Was tun, wenn Cyberkriminelle zugeschlagen haben?

Ransomware-Attacken haben sich in den letzten Jahren deutlich ausgebreitet und sind ein erfolgreiches Geschäftsmodell für Cyberkriminelle. Der rasante Anstieg ist in Teilen auch auf den Ukraine-Konflikt zurückzuführen. Gelingt ein Ransomware-Angriff, sind häufig komplette IT-Infrastrukturen beeinträchtigt, und Unternehmen drohen nicht nur wirtschaftliche Einbußen, sondern auch erhebliche Image-Schäden.

„Organisationen jeglicher Größe sind Ziel von Ransomware-Angriffen – vom kleinen Familienunternehmen über Mittelständler bis hin zum Großkonzern. Um solchen Attacken vorzubeugen, gilt es präventive Maßnahme zu ergreifen. Dabei können unter anderem Security-Operations-Services-Partner wie Arctic Wolf unterstützen. Wurden entsprechende Maßnahmen nicht ergriffen, und es kommt doch zu einem Vorfall, ist es entscheidend, schnell die nächsten Schritte zu planen und sich mit der Frage „Zahlen oder nicht zahlen?“ zu beschäftigen,“ so Dr. Sebastian Schmerl, Director Security Services EMEA bei Arctic Wolf.

Die ersten kritischen Momente einer Ransomware-Attacke

• Keine überstürzte Reaktion: Sobald Unternehmen auf die Nachricht der Angreifer antworten, starten die Kriminellen einen vordefinierten Prozess, und eine Art Countdown läuft.
• Unterstützung anfordern und Behörden informieren: Auch wenn Unternehmen die Entscheidungen letztlich selbst treffen müssen, bieten Cyber-Defense-Hotlines von Security-Partnern, spezialisierte Berater sowie LKA, BKA, die Zentrale Ansprechstelle Cybercrime (ZAC) und das BSI wertvollen Expertenrat.
• Incident-Response- bzw. Ransomware-Plan folgen: Wenn präventiv ein Notfallplan aufgesetzt wurde, sollte dieser Schritt für Schritt befolgt werden.
• Transparenz schaffen: Das Senior-Management sollte direkt über den Vorfall informiert werden. Das bedeutet, die Lage, nächste Schritte und die benötigte Hilfe erklären.

Die nächsten Schritte nach der Ransomware-Attacke

Der akute Angriff ist nicht der Moment, um die Schuldfrage zu diskutieren. Das Team sollte sich vielmehr auf folgende Kernaufgaben konzentrieren:

1. Stoppen der weiteren Ausbreitung des Vorfalls mithilfe von Incident-Response

• Wie kann im Team kommuniziert werden? (ggf. Einrichtung einer Notkommunikation)
• Wo und inwieweit ist das Unternehmen noch verwundbar? Es ist sehr wahrscheinlich, dass sich die Angreifer noch im Netzwerk befinden!
• Schließen von C&C (Comand-and-Control)-Kanälen, um Angreifer vom eigenen Netzwerk auszuschließen.
• Welche Infrastrukturteile können/müssen isoliert bzw. abgetrennt werden, um weitere Schäden zu verhindern?

2. Feststellung des Schadensausmaßes und der Recovery-Optionen durch IT-Operations-Teams

• Verfügbarkeit der Backups feststellen und diese sofort offline nehmen, um die Verschlüsselung durch Angreifer zu verhindern.
• Welche Services sind betroffen, welche bestehen noch unberührt?
• Welche Daten wurden verschlüsselt?
• Welche Recovery-Aktionen sind erforderlich für den Fall a) wenn Daten wieder entschlüsselt werden können und b) wenn sie dauerhaft verschlüsselt bleiben?

3. Zusammentragen von Threat-Intelligence-Informationen zu Angreifern, Malware und ähnlichen Fällen

• Um welche Ransomware handelt es sich? Gibt es ggf. Entschlüsselungsmöglichkeiten durch Schwachstellen in der Ransomware?
• Gibt es erfolgreiche Entschlüsselungen?
• Welche Angreifergruppe steht hinter dem Vorfall? – Motivation, Methoden, frühere Aktivitäten, Profis oder Anfänger?

4. Aufstellen des Business-Case: Ist die Zahlung des Lösegeldes das insgesamt günstigste Szenario? – und das Treffen der Entscheidung: zahlen oder nicht zahlen?

• Wie hoch ist die Lösegeldsumme, und was ist das Unternehmen bereit zu zahlen?
• Wie lang sind die Ausfallzeiten in beiden Szenarien? Wie umfangreich die Aufwände für den Wiederaufbau (Recovery) und Wiederherstellung bzw. Entschlüsselung der Daten?
• Image- und Reputationsschäden und ggf. Klagen durch betroffene Stakeholder?
• Besteht eine Cybersecurity-Versicherung, die einen Teil der Kosten übernimmt?
• Wichtig ist: Bei Verhandlungen mit Kriminellen, gibt es keine Garantien – auch wenn das Lösegeld bezahlt wird. LKA, BKA und BSI raten zudem von der Zahlung ab, um keine organisierte Kriminalität zu finanzieren.

5. Verhandlungen mit den Angreifern

• Definition der Verhandlungsziele und Aufbringung der Zahlungsmittel.
• Kontaktieren und Verifizierung der Angreifer.
• Höflich bleiben! Angreifer erpressen meist mehrere Unternehmen gleichzeitig, und „schwierige Kunden“ werden auch von Kriminellen schlechter behandelt.
• Beweise anfordern! Mit Free-Keys oder Samples lässt sich überprüfen, ob die Angreifer wirklich den korrekten Schlüssel besitzen. Keys sollten zunächst in einer Sandbox überprüft werden, um auszuschließen, dass es sich auch um maliziöse Payloads handelt.
• Höhe der Zahlung verhandeln, aber niemals sagen, dass man kein Geld hat, sonst verlieren die Erpresser das Interesse. Zudem sind die Angreifer über Geschäftsberichte und Finanzbilanzen häufig gut über die Zahlungsfähigkeit informiert.
• Definition eines gemeinsamen Zeitplans.
• Bezahlen mit Crypto-Währung (1-2 Tage). Achtung: Es besteht immer die Gefahr, dass Unternehmen zahlen und trotzdem keinen Schlüssel von den Betrügern erhalten.
• Lieferung des Schlüssels durch die Erpresser.
• Das durch Angreifer zur Verfügung gestellte Entschlüsselungsprogramm sollte zuvor in der Sandbox geprüft werden, um sicher zu gehen, dass es wirklich entschlüsselt und nicht die Situation noch verschlimmert.

Damit nach dem Ransomware-Vorfall nicht vor dem nächsten ist

Damit die Ransomware-Attacke eine einmalige Angelegenheit bleibt, gilt es nach dem Vorfall einige abschließende Maßnahmen zu ergreifen. So sollten alle Systeme gescannt und bereinigt sowie die Passwörter aller User und technischen Accounts zurückgesetzt werden. Außerdem sollten mögliche Backdoors und Verwundbarkeiten überprüft und geschlossen werden. Ganz egal, ob man sich für oder gegen die Lösegeldzahlung entschieden hat, sollte dem Vorfall außerdem ein intensives Hunting bzw. Public-, Dark-, und Deep-Web-Monitoring folgend, um zu überprüfen, dass tatsächlich keine eigenen Daten veröffentlicht wurden.

#Arctic Wolf