Wenn der Schutz des Normalbürgers nicht gelingt, haben wir versagt
- Cyberkriminelle sind deutlich agiler als unsere Regierungen, Unternehmen und Sicherheitsrichtlinien
- Beim Internet der Dinge, den betrieblichen Sicherheitstools und einem Großteil der Unternehmenssoftware kommt Security immer noch zu kurz
- KI steckt in der Cyberkriminalität aktuell noch in den Kinderschuhen
Geschichte wiederholt sich, doch die Agilität der Angreifenden wächst
Wenn uns die Geschichte etwas gelehrt hat, ist es die Erkenntnis, dass sich viele Dinge wiederholen. Entsprechend wird die Bedrohungslandschaft im Jahr 2024 sehr ähnlich zu der im Jahr 2023 sein – allerdings mit einem entscheidenden Unterschied: Cyberattacken werden noch effizienter und sind vermehrt mit opportunistischen Wendungen verknüpft. Denn Kriminelle haben fast immer nur das schnelle Geld im Sinn und werden weiterhin mit Datenverschlüsselungen oder der Androhung von Datenveröffentlichungen Lösegelder erpressen, um ihren Reichtum zu vermehren.
Wo wir viel Bewegung sehen, ist die Frage, was die kriminellen Aktivitäten am einfachsten ermöglicht und wie variabel die Cyberkriminellen agieren. Jahr für Jahr beobachten wir einen stetigen Wechsel zwischen der Ausnutzung von Zero-Day-Schwachstellen und der Verwendung gestohlener Zugangsdaten, um sich in die Netzwerke der Opfer einzunisten. Wenn eine neue Schwachstelle verfügbar und leicht auszunutzen ist – wie kürzlich zum Beispiel bei Citrix Bleed – dann wird sie auf Teufel komm raus ausgebeutet. Sobald allerdings ein Großteil der potenziellen Opfersysteme gepatcht ist oder bereits kompromittiert wurde, kehren die Angreifer wieder auf die etwas weniger effiziente Methode des Anmeldedatendiebstahls zurück – getreu dem Motto „Wir brechen nicht mehr ein, wir loggen uns ein.“
Lieferketten und „As a Service“-Angebote zunehmend im kriminellen Fokus
Da Unternehmen zunehmend die Multifaktor-Authentifizierung einführen, haben Kriminelle damit begonnen, noch smartere Umgehungsmöglichkeiten zu entwickeln und sich stattdessen zum Beispiel dem Diebstahl von Cookies und Sitzungscookies zugewandt. In Kombination mit bösartigen Proxy-Servern wie Evilginx, Social-Engineering-Angriffen und sogenannten MFA-Fatigue-Angriffen entsteht so eine hocheffektive Angriffsmischung. Gruppen wie LAPSU$ oder Scattered Spider haben mit ihren erfolgreichen Attacken auf große Markennamen 2022 und 2023 die Aufmerksamkeit aller auf sich gezogen und Blaupausen geschaffen, die wahrscheinlich noch mehr Kriminelle dazu inspirieren, sich mit diesen Playbooks in Netzwerke zu schleichen.
Zunehmend im Fokus der Angriffe stehen dabei auch Lieferketten und „As a Service“-Angebote. Schon 2023 erfolgten immer mehr Attacken nicht über das anvisierte Unternehmen direkt, sondern einen Geschäfts- oder Servicepartner. Ob durch die Kompromittierung von Managed Service Providern (MSPs), File-Sharing-Appliances oder durch Authentifizierungsanbieter – manchmal ist der einfachste Weg zum Einbruch die Hintertür. Da Unternehmen eigene Netzwerke weiter härten und gleichzeitig mehr „As-a-Service“-Modelle einführen, können wir davon ausgehen, dass diese indirekten Angriffe 2024 zunehmen.
Noch steckt die KI in der Cyberkriminalität in den Kinderschuhen
Überschaubar ist hingegen (noch) der Einfluss von Künstlicher Intelligenz auf Cyberattacken, während der konkrete Einsatz von KI durch Cyberkriminelle offenbar noch in den Kinderschuhen steckt, diskutieren Bedrohungsakteure bereits intensiv über das Potenzial für Social Engineering. Ein Beispiel dafür ist die aktuelle „Pig Buchtering“-Welle mit Romance Scams. Momentan macht sich die Technologie vor allem in der Verteidigung durch eine effizientere Ausführung der bestehenden Arbeit der Sicherheitsteams bemerkbar. KI ermöglicht eine bessere Erkennung von Anomalien in großen Datensätzen, da die Maschine alle Informationen auf einmal „sehen“ und dabei helfen kann, die Aufmerksamkeit des Menschen auf Dinge zu lenken, die vom Normalen abweichen.
Regierungen werden beginnen (müssen), Gegenmaßnahmen zu ergreifen
Abseits der technologischen Entwicklung gehe ich davon aus, dass Regierungen auf der ganzen Welt substanziellere Maßnahmen ergreifen, um Ransomware-Gruppen entgegenzuwirken. Grund dafür ist, dass das tägliche Leben der Menschen zunehmend beeinträchtigt wird, wenn Krankenhäuser, Schulen, Anwaltskanzleien oder Banken aufgrund von Ausfallzeiten im Zusammenhang mit Cyberangriffen nicht arbeiten können. Wir erreichen einen Punkt, an dem die Menschen anfangen, effektivere Maßnahmen gegen Cyberkriminalität zu fordern. Es ist schwer abzuschätzen, was kommen wird und wie effektiv die Maßnahmen schlussendlich sein werden, aber es würde mich zum Beispiel sehr wundern, wenn nicht einige Länder versuchen würden, Lösegeldzahlungen zu verbieten, da die Ransomware-Epidemie weiterhin hohe wirtschaftliche Kosten mit sich bringt und Millionen in die Kriegskassen der Cyberkriminellen spült.
Wenn der Schutz des Normalbürgers nicht gelingt, haben wir versagt
Der immer größere Einfluss von Cyberattacken auf unser tägliches Leben stellt einen weiteren, wichtigen Erfolgsfaktor in den Fokus: Systeme müssen den Durchschnittsmenschen schützen, ohne dass dieser geschult werden oder darüber nachdenken muss. Wenn das nicht gelingt, haben wir versagt. Der aktuell wichtigste Handlungsbedarf besteht darin, das Passwort abzuschaffen und auf eine Phishing-resistente Authentifizierung wie Passschlüssel umzusteigen. Passschlüssel ermöglichen es einem Benutzer, zum Beispiel einfach den biometrischen Sensor auf seinem Mobilgerät zu verwenden, um sich bei seiner E-Mail, in sozialen Medien oder auf seinem bevorzugten Shop zu authentifizieren. Wenn wir die Komplexität eliminieren und Dinge wie Software-Updates weiterhin automatisierter gestalten, kann sich die breite Öffentlichkeit endlich zurücklehnen, entspannen und ihre Online-Zeit genießen, ohne Angst vor Hackerangriffen haben zu müssen.
Frustrierend niedrige Sicherheit bei IOT-Geräten
Aber auch in der digitalen Welt im Allgemeinen gibt es eine große Sicherheitsherausforderung. Nämlich die Verbreitung von immer mehr vernetzten Geräten und die frustrierend niedrige Qualität der darin enthaltenen Sicherheit. Während beim Schutz unserer Smartphones und Webbrowser große Fortschritte erzielt wurden, kommen solche Vorsichtmaßnahmen beim Internet der Dinge, den betrieblichen Sicherheitstools und einem Großteil der Unternehmenssoftware, von der unsere Welt abhängt, leider immer noch viel zu kurz. Es wird zu wenig in die Sicherung des Open-Source-Software-Ökosystems investiert, das die elementare Basis für unsere Cloud-Dienste und zunehmend jedes Gerät, das wir besitzen, ist.
Das Gesamtproblem besteht darin, dass wir nicht schnell genug vorankommen und die Kriminellen geschickter und agiler sind als unsere Regierungen und Sicherheitsrichtlinien. Unternehmen auf der ganzen Welt unterschätzen ihr Sicherheitsrisiko und investieren zu wenig in die Verbesserung ihrer Cybersicherheitslage.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Die dunkle Seite der Macht: KI in der Cyberkriminalität
„Wir haben im Dark Web zahlreiche Posts über die möglichen negativen Auswirkungen von KI auf die Gesellschaft und die ethischen Implikationen ihres Einsatzes gefunden. Mit anderen Worten: Zumindest im Moment scheint es, dass Cyberkriminelle die gleichen Debatten in Sachen Künstliche Intelligenz führen wie der Rest von uns“, so Christopher Budd, Direktor X-Ops-Forschung bei Sophos.
Sophos hat heute zwei Berichte über den Einsatz von KI in der Cyberkriminalität veröffentlicht. Der Report „The Dark Side of AI: Large-Scale Scam Campaigns Made Possible by Generative AI“ untersucht anhand eines konkreten Fallbeispiels, wie Betrüger in Zukunft Technologien wie ChatGPT nutzen könnten, um mit minimalen technischen Fähigkeiten Betrugsattacken in großem Umfang durchzuführen. Der zweite Bericht „Cybercriminals Can’t Agree on GPTs“ stellt die Untersuchung verschiedener Dark-Web-Foren vor. Die Ergebnisse zeigen, dass einige Cyberkriminelle trotz des Potenzials der neuen Technologie skeptisch gegenüber dem aktuellen Einsatz von Chatbots und anderen KI-Technologien sind.
Die dunkle Seite der KI
Mit einer einfachen E-Commerce-Vorlage und großen Sprachmodell-Tools wie GPT-4 konnte Sophos X-Ops eine voll funktionsfähige Website mit KI-generierten Bildern, Audio- und Produktbeschreibungen sowie eine gefälschte Facebook-Anmeldeseite und eine gefälschte Checkout-Seite erstellen, um persönliche Anmelde- und Kreditkartendaten abzuschöpfen. Für die Erstellung und den Betrieb der Website waren nur minimale technische Kenntnisse erforderlich. Mit demselben Tool war es zudem möglich, innerhalb von Minuten mit nur einem Knopfdruck Hunderte ähnlicher Websites zu erstellen.
„Es ist selbstverständlich und wird entsprechend von uns erwartet, dass Kriminelle zur Automatisierung ihrer Machenschaften auf neue Technologien zurückgreifen, um so effektiv wie möglich agieren zu können“, so Ben Gelman, Senior Data Scientist bei Sophos. „Die ursprüngliche Erstellung von Spam-E-Mails war ein entscheidender Schritt in der Betrugshistorie, da er das Ausmaß des kriminellen Spielfelds maßgeblich veränderte. Die aktuelle Entwicklung in Sachen Künstlicher Intelligenz hat ein ähnliches Potential: Sobald es eine KI-Technologie gibt, die vollständige, automatisierte Bedrohungen erzeugen kann, wird sie zum Einsatz kommen. Die aktuell zu beobachtende Integration generativer KI-Elemente in klassische Betrügereien, etwa durch KI-generierte Texte oder Fotos, um Opfer anzulocken, bildet nur den Anfang.“
Über die Absichten des aktuellen Forschungsprojekts sagt Gelman: „Wir führen das aktuelle Projekt unter anderem deshalb durch, um den Kriminellen einen Schritt voraus zu sein. Durch die Schaffung eines Systems zur groß angelegten Erstellung betrügerischer Websites, das fortschrittlicher ist als die von Kriminellen derzeit verwendeten Tools, haben wir die einzigartige Möglichkeit, die Bedrohung zu analysieren und uns darauf vorzubereiten, bevor sie sich ausbreitet.“
Cyberkriminelle stellen Potential von GPTs & Co. in Frage
Im zweiten Teil seiner KI-Forschungsoffensive untersuchte Sophos X-Ops die Einstellung von Angreifern gegenüber dem Einsatz von KI-Technologien und analysierte dazu vier prominente Dark-Web-Foren hinsichtlich der auf große Sprachmodelle (Large Language Models, LLM) bezogene Diskussionen. Während der Einsatz von KI durch Cyberkriminelle offenbar noch in den Kinderschuhen steckt, diskutieren Bedrohungsakteure auf diesen Plattformen bereits intensiv über das Potenzial für Social Engineering. Ein Beispiel dafür ist die aktuelle „Pig Buchtering“-Welle mit Romance Scams.
Darüber hinaus stellte Sophos fest, dass sich die meisten Beiträge auf zum Verkauf stehende kompromittierte ChatGPT-Konten und „Jailbreaks“ bezogen – Möglichkeiten also zur Umgehung der in LLMs integrierten Schutzmaßnahmen, sodass Cyberkriminelle die Tools für böswillige Zwecke missbrauchen können. Das Forscherteam fand außerdem zehn ChatGPT-Anwendungen, von denen die Entwickler behaupteten, dass sie für Cyberangriffe und die Entwicklung von Malware verwendet werden könnten. Allerdings wurde die Effektivität solcher Tools von Teilen der Dark-Web-Gemeinde stark angezweifelt und zum Teil sogar als Versuch gewertet, mit nutzlosen Programmen zu betrügen.
„Wir haben zwar einige Cyberkriminelle gesehen, die versuchten, mithilfe von LLMs Malware zu erstellen oder Tools anzugreifen, aber die Ergebnisse waren rudimentär und stießen bei anderen Benutzern oft auf Skepsis. Wir haben sogar zahlreiche Posts über die möglichen negativen Auswirkungen von KI auf die Gesellschaft und die ethischen Implikationen ihres Einsatzes gefunden. Mit anderen Worten: Zumindest im Moment scheint es, dass Cyberkriminelle die gleichen Debatten in Sachen Künstliche Intelligenz führen wie der Rest von uns“, so Christopher Budd, Direktor X-Ops-Forschung bei Sophos.
Weitere Informationen zu KI-generierten Betrugswebsites und der Einstellung von Bedrohungsakteuren zu LLMs sind in den kompletten, englischen Berichten „The Dark Side of AI: Large-Scale Scam Campaigns Made Possible by Generative AI“ und „Cybercriminals Can’t Agree on GPTs“ zu finden
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
Cyberkriminelle sind profitgierig, suchen den geringsten Widerstand und jede Hürde trägt dazu bei, dass sie weiterziehen
Eine Wahrheit, die uns dieses Jahr erneut begegnet ist, hat mehr Nuancen als vielleicht erwartet: Nämlich wie faul Cyberkriminelle sind und wie agil sie gleichzeitig werden, wenn es darum geht, schnell auf Situation zu reagieren und von neuen Entwicklungen zu profitieren. Die Fälle, die in den letzten Monaten vom Sophos Incident Response Team bearbeitet wurden, zeigen deutlich, dass die Kriminellen ihr Fähnchen nach dem Wind richten und hauptsächlich zwischen der Verwendung gestohlener Anmeldedaten und der Ausnutzung ungepatchter Schwachstellen hin und her wechseln.
Das ist kein Wunder, denn warum sollten Angreifer sich unnötige Mühe machen und einen schwierigen Weg gehen, wenn ihre potenziellen Opfer es ihnen leicht machen? Ergo ist der einfachste Weg gleichzeitig der beliebteste. Wenn allerdings der Weg des geringsten Widerstands direkt mit der Verfügbarkeit hochkarätiger Exploits zu Beginn des Jahres verbunden war und jetzt deren Seltenheit Kriminelle dazu bewegt, zum Diebstahl von Anmeldedaten überzugehen, hilft uns dieses Wissen, eine effektive Verteidigung aufzubauen.
Erstens sollten wir mehr Zeit darauf verwenden, alle extern anfälligen Systeme zu patchen und zweitens sollten wir eine Multifaktor-Authentifizierung auf allen von außen zugreifbaren Systemen etablieren. Mit jeder zusätzlichen Schutzfunktion können wir die Hürden für Angreifer erhöhen und das in zweifacher Hinsicht. Verteidigungsmaßnahmen schützen nicht nur, sie verursachen bei den Cyberkriminellen auch Kosten und schrecken daher viele Akteure in der stark profitgeprägten Szene ab.
Es gibt keine Zeit zu verlieren
Eine weitere wichtige Erkenntnis aus dem Jahr 2023 ist, dass wir bei der Verteidigung viel weniger oder am besten keine Zeit verlieren dürfen. Die durchschnittliche Zeitspanne, die ein Angreifer benötigt, um in ein Netzwerk einzudringen und die finale Phase seiner Attacke auszulösen, ist von zehn Tagen im Jahr 2022 auf acht Tage in den ersten sechs Monaten des Jahres 2023 gesunken – Tendenz weiter fallend. Daher müssen wir bei der Angriffserkennung und -reaktion noch schneller werden, um die Attacken so früh wie möglich zu unterbinden.
Allerdings haben auch die Cyberkriminellen verstanden, dass Schnelligkeit ein Trumpf für erfolgreiche Angriffe ist. Die Gruppierungen spezialisieren sich daher immer stärker auf bestimmte Teilaufgaben und kooperieren in komplexen Netzwerken, um ihre Ziele so schnell und effizient wie möglich zu erreichen. Erschwerend kommt hinzu, dass sie mit den riesigen gestohlenen Geldsummen immer mehr talentierte Hacker anlocken, um eine Verteidigung zu durchbrechen.
Und täglich grüßt das Einfallstor
Die wichtigste Lektion des Jahres 2023 ist, dass vieles, was falsch war, immer noch falsch ist. Zwar konnten wir einige wichtige Probleme, wie zum Beispiel das Ausnutzen von Flash und Java zur Kompromittierung von PCs oder die fehlende Internetverschlüsselung durch die fast flächendeckende TLS-Nutzung lösen, aber leider gibt es immer noch zu viele leichte Ziele und Einfallstore für die Cyberkriminellen.
Wenn wir bildlich gesprochen Türen und Fenster unverschlossen lassen, müssen wir uns nicht wundern, wenn Eindringlinge plötzlich im Wohnzimmer stehen. Die Schritte, die unternommen wurden, um gemeinschaftlich unsere Sicherheit verbessern, funktionieren erwiesenermaßen. Jetzt müssen wir auf diesen Erfolgen aufbauen und es für Kriminelle immer schwieriger und kostspieliger machen, ihre Ziele zu realisieren. Entscheidende Erfolgsfaktoren dabei sind das schnelle und vollständige Patchen aller Systeme, eine starke Nutzer-Authentifizierung sowie effektive Überwachungs- und Wiederherstellungsservices rund um die Uhr.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Automated Moving Target Defense (AMTD): Wegweisend für moderne IT-Sicherheit
AMTD auf dem Endpoint
Sophos setzt AMTD-Technologien am Endpoint ein und stellt damit den Angreifern Barrieren auf, um die Bedrohungen automatisch abzufangen beziehungsweise zu eliminieren. Neben der Reduzierung der Bedrohungsoberfläche, der Verhaltensanalyse und dem Einsatz von Deep-Learning- beziehungsweise AI-Modellen verbessert AMTD die Anwendungssicherheit durch das Erstellen von bedrohungsagnostischen Barrieren für jeden Prozess. Das Resultat: Für Software wird es schwieriger Code auszuführen, der nicht originärer Teil der Anwendung ist. Damit wird insbesondere Malware an ihrer Ausführung gehindert. Zu AMTD-Schutztechnologien gehören:
1. Adaptive Attack Protection (AAP)
Adaptive Attack Protection (AAP) erkennt die Anwesenheit eines aktiven Angreifers auf zwei Arten: Erstens durch die Verwendung gängiger Angriffs-Toolkits und zweitens durch Kombinationen aktiver bösartiger Verhaltensweisen, die auf das Anfangsstadium eines Angriffs hindeuten. Sobald ein aktiver Angriff auf einem Endpoint erkannt wird, aktiviert AAP vorübergehende Einschränkungen. Ein Beispiel ist die Verhinderung eines Neustarts im abgesicherten Modus, welche Angreifer beispielsweise nutzen, um die Erkennung zu umgehen.
2. Randomisierung
Wenn beispielsweise eine Dynamic Link Library (DLL) einer Anwendung stets vorhersehbar an derselben Speicheradresse geladen wird, ist es für Angreifer einfacher, Schwachstellen auszunutzen. Zwar können Entwickler während der Kompilierung die Adressraum-Layout-Randomisierung (ASLR) aktivieren, wodurch die Adressen einmal pro Neustart randomisiert werden, doch kann jede Software von Drittanbietern, die keine ASLR enthält, diese Strategie untergraben. Sophos verbessert die Sicherheit von Anwendungen, indem es sicherstellt, dass jedes Modul bei jedem Start der Anwendung an einer zufälligen Speicheradresse geladen wird und damit die Komplexität eines möglichen Angriffs erhöht.
3. Täuschung
Angreifer versuchen oft, ihren schädlichen Code durch Verschleierung vor Datei- und Speicherscannern zu verbergen. Allerdings muss die Verschleierung von bösartigem Code fallen, bevor er auf dem Computer ausgeführt werden kann. Dieser Prozess ist in der Regel auf bestimmte Betriebssystem-APIs angewiesen. Sophos platziert strategisch Täuschungselemente, die speicherbezogene APIs imitieren, die von Angreifern häufig zur Initialisierung und Ausführung ihres schädlichen Codes verwendet werden. Diese bedrohungs- und code-agnostische Verteidigung kann schädlichen Code unterbrechen, ohne gutartige Anwendungen zu behindern.
4. Begrenzung
Um Abwehrmaßnahmen zu umgehen, wird bösartiger Code in der Regel verschleiert und oft über gutartige Anwendungen transportiert. Vor der Ausführung eines verdeckten Codes muss die Bedrohung ihre Verschleierung aufheben, was zur Schaffung eines für die Ausführung von Code geeigneten Speicherbereichs führt und somit eine CPU-Hardwareanforderung darstellt. Die zugrundeliegenden Befehle, die zur Erstellung eines codefähigen Speicherbereichs erforderlich sind, sind derart kurz, dass sie allein nicht ausreichen, um von Schutztechnologien als bösartig eingestuft zu werden. Bei einer Blockierung solcher Befehle würden zwangsläufig auch gutartige Anwendungen nicht mehr funktionieren. Sophos Endpoint führt eine eindeutige Historie, verfolgt die Eigentümerschaft und korreliert Zuweisungen von codefähigem Speicher über Anwendungen hinweg. Dadurch sind neuartige Schutzmaßnahmen auf solch niedriger Ebene möglich und sinnvoll einsetzbar.
5. Härtung
Sophos verhindert die Manipulation von Prozessen, indem es Barrieren um die sicherheitssensiblen Speicherbereiche jeder Anwendung errichtet. Beispiele für sensible Speicherbereiche sind der Process Environment Block (PEB) oder der Adressraum von sicherheitsrelevanten Modulen wie dem Anti-Malware Scan Interface (AMSI). Angreifer, die darauf abzielen, die Identität eines gutartigen Prozesses anzunehmen, verstecken Befehlszeilenparameter, deaktivieren oder führen beliebigen Code im eigenen (oder im Adressraum eines anderen Prozesses) aus und manipulieren regelmäßig Code oder Daten innerhalb dieser sensiblen Bereiche. Durch die Abschirmung dieser Prozesse werden generisch eine Vielzahl bestehender und zukünftiger Angriffstechniken beendet und entlarvt.
6. Leitplanken
Sophos installiert sogenannte Guardrails (Leitplanken) um eine Code-Ausführung herum. Dadurch wird verhindert, dass die Code-Ausführung zwischen einzelnen Code-Abschnitten fließt und in einen Adressraum eindringt, der zwar Teil der ursprünglichen Anwendung ist, aber nur Daten enthalten soll. Außerdem werden aktiv APC-Injektion und die Nutzung verschiedener anderer Systemfunktionen verhindert, die nicht von legitimen Anwendungen verwendet werden.
„Wenn AMTD richtig eingesetzt wird, stellt es eine unschätzbare Verteidigungsschicht gegen Advanced Persistent Threats (APTs), auf Exploits basierende Angriffe und Ransomware dar“, so Michael Veit, Cybersecurity-Experte bei Sophos. „AMTD-Technologien auf dem Endpoint verbessern die Widerstandsfähigkeit aller Anwendungen automatisch, ohne dass eine Konfiguration, Quellcode-Änderung oder Kompatibilitätsprüfung erforderlich sind. Automatisierte und orchestrierte Cybersecurity-Strategien setzen die Messlatte für Angreifer höher, da sie die Unklarheiten für die Angreifer erhöht und Attacken damit zeitaufwendiger geplant werden müssen.“
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Studie zum Einsatz von Cyber Security as a Service (CSaaS)
- 46 Prozent der Unternehmen setzen bereits auf Cyber Security as a Service (CSaaS)
- 35 Prozent befinden sich in der Implementierung
- Ein entscheidender Grund ist die 24/7-Überwachung
Für Unternehmen ist Cybersecurity in den letzten Jahren zu einem erfolgskritischen Faktor geworden. Die voranschreitende digitale Transformation, eine zunehmende Vernetzung von IT-Infrastrukturen sowie die stetige Professionalisierung der Cyberkriminalität bieten den Angreifern gute Bedingungen, um neue Angriffsvektoren zu identifizieren und Unternehmen zu attackieren.
Unternehmen können mithilfe externer Unterstützung durch Cyber Security as a Service (CSaaS) einen maßgeblichen Teil ihrer Cybersicherheit auslagern und den bestehenden Schutz der IT-Infrastruktur optimieren und modernisieren. Inwieweit Unternehmen diese Möglichkeiten bereits nutzen und aus welchen Gründen sie sich dafür oder auch dagegen entscheiden, hat Sophos im Rahmen einer Studie, die Techconsult im Auftrag ausgeführt hat, untersucht. 200 IT-Verantwortliche und -Entscheider aus deutschen Unternehmen mit 100 bis 999 Beschäftigten und aus unterschiedlichen Branchen sind dafür befragt worden.
Besonders Banken und Versicherungen setzen bereits auf Cyber Security as a Service
67 Prozent der befragten Unternehmen wurden in den vergangenen 24 Monaten Opfer von Cyberangriffen. Durch Cyber Security as a Service können Unternehmen ihre IT-Infrastruktur nicht nur reaktiv, sondern auch proaktiv gegen mögliche Angriffe zusätzlich schützen. So ist beispielsweise proaktives Threat Hunting eine optimale Ergänzung zu technischen IT-Security-Maßnahmen. Es zeigt sich, dass zahlreiche Unternehmen die Vorteile dieses Service-Modells schon für sich nutzen. So beziehen bereits 46 Prozent der befragten Unternehmen CSaaS, wobei dieser Anteil bei den Banken und Versicherungen (71 Prozent) besonders ausgeprägt ist. Darüber hinaus tendieren Unternehmen mit einer Größe von 500 bis 999 Mitarbeitern (51 Prozent) stärker zur Nutzung von CSaaS im Vergleich zu Unternehmen, die zwischen 100 und 249 Beschäftigte haben (45 Prozent).
Mehr als ein Drittel der befragten Unternehmen (35 Prozent) wiederum befinden sich gegenwärtig in der Implementierung von CSaaS, und weitere 13 Prozent planen den Einsatz in den nächsten 12 Monaten. Hier wird deutlich, dass viele Unternehmen aktiv in die Modernisierung ihrer IT-Security-Infrastrukturen investieren.
Jedes vierte Unternehmen hat CSaaS nach einem Sicherheitsvorfall implementiert
Unterschiedliche Faktoren sind ausschlaggebend für eine Entscheidung über den Einsatz von Security-Services. Die zentralen Beweggründe, die Unternehmen zum Einsatz oder zur geplanten Implementierung von CSaaS nennen, werden angeführt von der Möglichkeit der 24/7-Überwachung. Für über 45 Prozent der befragten IT-Verantwortlichen ist dieses der entscheidende Faktor.
Die steigende Komplexität von IT-Sicherheitsrisiken stellt für 41 Prozent der Unternehmen einen wichtigen Grund für den Einsatz von CSaaS dar. So werden IT-Infrastrukturen mit immer komplexer werdenden Sicherheitslücken und Angriffen konfrontiert und müssen mit diesen umgehen. Dies führt zwangsläufig zur Notwendigkeit von präventiven IT-Sicherheitsstrategien, die von 40 Prozent der befragten IT-Verantwortlichen ebenfalls als ein Grund für CSaaS genannt werden. Hier wird ein Wandel von reaktiven Security-Ansätzen zu einem proaktiven Vorgehen sichtbar. Durch proaktives Threat Hunting können Unternehmen zudem häufig Sicherheitsverletzungen abwenden, noch bevor diese tatsächlich eintreten; für 35 Prozent der Unternehmen sind schnelle Reaktionen auf Sicherheitsvorfälle daher mitentscheidend, und 35 Prozent wünschen sich eine Entlastung der eigenen IT-Abteilung (35 Prozent).
Zudem hat jedes vierte befragte Unternehmen (25 Prozent) CSaaS nach einem spezifischen
Sicherheitsvorfall implementiert. Als Resultat verzeichneten 70 Prozent dieser Unternehmen eine signifikante Verbesserung ihrer IT-Sicherheit und konnten seither keine weiteren Sicherheitsvorfälle feststellen. Ein weiterer Beleg dafür, dass externe Cyber Security-Leistungen vor Sicherheitsvorfällen schützen und die internen Teams unterstützen und ergänzen können.
Doch nicht alle sind überzeugt
Einige Unternehmen zeigen sich trotz aller möglichen positiven Effekte durch den Einsatz von CSaaS noch zögerlich, sich einen zusätzlichen IT-Sicherheitsservice von einem externen Dienstleister einzukaufen. Die Gründe hierfür sind unterschiedlicher Natur.
Von den befragten Unternehmen, die CSaaS nicht nutzen, führen 43 Prozent eine bereits umfassend gesicherte IT-Infrastruktur als Grund an. Weitere 36 Prozent sehen keinen Mehrwert im Vergleich zu ihrer bestehenden Infrastruktur, während ebenfalls 36 Prozent Bedenken hinsichtlich einer hohen Abhängigkeit von externen Dienstleistern äußern.
Social Media von Sophos für die Presse
Wir haben speziell für Sie als Journalist*in unsere Social-Media-Kanäle angepasst und aufgebaut. Hier tauschen wir uns gerne mit Ihnen aus. Wir bieten Ihnen Statements, Beiträge und Meinungen zu aktuellen Themen und natürlich den direkten Kontakt zu den Sophos Security-Spezialisten.
Folgen Sie uns auf und
LinkedIn: https://www.linkedin.com/groups/9054356/
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Tschüss, Privatsphäre!
Die Circles-Funktion bei X war dazu gedacht, dass der Nutzer die Sichtbarkeit von Tweets auf explizit ausgewählte Konten einschränken konnte – ein Kreis Auserwählter sozusagen. Nur diese Gruppe konnte dann bestimmte Tweets sehen, sie waren nicht öffentlich.
Ab 31. Oktober 2023 wird es jedoch keine Privatsphäreeinstellung „pro Tweet“ mehr geben. Die einzige individuell einstellbare Option für einen Tweet liegt dann darin, den gesamten Account zu sperren, so dass nur genehmigte Konten Tweets lesen dürfen. Das verhindert aber nur, dass die Tweets öffentlich sichtbar sind. Alle mit dem Konto verbundenen Accounts sehen sämtliche Konto-Tweets.
Christopher Budd, Director Threat Research bei Sophos, sieht das kritisch: „Das Unternehmen hat sich bislang nicht dazu geäußert, was mit den Tweets geschieht, die aktuell noch unter „Circle-geschützt“ laufen. Das ist ein ziemliches Problem, da es sich um eine Privatsphäreeinstellung handelt und es ein echtes Risiko gibt, dass mit Absicht oder per Zufall Tweets, die nur für bestimmte Konten gedacht sind, nun öffentlich gemacht werden.
Jeder, der bislang die Circle-Funktion nutzte, um bestimmte Tweets zu schützen, muss momentan davon ausgehen, dass alle Circle-exklusiven Tweets öffentlich werden. Wer also ehemals „Circle-geschützte Tweets weiterhin privat halten will, sollte jetzt prophylaktisch handeln, da momentan noch nicht feststeht, was nach dem 31. Oktober mit diesen Nachrichten passiert.“
Zwei Tipps von Christopher Budd:
- Wer bei X aktiv bleiben und seine Circle-geschützten Tweets behalten möchte, lädt sich über „Einstellungen“ eine Kopie herunter. Danach sollten sämtliche Circle-adressierten Tweets zur Sicherheit manuell gelöscht werden, damit sie nicht eventuell in den öffentlichen Bereichen landen.
- Wer mit dem Gedanken spielt, X nicht mehr zu nutzen, sollte bei Bedarf eine potenzielle Übernahme des Kontonamens verhindern, da dieser bei einfacher Kontoschließung wieder zur Verfügung steht. Hier hilft es, das Konto nicht zu schließen, sondern es beizubehalten und leer zu lassen. Dazu werden einfach alle Tweets gelöscht und das leere Konto mit einem starken Passwort und Multi-Faktor-Authentifizierung beziehungsweise mit einer Authentifizierungs-App abgesichert.
LinkedIn: https://www.linkedin.com/groups/9054356/
Twitter: @sophos_info
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Sophos unterstützt den Aufbau hybrider Wireless-Umgebungen mit neuen Wi-Fi 6 Access Points
Mit aus der Cloud gemanagtem Wi-Fi adressiert Sophos den Bedarf an skalierbaren, remote verwaltbaren Wi-Fi-Lösungen, um die steigende Anzahl von vernetzten Geräten und die Verbreitung von IoT-Systemen zu bewältigen. Die Kombination der Sophos AP6 Series mit den Sophos Switches bietet Channel-Partnern eine konsolidierte Single-Vendor-Access-Solution-Strategie, die den Aufwand und die Kosten für die Verwaltung mehrerer unterschiedlicher Systeme von verschiedenen Anbietern reduziert. Mit den erheblichen Leistungsverbesserungen von Wi-Fi 6 lassen sich Netzwerke, die oft noch mit einer Geschwindigkeit von 1-Gigabit arbeiten, modernisieren. Die neuen Lösungen von Sophos beheben häufige physikalische Engpässe und steigern die gesamte Netzwerkleistung der Wi-Fi-Infrastruktur im Unternehmen.
Vier neue Modelle der Sohos AP6 Series
Die Modelle Sophos AP6 420E, AP6 840, AP6 840E und der AP6 420X für den Außeneinsatz verfügen über mindestens eine integrierte 2,5-Gigabit-Schnittstelle für schnelle LAN-Verbindungen. In Kombination mit den Sophos Multi-Gigabit-Switches, die ebenfalls 2,5-Gigabit-Ethernet unterstützen, können Unternehmen hohe Geschwindigkeiten im gesamten Netzwerk sicherstellen. Die Access Points AP6 420E und 840E unterstützen Wi-Fi 6E, womit Unternehmen zusätzlich das das neuere und weniger Überlastete 6-GHz-Band nutzen können, das hohe Leistung für die neuesten Geräte sicherstellt.
Zentrale Verwaltung des Security-Ökosystems
Die Verwaltung der Sophos Access Points erfolgt ortsunabhängig über die Cloud-basierte Sophos Central Plattform, in der weitere Sophos-Lösungen zentral administriert werden können. Dies ermöglicht es Partnern, alle Kundeninstallationen zu überwachen, auf Alarme zu reagieren sowie Lizenzen und anstehende Verlängerungsdaten über eine einzige, intuitive Benutzeroberfläche zu verwalten. Zusätzlich können Administratoren über eine lokale Schnittstelle On-AP-Einstellungen vornehmen.
Verfügbarkeit
Die Sophos AP6 Series ist weltweit ab sofort über den Sophos Channel bei Partnern und Managed Service Providern (MSPs) erhältlich.
Weitere Informationen
- Sophos Sophos Wireless Wi-Fi Portfolio
- Informationen zu den Sophos Switche
- Informationen zu Sophos Firewall und Xstream Protection
- Blog Post mit weiteren technischen Details zur AP6 Series
Sophos ist ein weltweit führender und innovativer Anbieter von fortschrittlichen Cybersecurity-Lösungen, darunter Managed Detection and Response (MDR)- und Incident-Response-Dienste. Das Unternehmen bietet ein breites Portfolio an Endpoint-, Netzwerk-, E-Mail- und Cloud-Sicherheitstechnologien, das bei der Abwehr von Cyberangriffen unterstützt. Als einer der größten auf Cybersecurity spezialisierten Anbieter schützt Sophos mehr als 500.000 Unternehmen und mehr als 100 Millionen Anwender weltweit vor aktiven Angriffen, Ransomware, Phishing, Malware und vielem mehr.
Die Dienste und Produkte von Sophos werden über die cloudbasierte Management-Konsole Sophos Central verbunden und vom bereichsübergreifenden Threat-Intelligence-Expertenteam Sophos X-Ops unterstützt. Die Erkenntnisse von Sophos X-Ops erweitern das gesamte Sophos Adaptive Cybersecurity Ecosystem. Dazu gehört auch ein zentraler Datenspeicher, der eine Vielzahl offener APIs nutzt, die Kunden, Partnern, Entwicklern und anderen Anbietern von Cybersecurity und Informationstechnologie zur Verfügung stehen. Sophos bietet Cybersecurity-as-a-Service für Unternehmen an, die vollständig verwaltete, schlüsselfertige Sicherheitslösungen benötigen. Kunden können ihre Cybersecurity auch direkt mit der Security Operations Platform von Sophos verwalten oder einen hybriden Ansatz verfolgen, indem sie ihre internen Teams mit Sophos Services ergänzen, einschließlich Threat Hunting und Systemwiederherstellung.
Sophos vertreibt seine Produkte über Reseller und Managed Service Provider (MSPs) weltweit. Der Hauptsitz von Sophos befindet sich in Oxford, U.K.
Weitere Informationen unter: www.sophos.de
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Aktenzeichen XY gelöst – Forensische Analyse realer Cyberangriffe deckt Taktiken der Angreifer auf
Sophos veröffentlicht heute seinen Active Adversary Report for Tech Leaders 2023. Der Bericht gibt einen detaillierten Einblick in das Verhalten und die Tools von Angreifern im ersten Halbjahr 2023. Auf Basis der Analyse der von Sophos bearbeiteten Incident Response (IR)-Fälle von Januar bis Juli 2023 hat Sophos X-Ops herausgefunden, dass die durchschnittliche Verweildauer von Angreifern (Zeit vom Beginn eines Angriffs bis zu seiner Entdeckung) bei allen Angriffen von zehn auf acht Tage und bei Ransomware-Attacken auf fünf Tage gesunken ist. Im Vergleichszeitraum im Jahr 2022 sank die Verweildauer von 15 auf 10 Tage.
Hohe Gefahr für die Kronjuwelen eines Netzwerks
Sophos X-Ops fand außerdem heraus, dass Angreifer im Durchschnitt weniger als einen Tag – etwa 16 Stunden – benötigten, um das Active Directory (AD) zu erreichen. Das AD verwaltet in der Regel die Identitäten und den Zugriff auf Ressourcen in einem Unternehmen. Der Zugriff der Angreifer auf das AD bedeutet, dass sie die Privilegien in einem System erweitern und eine Vielzahl von schädlichen Aktivitäten durchführen können.
„Ein Angriff auf das Active Directory eines Unternehmens ist aus cyberkrimineller Sicht sinnvoll. Das AD ist in der Regel das leistungsstärkste und privilegierteste System im Netzwerk und bietet einen umfassenden Zugang zu weiteren Systemen, Anwendungen, Ressourcen und Daten, die Angreifer für ihre Angriffe ausnutzen können. Wenn ein Angreifer das Active Directory kontrolliert, kann er das gesamte Unternehmen kontrollieren. Dieses Eskalationspotential und der hohe Wiederherstellungsaufwand eines Active Directory sind die Gründe, warum es so gezielt angegriffen wird", sagt John Shier, Field CTO bei Sophos.
Den Active-Directory-Server in der Angriffskette zu erreichen und die Kontrolle darüber zu erlangen, bietet Angreifern mehrere Vorteile. Sie können unbemerkt verweilen, um ihren nächsten Schritt zu planen. Sobald sie bereit sind, dringen sie ungehindert weiter in das Netzwerk des Opfers ein. Die vollständige Wiederherstellung einer kompromittierten Domäne kann ein langwieriger und mühsamer Prozess sein. Ein solcher Angriff beschädigt die Sicherheitsgrundlage, auf die sich die Infrastruktur eines Unternehmens stützt. Sehr oft bedeutet ein erfolgreicher AD-Angriff, dass ein Sicherheitsteam bei Null anfangen muss.
Ransomware: Kürzere Verweildauer und Angriffe außerhalb der Geschäftszeiten
Die Verweildauer bei Ransomware-Angriffen ist gesunken. In den analysierten IR-Fällen waren sie mit 69% die häufigste Angriffsart und die durchschnittliche Verweildauer betrug nur fünf Tage. Bei 81% der Ransomware-Angriffe wurde der endgültige Schadcode außerhalb der üblichen Arbeitszeiten gestartet. Von den Angriffen, die während der Geschäftszeiten ausgeführt wurden, fanden nur fünf an einem Wochentag statt.
Die Zahl der entdeckten Angriffe nahm im Verlauf einer Woche zu, vor allem bei der Untersuchung von Ransomware-Angriffen. Fast die Hälfte (43%) der Ransomware-Angriffe wurde entweder am Freitag oder am Samstag entdeckt.
„In gewisser Weise sind wir Opfer unseres eigenen Erfolgs. Mit der zunehmenden Verbreitung von Security-Technologien und -Diensten wie XDR und MDR lassen sich Angriffe früher erkennen. Eine kürzere Erkennungszeit führt zu einer schnelleren Reaktion, was wiederum zu einem kürzeren Zeitfenster für Angreifer führt. Gleichzeitig haben Kriminelle ihre Schachzüge optimiert, insbesondere die erfahrenen und gut ausgestatteten Ransomware-Ableger, die ihre Angriffe angesichts der verbesserten Verteidigungsmaßnahmen weiter beschleunigen. Das heißt aber nicht, dass wir insgesamt sicherer sind. Dies zeigt sich am Einpendeln der Verweildauer auf einem hohen Niveau bei Nicht-Ransomware. Angreifer dringen immer noch in Netzwerke ein, und wenn die Zeit nicht drängt, verweilen sie dort. Alle Security-Tools der Welt werden Unternehmen nicht retten, wenn sie nicht aufpassen und Systeminformationen nicht richtig interpretieren. Es braucht sowohl die richtigen Tools als auch eine kontinuierliche, proaktive Überwachung, um sicherzustellen, dass die Kriminellen am kürzeren Hebel sitzen. MDR kann die Lücke zwischen Angreifern und Verteidigern schließen, denn selbst wenn das Unternehmen einmal nicht aufpasst, passen wir auf", sagt Shier.
Über den Sophos Active Adversary Report for Tech Leaders
Der Sophos Active Adversary Report for Business Leaders baut auf weltweiten Sophos Incident Response (IR)-Daten aus 25 Branchen von Januar bis Juli 2023 auf. Die angegriffenen Unternehmen befanden sich in 33 verschiedenen Ländern auf sechs Kontinenten. Achtundachtzig Prozent der Fälle stammten von Unternehmen mit weniger als 1.000 Mitarbeitern.
Der Sophos Active Adversary Report for Tech Leaders bietet Sicherheitsexperten Daten über Bedrohungen sowie Erkenntnisse, um ihre Sicherheitsstrategie besser zu operationalisieren.
Um mehr über das Verhalten, die Tools und Techniken von Angreifern zu erfahren, lesen Sie "Time Keeps on Slippin‘ Slippin‘: The 2023 Active Adversary Report for Tech Leaders," von Sophos.
Sophos ist ein weltweit führender und innovativer Anbieter von fortschrittlichen Cybersecurity-Lösungen, darunter Managed Detection and Response (MDR)- und Incident-Response-Dienste. Das Unternehmen bietet ein breites Portfolio an Endpoint-, Netzwerk-, E-Mail- und Cloud-Sicherheitstechnologien, das bei der Abwehr von Cyberangriffen unterstützt. Als einer der größten auf Cybersecurity spezialisierten Anbieter schützt Sophos mehr als 500.000 Unternehmen und mehr als 100 Millionen Anwender weltweit vor aktiven Angriffen, Ransomware, Phishing, Malware und vielem mehr.
Die Dienste und Produkte von Sophos werden über die cloudbasierte Management-Konsole Sophos Central verbunden und vom bereichsübergreifenden Threat-Intelligence-Expertenteam Sophos X-Ops unterstützt. Die Erkenntnisse von Sophos X-Ops erweitern das gesamte Sophos Adaptive Cybersecurity Ecosystem. Dazu gehört auch ein zentraler Datenspeicher, der eine Vielzahl offener APIs nutzt, die Kunden, Partnern, Entwicklern und anderen Anbietern von Cybersecurity und Informationstechnologie zur Verfügung stehen. Sophos bietet Cybersecurity-as-a-Service für Unternehmen an, die vollständig verwaltete, schlüsselfertige Sicherheitslösungen benötigen. Kunden können ihre Cybersecurity auch direkt mit der Security Operations Platform von Sophos verwalten oder einen hybriden Ansatz verfolgen, indem sie ihre internen Teams mit Sophos Services ergänzen, einschließlich Threat Hunting und Systemwiederherstellung.
Sophos vertreibt seine Produkte über Reseller und Managed Service Provider (MSPs) weltweit. Der Hauptsitz von Sophos befindet sich in Oxford, U.K.
Weitere Informationen unter: www.sophos.de
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Plötzlich Gemeinsamkeiten: Sophos entdeckt neue Übereinstimmungen zwischen Hive, Royal und Black Basta Ransomware
Die Dienste und Produkte von Sophos werden über die cloudbasierte Management-Konsole Sophos Central verbunden und vom bereichsübergreifenden Threat-Intelligence-Expertenteam Sophos X-Ops unterstützt. Die Erkenntnisse von Sophos X-Ops erweitern das gesamte Sophos Adaptive Cybersecurity Ecosystem. Dazu gehört auch ein zentraler Datenspeicher, der eine Vielzahl offener APIs nutzt, die Kunden, Partnern, Entwicklern und anderen Anbietern von Cybersecurity und Informationstechnologie zur Verfügung stehen. Sophos bietet Cybersecurity-as-a-Service für Unternehmen an, die vollständig verwaltete, schlüsselfertige Sicherheitslösungen benötigen. Kunden können ihre Cybersecurity auch direkt mit der Security Operations Platform von Sophos verwalten oder einen hybriden Ansatz verfolgen, indem sie ihre internen Teams mit Sophos Services ergänzen, einschließlich Threat Hunting und Systemwiederherstellung.
Sophos vertreibt seine Produkte über Reseller und Managed Service Provider (MSPs) weltweit. Der Hauptsitz von Sophos befindet sich in Oxford, U.K.
Weitere Informationen unter: www.sophos.de
Sophos veröffentlicht in seinem Bericht "Clustering Attacker Behavior Reveals Hidden Patterns" neue Erkenntnisse über Verbindungen zwischen den bekanntesten Ransomware-Gruppen des vergangenen Jahres: Hive, Black Basta und Royal.
Ab Januar 2023 hatte Sophos X-Ops über einen Zeitraum von drei Monaten vier verschiedene Ransomware-Angriffe untersucht, bei denen einer auf Hive, zwei auf Royal und einer auf Black Basta zurückging. Dabei wurden deutliche Ähnlichkeiten zwischen den Angriffen festgestellt.
Obwohl Royal als sehr verschlossene Gruppe gilt, die keine Partner aus Untergrundforen sichtbar involviert, deuten feine Ähnlichkeiten in der Forensik der Angriffe darauf hin, dass alle drei Gruppen im Rahmen ihrer Aktivitäten entweder Partner oder hochspezifische technische Details teilen.
Sophos verfolgt und überwacht die Angriffe als "Cluster von Bedrohungsaktivitäten", die Verteidiger nutzen können, um die Erkennungs- und Reaktionszeiten zu verkürzen.
„Da das Ransomware-as-a-Service-Modell externe Partner für die Durchführung der Angriffe erfordert, ist es generell nicht ungewöhnlich, dass es Überschneidungen in den Taktiken, Techniken und Verfahren (TTPs) zwischen verschiedenen Ransomware-Gruppen gibt. In diesen Fällen handelt es sich jedoch um Ähnlichkeiten auf einer sehr feinen Ebene. Diese hochspezifischen Verhaltensweisen legen nahe, dass die Royal-Ransomware-Gruppe viel abhängiger von Partnern ist als bisher angenommen", sagt Andrew Brandt, leitender Forscher bei Sophos.
Die spezifischen Ähnlichkeiten umfassen insbesondere die folgenden drei Aspekte: Hatten erstens die Angreifer die Kontrolle über die Systeme der Ziele übernommen, kamen die gleichen spezifischen Benutzernamen und Passwörter zur Anwendung. Zweitens wurde die endgültige Payload in einem .7z-Archiv, das jeweils nach der Opferorganisation benannt war, bereitgestellt. Drittens wurden Befehle auf den infizierten Systemen mit denselben Batch-Skripten und Dateien ausgeführt.
Sophos X-Ops gelang es, diese Verbindungen im Rahmen einer Untersuchung von vier Ransomware-Angriffen aufzudecken, die im Zeitraum von drei Monaten stattgefunden hatten. Der erste Angriff erfolgte im Januar 2023 mit der Hive-Ransomware. Darauf folgten im Februar und März zwei Angriffe der Royal-Gruppe und sowie schließlich einer von Black Basta im März dieses Jahres.
Eine mögliche Ursache für die Ähnlichkeiten bei den beobachteten Ransomware-Angriffen könnte die Tatsache sein, dass gegen Ende Januar 2023 nach einer geheimen Operation des FBI ein großer Teil der Operationen von Hive aufgelöst wurde. Dies könnte dazu geführt haben, dass Hive-Partner nach einer neuen Beschäftigung suchten – möglicherweise bei Royal und Black Basta – was die auffälligen Übereinstimmungen in den folgenden Ransomware-Angriffen erklären könnte.
Aufgrund dieser Ähnlichkeiten begann Sophos X-Ops, alle vier Ransomware-Vorfälle als Cluster von Bedrohungsaktivitäten zu verfolgen.
„Wenn beim Bedrohungsaktivitäten-Clustering die ersten Schritte darin bestehen, die Zuordnung zu Gruppen vorzunehmen, besteht die Gefahr, dass Forscher sich zu sehr auf das ‚Wer‘ eines Angriffs konzentrieren und dabei wichtige Möglichkeiten zur Stärkung der Verteidigung übersehen. Das Wissen über hochspezifisches Angreifer-Verhalten hilft Managed Detection and Response (MDR)-Teams, schneller auf aktive Angriffe zu reagieren. Es hilft auch Sicherheitsanbietern dabei, stärkere Schutzmaßnahmen für Kunden zu entwickeln. Und wenn Schutzmaßnahmen auf Verhaltensweisen basieren, spielt es keine Rolle, wer angreift. Egal ob Royal, Black Basta oder andere – potenzielle Opfer werden die notwendigen Sicherheitsvorkehrungen getroffen haben, um Angriffe, die einige der charakteristischen Merkmale aufweisen, zu blockieren", sagt Brandt.
Bislang ist die Royal-Ransomware in diesem Jahr die zweithäufigste bei den Sophos Incident Response festgestellte Ransomware-Familie.
Weitere Informationen zu diesen Ransomware-Angriffen finden Sie im Bericht "Clustering Attacker Behavior Reveals Hidden Patterns".
Sophos ist ein weltweit führender und innovativer Anbieter von fortschrittlichen Cybersecurity-Lösungen, darunter Managed Detection and Response (MDR)- und Incident-Response-Dienste. Das Unternehmen bietet ein breites Portfolio an Endpoint-, Netzwerk-, E-Mail- und Cloud-Sicherheitstechnologien, das bei der Abwehr von Cyberangriffen unterstützt. Als einer der größten auf Cybersecurity spezialisierten Anbieter schützt Sophos mehr als 500.000 Unternehmen und mehr als 100 Millionen Anwender weltweit vor aktiven Angriffen, Ransomware, Phishing, Malware und vielem mehr.
Die Dienste und Produkte von Sophos werden über die cloudbasierte Management-Konsole Sophos Central verbunden und vom bereichsübergreifenden Threat-Intelligence-Expertenteam Sophos X-Ops unterstützt. Die Erkenntnisse von Sophos X-Ops erweitern das gesamte Sophos Adaptive Cybersecurity Ecosystem. Dazu gehört auch ein zentraler Datenspeicher, der eine Vielzahl offener APIs nutzt, die Kunden, Partnern, Entwicklern und anderen Anbietern von Cybersecurity und Informationstechnologie zur Verfügung stehen. Sophos bietet Cybersecurity-as-a-Service für Unternehmen an, die vollständig verwaltete, schlüsselfertige Sicherheitslösungen benötigen. Kunden können ihre Cybersecurity auch direkt mit der Security Operations Platform von Sophos verwalten oder einen hybriden Ansatz verfolgen, indem sie ihre internen Teams mit Sophos Services ergänzen, einschließlich Threat Hunting und Systemwiederherstellung.
Sophos vertreibt seine Produkte über Reseller und Managed Service Provider (MSPs) weltweit. Der Hauptsitz von Sophos befindet sich in Oxford, U.K.
Weitere Informationen unter: www.sophos.de
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Ransomware im Einzelhandel: Kostenexplosion trotz Angriffsrückgang
Erfreulicher Rückgang der Angriffsraten, Ransomware dennoch größte Gefahr
Die Rate der Ransomware-Angriffe im Einzelhandel ist von 77 % im Jahr 2022 auf 69 % im Jahr 2023 gesunken. Dies ist ein erfreulicher Rückgang. Die Tatsache aber, dass immer noch über zwei Drittel der Einzelhandelsunternehmen im letzten Jahr von Ransomware betroffen waren und trotz dieses Rückgangs die Rate im weltweiten Vergleich weiterhin über dem Durchschnitt liegt, macht diese Schadsoftware zum größten Cyber-Risiko, dem Einzelhandelsunternehmen heute ausgesetzt sind.
Sicherheitslücken als Haupteinfallstor
Ausgenutzte Sicherheitslücken (41%) waren die Ursache für die meisten Ransomware-Angriffe im Einzelhandel, gefolgt von kompromittierten Zugangsdaten (22 %). Phishing war die dritthäufigste Ursache mit 17 % der Vorfälle. Insgesamt gab fast ein Drittel der befragten Einzelhändler (32 %) an, dass E-Mails (bösartige E-Mails oder Phishing) die Ursache für den Angriff waren. Weltweit gehörte der Einzelhandel zu den Branchen, bei denen Ransomware-Angriffe am häufigsten über ausgenutzte Schwachstellen und Phishing durchgeführt wurden. Umgekehrt wurde die Verwendung kompromittierter Anmeldedaten als Ausgangspunkt für Ransomware-Angriffe im Einzelhandel am wenigsten von allen Branchen verzeichnet (gemeinsam mit IT, Telekommunikation und Technologie).
Einzelhandel zahlt 10mal mehr Lösegeld als im letzten Jahr und 60 Prozent mehr als andere Branchen
Auf globaler, branchenübergreifender Ebene ist die Bereitschaft zur Zahlung von Lösegeld zwar insgesamt auf dem Niveau der letztjährigen Studie, die Höhe der Zahlungen selbst hat sich jedoch mit einer Steigerung von $ 812.360 auf $ 1.542.330 (€ 1.389.639,33) im Vergleich zum Vorjahr fast verdoppelt. Im Einklang mit dem globalen Trend hat auch die durchschnittliche Lösegeldzahlung im Einzelhandel mit $ 2.458.481 (€ 2.215.226,60)
im Vergleich zum Vorjahr beträchtlich zugenommen: Sie lag mehr als 10mal höher als im Bericht von 2022 ($ 226.044 bzw. € 204.095,13).
Der Einzelhandel zahlt aber nicht nur mehr Lösegeld als im letzten Jahr, sondern auch mehr als viele andere Branchen: Die durchschnittlichen Lösegeldzahlungen im Einzelhandel waren fast 60 % höher als der branchenübergreifende globale Durchschnitt ($ 1.542.330 bzw. € 1.389.639,33) in der diesjährigen Studie.
Auch der Anteil der Einzelhandelsunternehmen, die höhere Lösegelder zahlen, hat im Vergleich zur Studie aus dem Jahr 2022 zugenommen. Mehr als zwei Drittel der Einzelhandelsunternehmen (68 %) meldeten Zahlungen in Höhe von 1 Million US-Dollar oder mehr gegenüber rund 5 % im Vorjahr. Umgekehrt zahlten 6 % weniger als 100.000 US-Dollar, gegenüber 70 % im letztjährigen Bericht.
Versicherte Unternehmen mit hoher Bereitschaft zur Zahlung von Lösegeld
Im Gegensatz zu anderen Sektoren hatte der Versicherungsschutz nur einen geringen Einfluss auf die Wiederherstellungsrate im Einzelhandel. Allerdings hatte er einen erheblichen Einfluss auf die Bereitschaft das Lösegeld zu zahlen. Kurz gesagt: Einzelhandelsunternehmen mit einer eigenständigen Cyber-Versicherung waren eher bereit, Lösegeld zu zahlen, um Daten wiederherzustellen, als solche mit einer Cyber-Versicherung als Teil einer umfassenderen Geschäftspolice sind oder Unternehmen, die überhaupt keine Versicherung haben.
Rate der Datenverschlüsselung im Einzelhandel zum dritten Mal in Folge gestiegen
Die Datenverschlüsselung im Einzelhandel hat weiter zugenommen, wobei der Bericht 2023
den höchsten Verschlüsselungsgrad seit drei Jahren aufweist. Dies spiegelt die immer professionelleren Fähigkeiten der Angreifer wider, die ihre Methoden stetig erneuern und verfeinern. Fast drei Viertel der Ransomware-Angriffe (71 %) im Einzelhandel führten zur Verschlüsselung von Daten, womit diese Zahl verglichen mit 68 % und 54 % in den beiden vorherigen Jahren weiter gestiegen ist. Die steigende Verschlüsselungsrate geht mit einer sinkenden Fähigkeit der Unternehmen einher, bei Angriffen rechtzeitig Abwehrmechanismen zu aktivieren. Nur einer von vier Angriffen (26 %) wird gestoppt, bevor die Daten verschlüsselt werden können. Ein eher besorgniserregender Trend.
Dennoch steht der Einzelhandel insgesamt weltweit besser da als viele andere Branchen. Über alle Sektoren hinweg führten 76 % der Angriffe zu einer Datenverschlüsselung, und nur 21 % wurden gestoppt, bevor die Daten verschlüsselt wurden. Die höchste Häufigkeit der Datenverschlüsselung (92 %) wurde von Dienstleistungsunternehmen gemeldet.
Verschlüsselt und gestohlen
Bei 21 % der Angriffe im Einzelhandel, bei denen Daten verschlüsselt wurden, wurden auch Daten gestohlen. Dieser "Double-Dip"-Ansatz der Angreifer nimmt zu, da er die Möglichkeit Angriffe zu Geld zu machen, noch einmal erhöht. Die Drohung, gestohlene Daten öffentlich zu machen kann genutzt werden, um Zahlungen zu erpressen. Zudem lohnt sich für die Cyberkriminellen auch der Verkauf, die Daten sind heißbegehrte Handelsware m Darknet. Durch die steigende Häufigkeit von Datendiebstählen wird es immer wichtiger, Angriffe rechtzeitig zu stoppen, bevor Informationen exfiltriert werden können.
Datenrettungsrate im Einzelhandel hoch
97 % der Einzelhandelsunternehmen konnten ihre Daten nach einem Verschlüsselungsangriff wiederherstellen. 43 % der Einzelhandelsunternehmen gaben an, dafür Lösegeld gezahlt zu haben, mehr als zwei Drittel (68 %) verließen sich bei der Datenwiederherstellung auf Backups, was etwas weniger ist als der als der weltweite Durchschnitt von 46 % bzw. 70 %. 16 % der Befragten gaben an, mehrere Mittel zur Wiederherstellung verschlüsselter Daten einzusetzen.
Einsatz von Backups aber auch Anzahl der Lösegeldzahlungen rückläufig
Der Einsatz von Backups im Einzelhandel ging in der Umfrage von 2023 auf 68 % zurück von 73 % in der Umfrage von 2022. Dieser Rückgang bei der Nutzung von Backups entspricht dem globalen – eher besorgniserregenden – Trend, der einen Rückgang von 73 % im Jahr 2022 auf 70 % im Jahr 2023 verzeichnete. Was die Lösegeldzahlungen betrifft, so sank die Zahl der Lösegeldzahlungen im Einzelhandel von 49 % im Bericht von 2022 auf aktuelle 43 % im vorliegenden Bericht. Weltweit sind die Lösegeldzahlungen dagegen über alle Sektoren hinweg gleichblieben.
Wiederherstellungskosten im Einzelhandel etwas höher als im Branchendurchschnitt
Lösegeldzahlungen sind nur ein Element der Wiederherstellungskosten im Zusammenhang mit Ransomware. Ohne Berücksichtigung des gezahlten Lösegelds meldeten die Unternehmen weltweit einen Anstieg gegenüber dem Bericht von 2022. Auch die Wiederherstellungskosten für den Einzelhandel sind von $ 1.270.000 (€ 1.145.406,65) im Vorjahr auf $ 1.850.000 (€ 1.668.505,75) gestiegen – hiermit aber immer noch niedriger als die $1.970.000 (€ 1.776.802,10) aus dem Bericht für das Jahr 2021. Der Anstieg in diesem Jahr beruht möglicherweise auf den Herausforderungen des Sektors, die Datenverschlüsselungen bei Angriffen rechtzeitig zu stoppen. Außerdem kann die geringere Nutzung von Backups zur Wiederherstellung verschlüsselter Daten zu erhöhten Wiederherstellungskosten geführt haben.
Die Wiederherstellung von Daten dauert länger
Während die Zeit bis zur Wiederherstellung nach Ransomware-Angriffen im Einzelhandel weitgehend den Ergebnissen des Berichts von 2022 entspricht, ist der Prozentsatz derer, die sich in weniger als einem Tag erholen im Vergleich zum Vorjahr von 15 % auf 9 % gesunken
Der Prozentsatz der Unternehmen, die mehr als einen Monat für die Wiederherstellung benötigten, stieg auf rund 21 % von rund 17 % im Vorjahr, was darauf hindeutet, dass die Erholung in diesem Sektor nun länger dauert.
Auswirkungen auf das Geschäft
82 % der Einzelhandelsunternehmen, die von Ransomware betroffen waren, gaben an, dass die Angriffe auch zu Geschäftseinbußen führten. Dies entspricht dem weltweiten Branchendurchschnitt von 84 %.
Für den Sektor des Einzelhandels wie auch für alle anderen Branchen stellt sich die entscheidende Frage, wie die Cyberkriminellen ins Unternehmen gelangen und welche Angriffstaktiken die größten Risiken für diese Branche birgt. Sophos rät Unternehmen, eine Reihe von Maßnahmen zur weiteren Stärkung ihrer Abwehrschilde zu ergreifen:
- Sicherheits-Tools, die vor den häufigsten Angriffsvektoren schützen, einschließlich Endpointschutz mit starken Anti-Exploit-Funktionen, um die Ausnutzung von Schwachstellen zu verhindern
- Zero Trust Network Access (ZTNA), um den Missbrauch kompromittierter Anmeldeinformationen zu vereiteln
- Adaptive Technologien, die automatisch auf Angriffe reagieren, die Angreifer stören und den Verteidigern Zeit verschaffen, um zu reagieren
- 24/7-Bedrohungserkennung, -untersuchung und -reaktion, entweder intern oder in Zusammenarbeit mit einem spezialisierten Managed Detection and Response (MDR)-Dienstleister
- Optimierung der Angriffsvorbereitung, einschließlich regelmäßiger Backups
- Üben der Wiederherstellung von Daten aus Backups und die Pflege eines aktuellen Reaktionsplans für Zwischenfälle
- Aufrechterhaltung einer guten Sicherheitshygiene, einschließlich rechtzeitiger Patchings sowie regelmäßige Überprüfung der Konfigurationen von Sicherheitstools
Über die Studie
Von Januar bis März befragte ein unabhängiges Marktforschungsinstitut im Auftrag von Sophos 3.000 Verantwortliche in der IT oder Cybersecurity in Unternehmen mit 100 bis 5.000 Angestellten, mindesten 10 Millionen Umsatz, in 14 Ländern. Darunter befanden sich 351 Einzelhandelsbetriebe, die Auskunft darüber gaben, wie sich die Situation der Cybersicherheit aus ihrer speziellen Sicht darstellt.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
