Ransomware : Bedrohungslage, Prävention & Reaktion

Posted on Posted in Paper

Einführung

Als Ransomware werden Schadprogramme bezeichnet, die den Zugriff auf Daten und Systeme einschränken oder verhindern und eine Freigabe dieser Ressourcen erfolgt nur gegen Zahlung eines Lösegeldes (engl. ransom). Es handelt sich dabei um einen Angriff auf das Sicherheitsziel der Verfügbarkeit und eine Form digitaler Erpressung. Seit Mitte September 2015 hat sich die Bedrohungslage durch Ransomware deutlich verschärft. Es treten vermehrt Fälle auf, über einige wurde auch öffentlich berichtet. Weil der Leidensdruck für die Betroffenen so hoch ist, zahlen Opfer in vielen Fällen das geforderte Lösegeld. Dieser Erfolg der Täter führt dazu, dass mittlerweile Kapazitäten aus dem “Banking-Trojaner-Geschäft” abgezogen werden und die Botnetze nun Ransomware verteilen. Bereits seit 2010 / 2011 wird Ransomware verbreitet für Cyber-Angriffe eingesetzt. Auch davor gab es bereits erste Varianten dieses Schadprogramm-Typs. Einfache Ransomware-Varianten zeigen z. B. einen Sperrbildschirm an und hindern die Anwender an der Nutzung ihres Systems. Über eindringliche Warnungen und Aufforderungen wurde behauptet, dass das System im Zuge polizeilicher oder sonstiger staatlicher Ermittlungen (BKA, BSI, international FBI, CIA …) gesperrt sei und nur gegen Zahlung eines Bußgeldes oder Strafzahlung wieder freigegeben wird. Im Zuge der Weiterentwicklung werden vermehrt Ransomware-Varianten entwickelt, die Daten auch verschlüsseln, welche dann dauerhaft (auch nach Bereinigung des Schadprogramms) nicht mehr zur Verfügung stehen. Für die Verschlüsselung werden als sicher anzusehende Algorithmen eingesetzt, somit ist eine Entschlüsselung nicht möglich. Zusätzlich zu den Daten des infizierten Clients werden auch Daten auf zugänglichen Netzlaufwerken oder eingebundenen Cloud-Diensten verschlüsselt. Aus der Sicht der Kriminellen haben Cyber-Angriffe mittels Ransomware den Vorteil, dass es zu einem direkten Geldtransfer zwischen Opfer und Täter über anonyme Zahlungsmittel wie Bitcoin oder anonymen Guthaben- und Bezahlkarten kommt. Im Vergleich zu Cyber-Angriffen über Banking-Trojaner sind weder Mittelsmänner für Überweisungen noch Waren-Agenten notwendig, um einen erfolgreichen Angriff zu monetarisieren. Für das Opfer ist der wesentliche Unterschied gegenüber einer Betroffenheit mit klassischen Schadsoftware wie Banking-Trojanern, DDoS-Tools, Zugangsdaten- und Identitäts-Phishern, dass der Schaden unmittelbar eintritt und ganz konkrete Konsequenzen für den Betroffenen hat. Hier verhindert oder erstattet keine Bank den Schaden, oder der PC funktioniert nur “etwas langsamer” weil im Hintergrund Dritte angegriffen werden, stattdessen sind zum Beispiel die Kinderbilder und alle Kontakte verloren oder die Unternehmensdaten nicht mehr zugreifbar oder kritische Dienstleistungen nicht mehr verfügbar. Es helfen meist nur präventive Maßnahmen und vor allem Backups. Dieses Dokument stellt neben einer kurzen Darstellung der Bedrohungslage konkrete Hilfen für die Prävention und die Reaktion im Schadensfall bereit.

Der Leitfaden:

Quelle: BSI

Facebooktwittergoogle_plus