Seit fast eineinhalb Jahren treibt die Ransomware Maze ihr Unwesen. Bereits im Mai warnte das Sicherheitsunternehmens Sophos in einem Bericht vor den Machenschaften der Cyberkriminellen. Diese begnügen sich nicht damit, die Daten ihrer Opfer zu verschlüsseln, um dann Lösegeld zu fordern. Sie wollen höhere Summen erpressen, deshalb laden sie die Daten ihrer Opfer vor der eigentlichen Attacke herunter und drohen damit, diese zu veröffentlichen, wenn das geforderte Lösegeld nicht gezahlt wird – und dieses bewegt sich mindestens im sechsstelligen Bereich.
Verbreitet wird Maze am häufigsten per E-Mail, wobei sich die Kriminellen extrem geschickt anstellen. Im Herbst vergangenen Jahres gaben sie sich beispielsweise in Deutschland als Bundeszentralamt für Steuern und in Italien als Agencia Entrate, also die italienische Finanzbehörde, aus. Den Angriff in Italien beschreiben die Sicherheitsforscher von Sophos in ihrem Blog am 12. Mai 2020: Die Opfer erhielten eine E-Mail mit einer Aufforderung ein interaktives Dokument auszufüllen, um nicht als Steuerhinterzieher markiert zu werden. Ein Trick, um die Aktivierung von Makros zu erschleichen, damit ein Script innerhalb des Dokuments die Ransomware herunterladen und ausführen kann. Berichten zufolge kamen seither auch Bewerbungen auf reale Stellenanzeigen und angebliche Informationen der WHO zur Corona-Pandemie zum Einsatz, um die Schadsoftware weiter zu verbreiten.
Für ihr typisches Vorgehen, die Daten vor der Verschlüsselung herunterzuladen, müssen die Kriminellen sich schon einige Zeit vor der eigentlichen Attacke in die Netzwerke ihrer Opfer einschleichen. Das birgt das Risiko, dass der Schädling in der Zwischenzeit entdeckt wird – bis jetzt, denn die Cyberkriminellen haben sich bei der Hackergruppe Ragnar Locker einen Trick abgeschaut, der es betroffenen Unternehmen noch schwerer macht, die Malware rechtzeitig zu entdecken. Bei einem Ransomwareangriff, der von den Sicherheitsforschern von Sophos untersucht wurde, hat die Malware eine Virtuelle Maschine genutzt, um sich im Netzwerk ihres Opfers zu tarnen. Bei dieser Technik wird innerhalb eines Computers ein weiterer virtueller Rechner mit eigener Rechnerstruktur eingerichtet, der den Host-Rechner imitiert. In dieser Umgebung konnten die Kriminellen ihre Ransomware in aller Ruhe einrichten und alle erforderlichen Komponenten herunterladen, ohne dass diese im eigentlichen, real existierenden Netzwerk sichtbar waren. Erst als die Verschlüsselung ausgelöst wurde, wurde die Infiltration sichtbar – doch da war es schon zu spät.
Maze war bereits vor den letzten Anpassungen eine sehr erfolgreiche Ransomware-Gruppe, aber die Anpassung ihrer Taktik zeigt, dass die Hintermänner ständig versuchen, neue Wege zu finden, um Angriffe noch erfolgreicher zu machen. Nun ist es für Unternehmen noch schwerer einen Angriff rechtzeitig zu erkennen und entsprechende Schritte einzuleiten. Umso wichtiger sind präventive Maßnahmen, damit die Kriminellen gar nicht erst den Fuß in die Tür bekommen.
Dazu gehören, die Mitarbeiter im Umgang mit eingehenden E-Mails zu schulen und ihnen ein Verständnis für die damit einhergehenden Gefahren z. B. durch Malware zu vermitteln. Aber auch auf technischer Seite können Unternehmen etwas gegen Ransomware machen. So sollte die Verwendung unnötiger Anwendungen blockiert und die Ausführbarkeit von Makros deaktiviert werden. Regelmäßige Updates sowie das zeitnahe Einspielen von Sicherheitspatches sollten ebenfalls zum Standard gehören. Darüber hinaus sollten Mitarbeiter in der IT ihr eigenes Netzwerk verstehen und in und auswendig kennen, denn nur so können sie verdächtiges Verhalten erkennen und geeignete Gegenmaßnahmen einleiten. Da viele kleinere Unternehmen in diesem Bereich nicht über ausreichende Kapazitäten verfügen, bietet sich hier die Beauftragung eines Managed Security Service Providers an, der das Unternehmen mit den entsprechenden Services unterstützt.
Verbreitet wird Maze am häufigsten per E-Mail, wobei sich die Kriminellen extrem geschickt anstellen. Im Herbst vergangenen Jahres gaben sie sich beispielsweise in Deutschland als Bundeszentralamt für Steuern und in Italien als Agencia Entrate, also die italienische Finanzbehörde, aus. Den Angriff in Italien beschreiben die Sicherheitsforscher von Sophos in ihrem Blog am 12. Mai 2020: Die Opfer erhielten eine E-Mail mit einer Aufforderung ein interaktives Dokument auszufüllen, um nicht als Steuerhinterzieher markiert zu werden. Ein Trick, um die Aktivierung von Makros zu erschleichen, damit ein Script innerhalb des Dokuments die Ransomware herunterladen und ausführen kann. Berichten zufolge kamen seither auch Bewerbungen auf reale Stellenanzeigen und angebliche Informationen der WHO zur Corona-Pandemie zum Einsatz, um die Schadsoftware weiter zu verbreiten.
Für ihr typisches Vorgehen, die Daten vor der Verschlüsselung herunterzuladen, müssen die Kriminellen sich schon einige Zeit vor der eigentlichen Attacke in die Netzwerke ihrer Opfer einschleichen. Das birgt das Risiko, dass der Schädling in der Zwischenzeit entdeckt wird – bis jetzt, denn die Cyberkriminellen haben sich bei der Hackergruppe Ragnar Locker einen Trick abgeschaut, der es betroffenen Unternehmen noch schwerer macht, die Malware rechtzeitig zu entdecken. Bei einem Ransomwareangriff, der von den Sicherheitsforschern von Sophos untersucht wurde, hat die Malware eine Virtuelle Maschine genutzt, um sich im Netzwerk ihres Opfers zu tarnen. Bei dieser Technik wird innerhalb eines Computers ein weiterer virtueller Rechner mit eigener Rechnerstruktur eingerichtet, der den Host-Rechner imitiert. In dieser Umgebung konnten die Kriminellen ihre Ransomware in aller Ruhe einrichten und alle erforderlichen Komponenten herunterladen, ohne dass diese im eigentlichen, real existierenden Netzwerk sichtbar waren. Erst als die Verschlüsselung ausgelöst wurde, wurde die Infiltration sichtbar – doch da war es schon zu spät.
Maze war bereits vor den letzten Anpassungen eine sehr erfolgreiche Ransomware-Gruppe, aber die Anpassung ihrer Taktik zeigt, dass die Hintermänner ständig versuchen, neue Wege zu finden, um Angriffe noch erfolgreicher zu machen. Nun ist es für Unternehmen noch schwerer einen Angriff rechtzeitig zu erkennen und entsprechende Schritte einzuleiten. Umso wichtiger sind präventive Maßnahmen, damit die Kriminellen gar nicht erst den Fuß in die Tür bekommen.
Dazu gehören, die Mitarbeiter im Umgang mit eingehenden E-Mails zu schulen und ihnen ein Verständnis für die damit einhergehenden Gefahren z. B. durch Malware zu vermitteln. Aber auch auf technischer Seite können Unternehmen etwas gegen Ransomware machen. So sollte die Verwendung unnötiger Anwendungen blockiert und die Ausführbarkeit von Makros deaktiviert werden. Regelmäßige Updates sowie das zeitnahe Einspielen von Sicherheitspatches sollten ebenfalls zum Standard gehören. Darüber hinaus sollten Mitarbeiter in der IT ihr eigenes Netzwerk verstehen und in und auswendig kennen, denn nur so können sie verdächtiges Verhalten erkennen und geeignete Gegenmaßnahmen einleiten. Da viele kleinere Unternehmen in diesem Bereich nicht über ausreichende Kapazitäten verfügen, bietet sich hier die Beauftragung eines Managed Security Service Providers an, der das Unternehmen mit den entsprechenden Services unterstützt.
