einem reaktionsfähigen Verteidigungsbeauftragten für Ihre Organisation zu machen.“Kathryn Goldman, CEO, Cybermaniacs
„Was Sie versuchen zu tun, ist, alle Ihre Mitarbeiter zu heben, um reaktionsfähige Verteidigungsagenten für Ihr Unternehmen zu werden “, sagt Goldman. „Für RaaS ist es weniger wichtig, sich auf die technischen Merkmale des Risikos zu konzentrieren, als Ihre Psychologie dahingehend zu verschieben, darauf vorbereitet zu sein, zu reagieren, da Ransomware-Angriffe so schnell stattfinden.“
Das bedeutet, dass Sie sich die Zeit nehmen, Mitarbeiter darin zu schulen , wie Phishing- E-Mails oder Vishing-Anrufe zu erkennen und zu melden sind, und regelmäßige Sicherheitsfähigkeitsbewertungen zu entwickeln und durchzuführen.
Das Schlüsselwort ist „regulär“ – Schulungen und Tests sind keine Einzelaufgaben, sondern unternehmensweite (d. h. Postraum-zu-Sitzungsraum-)Operationen, die jährlich oder halbjährlich wiederholt werden.
Digital verteidigen – Tipps zur Verringerung Ihres Ransomware-as-a-Service-Risikos
Zusätzlich zu kulturellen Veränderungen und Schulungen sagt Desai, Organisationen, die versuchen, RaaS-fähige Cyberangriffe zu verhindern, sollten rollenbasierte Zugriffskontrollen (RBACs) genau verwalten, die digitale Leitpläne sind, die entscheiden, auf welche Personen in einem Netzwerk entsprechend ihrer Jobs zugreifen können oder nicht. Gleichzeitig sagt er, Unternehmen sollten die Sicherheit der Transportschicht (TLS) kontinuierlich überprüfen, die die von uns gesendeten Daten verschlüsselt, um sie vor neugierigen Augen zu schützen.
Er fügt hinzu, dass es wichtig ist, auch die Implementierung der Benutzer-zu-Anwendung- Segmentierung zu priorisieren, was die Regelung des Zugriffs zwischen einzelnen Benutzern und bestimmten Anwendungen umfasst, um die Sicherheit zu verbessern und Angriffsflächen zu begrenzen.
„Dies bietet eine effektive Möglichkeit, die laterale Bedrohungsbewegung daran zu hindern, Ihre Kronjuwelenanwendungen zu erreichen und den Strahlradius einzudämmen.“
[Lesen Sie auch: 5 Schritte zur Sicherung der „Kronjuwelen“ Ihrer Organisation an Daten]
Desai sagt, ein weiterer Tipp sei, sicherzustellen, dass Ihre Cybersicherheitsteams in der Lage sind, den gesamten verschlüsselten Datenverkehr zu überprüfen. Mehr als 85 % der Angriffe verwenden verschlüsselte Kanäle, die oft nicht überprüft werden, sagt er. Dies macht es selbst mäßig ausgeklügelten Angreifern einfach, Sicherheitskontrollen zu umgehen und Daten zu stehlen.
Als nächstes ist es unerlässlich, eine konsistente Sicherheitsrichtlinie aufrechtzuerhalten und durchzusetzen, die den Benutzern folgt, unabhängig davon, wo sie sich befinden, sagt Desai. Dazu gehören Dinge wie die Inline-Bedrohungsprüfung (Echtzeituntersuchung des Netzwerkverkehrs auf bösartige Inhalte oder Sicherheitsrisiken, während sie durch ein Sicherheitsgerät oder Gateway verläuft), Sandboxing (wo Sie unsichere oder potenziell bedrohliche Programme innerhalb digitaler Blasen isolieren) und starke FIDO-basierteMFA sowie regelmäßige Sicherheitsupdates.
Mit zunehmender Remote-Arbeit sind diese Sicherheitsmaßnahmen von größter Bedeutung für die Unterstützung einer verteilten Belegschaft, die häufig auf kritische Dateien und Anwendungen in der Cloud zugreift.
Schließlich ist es, so Goldman, auch nützlich, ein Auditsystem einzurichten, um Bereiche einer Organisation zu bestimmen, die am anfälligsten für einen Cyberangriff sind, und zu schätzen, wie sich diese Abteilungsverletzungen auf die gesamte Organisation auswirken könnten.
„Eine Möglichkeit, wie CISOs ihre Köpfe um die verschiedenen Szenarien wickeln können, besteht darin, ihre potenziellen Auswirkungen zu messen, damit sie im Voraus wissen, wie groß das Risiko sein könnte, und es in die richtige Perspektive bringen können“, sagt sie. „Sie müssen einen gezielten, maßgeschneiderten Ansatz verfolgen, wenn Sie auf Angriffe reagieren, und das können Sie nur mit Daten tun.“
