Der neue Malware-Trends-Report des Varonis Forensik-Teams zeigt basierend auf durchgeführten Vorfallsreaktionen, forensischen Untersuchungen und Reverse-Engineering von Malware-Proben die aktuellsten Bedrohungen für Unternehmen und Organisationen weltweit. Die Beobachtungen zeigen eine große Bandbreite an Techniken und Zielen auf: So stellt mit 44 Prozent der untersuchten Vorfällen Ransomware das größte Risiko dar, jedoch zeigen sich auch weitere besorgniserregende Entwicklungen, etwa im Bereich Diebstahl von geistigem Eigentum.
Ransomware Ryuk
Ryuk ist eine Art von Ransomware, die im August 2018 entdeckt wurde und spätestes seit Anfang 2019 auch im deutschsprachigen Raum eingesetzt wird. Ryuk unterscheidet sich von anderen Ransomware-Varianten wie WannaCry dadurch, dass er vor allem bei gezielten Angriffen verwendet wird. Bekannte Ryuk-Varianten haben zwei Hauptinfektionsmethoden: zum einen speziell gestaltete Spear-Phishing-E-Mails, die sich in der Regel an bestimmte Mitarbeiter innerhalb eines Unternehmens richten, und zum anderen die Verwendung vorab erworbener Zugangsdaten für den Zugriff auf Geräte eines Unternehmens über Remote-Desktops. In jüngster Zeit ließ sich beobachten, dass Ryuk auch den Zerologon-Exploit (CVE-2020-1472) ausnutzt, der es den Cyberkriminellen ermöglicht, ihre Privilegien viel schneller als mit anderen Methoden zu eskalieren: Angreifer nutzen das Passwort des primären Domänencontrollers, um sich intern mit den übrigen Domänencontrollern zu verbinden und so die entsprechende Ransomware im Netzwerk zu verteilen.
Silent Librarian APT
Silent-Librarian, auch bekannt als „COBALT DICKENS“ oder TA407, ist ein mutmaßlich staatlich unterstützter iranischer Bedrohungsakteur, der Spear-Phishing-Techniken zum Angriff vor allem auf Universitäten einsetzt, um so akademische Forschungsergebnisse zu erbeuten. Derzeit sind verstärkt Angriffe in den USA zu verzeichnen, jedoch wurden auch schon deutsche Hochschulen attackiert. Hierzu werden speziell Universitätsmitarbeiter und Studenten angegangen. Dabei verwendet Silent-Librarian Domainnamen, die dem echten Domainnamen der Universität sehr ähnlich sind: So wird beispielsweise statt der echten Domäne der Western University Canada (login.proxy1.lib.uwo.ca) eine leicht veränderte und auf den ersten Blick nicht sofort zu erkennende Variante (login.proxy1.lib.uwo.ca.sftt.cf) verwendet. Um den Hosting-Standort zu verbergen, setzen die Angreifer zudem auf Cloudflare. Dies könnte darauf hinweisen, dass die Angreifer nicht in der Lage sind, Hosting-Kapazitäten in anderen, „unauffälligeren“ Ländern zu erwerben.
Banking-Trojaner Mekotio
Mekotio ist ein spezieller Banking-Trojaner, der erstmals 2015 beobachtet wurde. In den letzten Jahren haben Banking-Trojaner bei Cyberkriminellen deutlich an Beliebtheit gewonnen, da sie als Payload eines erfolgreichen Angriffs sehr profitabel sein können. Damit sie nicht von Antiviren- und EDR-Lösungen entdeckt werden, müssen sie sich ständig verändern und weiterentwickeln. Hierfür ist der insbesondere in Lateinamerika verbreitete Trojaner Mekotio ein gutes Beispiel: Offensichtlich werden ständig mehrere Varianten von Mekotio gleichzeitig entwickelt. Die Verbreitung erfolgt zumeist über Spam-Mails, wobei ein mehrstufiger Ansatz verwendet wird. Die Malware verfügt über fortschrittliche Funktionen, mit denen zuerst Firewall-Konfigurationen, Windows-Version, installierte Sicherheitslösungen und mögliche Administratorenrechte des Opfers identifiziert werden können. Neben den üblichen Features wie Keylogging und dem Erstellen von Screenshots enthält Mekotio mehrere interessante Funktionalitäten, wie das Exfiltrieren von im Google-Chrome-Browser gespeicherten Anmeldeinformationen, den Diebstahl von Krypto-Währung durch Ersetzen von Zeichenfolgen in der Zwischenablage und die teilweise Zerstörung von Daten durch Entfernen von Dateien und Ordnern in System-Verzeichnissen. Aufgrund der unterschiedlichen Finanzsysteme in den verschiedenen Ländern sind die Varianten von Banking-Trojanern tendenziell standortspezifisch angepasst. Mekotio ist hier eines von vielen Beispielen. Dennoch sind bereits Varianten außerhalb des ursprünglichen Einsatzgebiets aufgetaucht.
Die häufigsten Angriffsvektoren im Oktober
Mit 43 Prozent der untersuchten Vorfälle stellt Ransomware nach wie vor die größte Herausforderung für Sicherheitsverantwortliche dar. Auf dem zweiten Platz folgt Malware (15 %) gefolgt von Brute-Force-Angriffen, APTs und professionellen Cyberkriminellen sowie die Kompromittierung von Geschäfts-E-Mails (jeweils 14 %).
#Varonis
Weitere Ressourcen
- Zusätzliche Informationen über das Lösungsportfolio von Varonis finden Sie unter www.varonis.de.
- Zudem laden wir Sie ein, unseren Blog zu lesen und sich an den Diskussionen auf Facebook, Twitter, LinkedIn und YouTube zu beteiligen.
