Zusammenfassung

Ransomware-Gruppen greifen laut einer aktuellen Auswertung von Arctic Wolf immer wieder auf ähnliche Methoden zurück. Tags: #Angriffstaktiken | #Schwachstellen

Im Detail

Ransomware-Gruppen greifen laut einer aktuellen Auswertung von Arctic Wolf immer wieder auf ähnliche Methoden zurück.

Die Analyse von Incident-Response-Fällen aus Mai und Juni zeigt, dass vor allem ungeschützte Fernzugänge, Social Engineering und öffentlich bekannte Schwachstellen den Einstieg in Unternehmensnetzwerke ermöglichen.

Für Unternehmen liegt darin zugleich eine wichtige Chance: Wenn sich Angriffsmethoden wiederholen, können typische Muster gezielter überwacht und früher erkannt werden.

Besonders häufig beobachtete das Incident-Response-Team von Arctic Wolf Zugriffe über extern erreichbare Remote-Dienste. Auf dieser Liste folgten Phishing und andere Social-Engineering-Methoden sowie Angriffe auf öffentlich erreichbare Schwachstellen.Damit bleiben Sicherheitsprobleme relevant, die seit Jahren bekannt sind.

Unzureichend abgesicherte Fernzugänge oder nicht rechtzeitig geschlossene Schwachstellen können Angreifern weiterhin den ersten Zugang zu Unternehmenssystemen ermöglichen.

Lösegeldforderungen reichen weit auseinander

Auch bei den finanziellen Forderungen zeigt sich eine große Spannbreite. Die durchschnittliche anfängliche Lösegeldforderung lag im Untersuchungszeitraum bei 1.642.412 US-Dollar. Der Median betrug dagegen 450.000 US-Dollar. Die Differenz deutet darauf hin, dass Ransomware-Gruppen ihre Forderungen offenbar an das jeweilige Opfer anpassen.

Größe des Unternehmens, vermutete Zahlungsfähigkeit und Bedeutung der betroffenen Systeme können dabei eine Rolle spielen.

Für die betroffenen Unternehmen ist die Lösegeldforderung allerdings nur ein Teil des wirtschaftlichen Risikos. Hinzu kommen beispielsweise Kosten durch Produktions- und Betriebsausfälle, die Wiederherstellung von Systemen, forensische Untersuchungen, rechtliche Schritte und mögliche Informationspflichten.

Produktion, Gesundheit und Bau besonders betroffen

Die meisten von Arctic Wolf untersuchten Fälle betrafen Unternehmen aus der Fertigungsindustrie, dem Gesundheitswesen und dem Baugewerbe. In diesen Branchen können Cyberangriffe schnell erhebliche operative Auswirkungen haben.

Produktionsanlagen lassen sich nicht ohne Weiteres ersetzen, im Gesundheitswesen können Ausfälle kritische Abläufe beeinträchtigen und im Baugewerbe können Unterbrechungen laufender Projekte zusätzliche Kosten verursachen.

Der dadurch entstehende Zeitdruck kann wiederum die Erpressungsstrategie der Angreifer begünstigen.

Diese Ransomware-Gruppen wurden häufig beobachtet

Unter den im Untersuchungszeitraum festgestellten Gruppen gehörten Akira, Qilin, PLAY, INC und DragonForce zu den am häufigsten beobachteten Akteuren.

Bei den Angriffsmethoden standen Social Engineering, externe Remote-Zugänge und die Ausnutzung öffentlich erreichbarer Schwachstellen an der Spitze. Damit zeigt sich ein vergleichsweise klares Muster: Die Angreifer benötigen nicht zwangsläufig neue oder besonders ausgefeilte Techniken. Häufig reicht es aus, vorhandene Sicherheitslücken oder Schwächen in der Absicherung auszunutzen.

Wiederholbare Muster erleichtern die Abwehr

Dr. Sebastian Schmerl, Vice President Security Services EMEA bei Arctic Wolf, sieht deshalb vor allem bekannte Schwachstellen als Problem. „Die größte Gefahr besteht heute nicht in unbekannten Angriffsmethoden, sondern in bekannten Schwachstellen, die übersehen oder zu spät behoben werden“, erklärt Schmerl.

Gleichzeitig sieht er in der Wiederholbarkeit der Angriffe einen Vorteil für die Verteidigung. „Weil viele Ransomware-Gruppen immer wieder dieselben Methoden nutzen, lassen sich verdächtige Muster frühzeitig erkennen.“

Für Unternehmen bedeutet das, dass Sicherheitsmaßnahmen nicht nur auf die Reaktion nach einem erfolgreichen Angriff ausgerichtet sein sollten. Eine kontinuierliche Überwachung der Angriffsfläche, eine schnelle Behebung bekannter Schwachstellen und eine konsequente Absicherung externer Zugänge können dazu beitragen, den Angreifern den Einstieg zu erschweren.

Die Auswertung von Arctic Wolf macht damit deutlich: Beim Schutz vor Ransomware kommt es nicht ausschließlich auf neue Sicherheitstechnologien an. Ebenso entscheidend ist es, bekannte Risiken konsequent zu beseitigen, bevor Cyberkriminelle sie ausnutzen können.

(red/Arctic Wolf)

Tags: #Angriffstaktiken | #Schwachstellen