IoT-Botnets und Infostealer haben den Einzelhandel verstärkt im Visier

Netskope Threat Labs hat seinen neuesten Research-Report veröffentlicht, der sich auf Cloud-Bedrohungen im Einzelhandelssektor konzentriert. Der Bericht zeigt, dass IoT-Botnets, Remote-Access-Tools und Infostealer die wichtigsten Malware-Familien waren, die von Angreifern im vergangenen Jahr gezielt im Einzelhandel eingesetzt wurden. In dieser Branche fand im vergangenen Jahr eine Verlagerung von den überwiegend auf Google-Cloud basierenden Anwendungen hin zu Microsoft-Anwendungen wie Outlook statt.

Zu den wichtigsten Ergebnissen gehören:

• Angreifer nutzen Infostealer im Einzelhandel: Infostealer sind eine bekannte Malware-Familie für den Einzelhandel, da die Angreifer hier versuchen, wertvolle Daten wie Zahlungsinformationen von Unternehmen und Kunden zu stehlen.
  • Infostealer sind auch Teil des breiten Ökosystems der Cyberkriminalität, da die Angreifer erbeutete Anmeldedaten und persönliche Finanzdaten verkaufen.

• Botnets und Trojaner zielen auf Netzwerkgeräte ab: Die Mirai-Botnet-Familie richtet sich im Einzelhandel zunehmend gegen ungeschützte Netzwerkgeräte mit Linux-Betriebssystem wie Router, Kameras und andere IoT-Geräte.
  • IoT-Geräte werden oft als Sicherheitsrisiko übersehen, können aber visuelle oder sensorische Informationen liefern, die bei Cyberkriminalität eingesetzt oder sogar für DDoS-Angriffe gegen andere Ziele missbraucht werden können.
  • Ähnlich beliebt waren Remote-Access-Trojaner (RAT), die den Zugang zu Browsern und Remote-Kameras ermöglichen und Informationen an Angreifer senden oder Befehle empfangen.
  • Seit dem Bekanntwerden des Quellcodes der Mirai-Malware hat die Zahl der Varianten dieser Malware erheblich zugenommen. Dies stellt ein Risiko für den Einzelhandel als Branche mit vielen anfälligen Endpunkten dar.

• Microsoft-Suite zunehmend im Visier: Im letztjährigen Bericht waren Google-Anwendungen im Einzelhandel weitaus beliebter als in anderen Branchen. In den vergangenen 12 Monaten haben die Experten allerdings einen erneuten Anstieg der Popularität von Microsoft festgestellt. Dies zeigt sich vor allem im Bereich der Datenspeicherung, wo sich der Abstand zwischen Onedrive und Google-Drive im letzten Jahr vergrößert hat. Der durchschnittliche Prozentsatz der Nutzer von Onedrive stieg von 43 % auf 51 %, während er bei Google-Drive von 34 % auf 23 % fiel. Ein ähnlicher Trend ist bei Outlook (21 %) zu beobachten, das Programm löst Gmail (13 %) als beliebteste E-Mail-Anwendung ab.
  • Microsoft Onedrive ist nach wie vor die beliebteste Cloud-Anwendung für die Verbreitung von Malware in allen Branchen – einschließlich des Einzelhandels. Die Angreifer nutzen das Vertrauen der Nutzer und ihre Vertrautheit mit OneDrive aus, um die Wahrscheinlichkeit zu erhöhen, dass sie auf die Links klicken und die Malware herunterladen.
  • Im Einzelhandel sind Angriffe über Outlook erfolgreicher als in anderen Branchen – der Einzelhandel verzeichnet doppelt so viele Malware-Downloads über Outlook (10 %) wie andere Branchen im Durchschnitt (5 %).

• Die Beliebtheit von Whatsapp im Einzelhandel: Die App war im Einzelhandel wesentlich beliebter (14 %) als in anderen Branchen (5,8 %) – sowohl bei der durchschnittlichen Nutzung als auch bei den Downloads. Allerdings wurde WhatsApp nicht unter den aktuellen Top-Apps für Malware-Downloads aufgeführt. Dies könnte sich ändern, wenn Akteure erkennen, dass die Popularität von WhatsApp den wirtschaftlichen Nutzen rechtfertigt, mehr Angriffe über diese App durchzuführen.
  • Social-Media-Anwendungen wie X (12 %), Facebook (10 %) und Instagram (1,5 % für Uploads) waren im Einzelhandel beliebter als in anderen Branchen im Durchschnitt.

Zu den Ergebnissen sagt Paolo Passeri, Cyber Intelligence Principal bei Netskope:„Es ist überraschend, dass der Einzelhandel immer noch gezielt von Botnets wie Mirai angegriffen wird. Angreifer versuchen, anfällige oder falsch konfigurierte IoT-Geräte in Einzelhandelsgeschäften zu beeinträchtigen und sie zu missbrauchen, um die Wirkung eines DDoS-Angriffs (Distributed Denial of Service) dramatisch zu verstärken. Mirai ist keine besonders neue Bedrohung, und seit der Entdeckung im Jahr 2016 gibt es heute mehrere Varianten, die verwendet werden. Die Tatsache, dass Angreifer Mirai weiterhin nutzen, um IoT-Geräte ins Visier zu nehmen, zeigt, dass zu viele Organisationen die Sicherheitslage ihrer mit dem Internet verbundenen Geräte weiterhin gefährlich vernachlässigen. Dies stellt nicht nur für die Ziele der vom IoT-Botnet ausgehenden Angriffe ein erhebliches Risiko dar, sondern auch für die Organisation, deren IoT-Geräte in das Botnet eingebunden sind, da ihre Ausnutzung leicht zu Ausfällen führen kann, die den Betriebsablauf des Unternehmens beeinträchtigen.“

„Diese Schwachstelle in Verbindung mit dem Einsatz von Infostealern und Fernzugriffs-Malware zum Auslesen von Anmeldeinformationen und Finanzdaten von Kunden macht den Einzelhandel zu einem potenziell lukrativen Ziel.“

„Meiner Meinung nach ist es besonders interessant zu sehen, dass Qakbot zu den Top-Bedrohungen für Einzelhändler gehört, obwohl diese Operation Ende August 2023 vom FBI gestoppt wurde. Die Infrastruktur wurde jedoch schnell von den Angreifern umgerüstet, um zusätzliche Malware-Nutzlasten zu verbreiten. Einige isolierte Qakbot-Kampagnen wurden sogar nach der Zerschlagung entdeckt.“

„Die Tatsache, dass Botnets wie Mirai und Infostealer wie Quakbot nach wie vor zu den wichtigsten Methoden gehören, mit denen Angreifer auf Einzelhandelsunternehmen zielen, zeigt, dass Sicherheitsverantwortliche noch viel zu tun haben, um ihre Infrastruktur und Endgeräte zu sichern. Glücklicherweise kann das Risiko, diesen Angreifern zum Opfer zu fallen, verringert werden, indem grundlegende Best Practices der Cyber-Hygiene befolgt werden, wie z. B. die Überprüfung des Web- und Cloud-Verkehrs und die Sicherstellung, dass bösartiger Verkehr blockiert und kompromittierte Endpunkte oder Domänen isoliert werden können.“

Netskope Threat Labs empfiehlt Unternehmen im Einzelhandel, ihre Sicherheitslage zu überprüfen und gibt mehrere Empfehlungen für Best-Practices, um diesen Bedrohungen zu begegnen:

• Überprüfen Sie alle HTTP- und HTTPS-Downloads, einschließlich des gesamten Web- und Cloud-Datenverkehrs, um zu verhindern, dass Malware in Ihr Netzwerk eindringt.
• Stellen Sie sicher, dass risikoreiche Dateitypen wie ausführbare Dateien und Archive mit einer Kombination aus statischer und dynamischer Analyse gründlich geprüft werden, bevor sie heruntergeladen werden.
• Konfigurieren Sie Richtlinien, um Downloads und Uploads von Anwendungen und Instanzen zu blockieren, die in Ihrem Unternehmen nicht verwendet werden. So kann die Risikooberfläche auf Anwendungen und Instanzen reduziert werden, die für das Unternehmen notwendig sind, und das Risiko einer versehentlichen oder absichtlichen Datenexposition durch Insider oder Missbrauch durch Angreifer wird minimiert.
• Verwenden Sie ein Intrusion Prevention System (IPS), das bösartige Datenverkehrsmuster erkennen und blockieren kann, z. B. Befehls- und Kontrolldatenverkehr im Zusammenhang mit gängiger Malware. Die Blockierung dieser Art von Kommunikation kann weiteren Schaden verhindern, indem die Möglichkeiten des Angreifers zur Durchführung weiterer Aktionen eingeschränkt werden.
• Verwenden Sie die Remote Browser Isolation (RBI)-Technologie, um zusätzlichen Schutz zu bieten, wenn Websites besucht werden müssen, die in Kategorien fallen, die ein höheres Risiko darstellen können, wie neu beobachtete und neu registrierte Domänen.

Info: Der Bericht basiert auf anonymisierten Nutzungsdaten, die über eine Untergruppe im Einzelhandelssektor der mehr als 2.500 Kunden von Netskope gesammelt wurden. Sie alle haben zur Analyse ihrer Daten zugestimmt. Der vollständige Bericht findet sich https://www.netskope.com/de/resources/threat-labs-reports/threat-labs-report-retail-2024hier: 

#Netskope