Mobile Malware: vom Konsumentenschreck zur veritablen Unternehmensbedrohung

Laut Verizon Mobile Security Index für 2019 räumen 33 Prozent der befragten Unternehmen ein, dass sie bereits von einer Datenschutzverletzung betroffen waren, bei der ein mobiles Endgerät beteiligt war. [...]

Mobilgeräte sind das Einfallstor zu geräteinternen Unternehmensdaten. Zeit, sie besser abzusichern als bisher. (c) Bacho Foto - stock.adobe.com

Laut Verizon Mobile Security Index für 2019 räumen 33 Prozent der befragten Unternehmen ein, dass sie bereits von einer Datenschutzverletzung betroffen waren, bei der ein mobiles Endgerät beteiligt war. Das ist ein Anstieg um 27 Prozentgegenüber 2018. Die Ergebnisse machen deutlich, dass es ganz offensichtlich an der Zeit ist, Mobilgeräte besser zu sichern. Allerdings ist unser Verständnis für diese Art der Bedrohungen noch vergleichsweise dürftig.

Was meinen wir, wenn wir Mobilgerät sagen? Betrachten wir die Geschichte der mobilen Endgeräte, die bis in die 1980er-Jahre zurückreicht, oder beschränken wir uns bei Mobilgeräten auf Smartphones? Wie sieht es mit „Zwitter“-Geräten wie dem Surface Pro aus? Und wer ist in erster Linie für die Sicherheit von Mobilgeräten zuständig? Die Verbraucher? Die Hard- und Softwarehersteller? Die Unternehmen, bei denen die Geräte eingesetzt werden?

Verbraucher im Visier: mobile Malware

Auf dem diesjährigen SANS Pen Test HackFest Summit sprach Jeroen Beckers von NVISO, Mitautor des OWASP Mobile Security-Testing Guide und OWASP Mobile Application Security Verification Standard, über Mobile Malware und wie sie sich auf den Verbraucher auswirkt. In seinem Vortrag machte Beckers deutlich, dass diese Form der Schadsoftware sich wachsender Beliebtheit erfreut und in vielerlei Erscheinungsformen auftritt: Ransomware, Abonnementsbetrug, Werbebetrug und Betrug mit Premium-Texten.

Einige der wichtigsten Erkenntnisse aus seinem Vortrag: Es ist ziemlich einfach, Quellcode aus dem Android Store zu stehlen und Mobile Malware zu entwickeln, die sich als legitime und signierte Anwendung ausgibt. OWASP ist eines von vielen Unternehmen, die sich verstärkt um Mobilgeräte kümmern. Andere erweitern zudem ihr Framework wie MITRE ATT&CK, um Mobile Malware besser zu klassifizieren.

Allerdings sind Unternehmen ein erheblich wichtigeres und vor allem lukrativeres Ziel für Mobile Malware. Gerade, wenn die Angreifer primär von finanziellen Motiven geleitet werden. Mobilgeräte sind das Einfallstor zu geräteinternen Unternehmensdaten, und noch wichtiger: direkt in das Unternehmensnetzwerk. Welche Bedrohungen gehen von mobilen Endgeräten aus? Einige Beispiele:

Ziel: geräteinterne Unternehmensdaten

Der CFO des Startups WeRaiseMoney ist den ganzen Tag in Meetings. Er prüft regelmäßig E-Mails auf seinem Smartphone. Das ist mittlerweile typisch für die meisten von uns. 65 Prozent der E-Mails werden zuerst auf einem Mobilgerät geöffnet. Er erhielt eine E-Mail, vorgeblich vom CEO des Unternehmens mit dem Betreff „DRINGENDE FRAGEN ZUR FINANZIERUNG“. Das Ganze versehen mit einem Link, der wie ein Link zu einem Google-Dokument wirkte. Natürlich öffnet er die (Phishing) E-Mail, was auf einem kleinen Bildschirm oder Mobilgerät mit dreimal höherer Wahrscheinlichkeit passiert als auf einem herkömmlichen Laptop.

Sobald der Link angeklickt wird, lädt die Malware heimlich eine Spyware herunter und installiert sie auf dem Gerät. Die Spyware ermöglicht es dem Angreifer auf einige der Hauptfunktionen des Geräts zuzugreifen, z.B. Speicher, Netzwerk-Tapping, Authentifizierung, Geschäfts- und Überwachungsfunktionen über Mikrofon, Kamera und GPS. Damit kontrolliert der Angreifer schlussendlich das Gerät, kann Unternehmensdaten und persönliche Informationen stehlen oder die Person nach Belieben überwachen.

Wichtige Erkenntnis: Man fällt sehr leicht auf einen E-Mail-Link herein, der harmlos aussieht, es aber nicht ist, besonders auf kleineren Bildschirmen. Wir sind mit unseren Mobilgeräten, die wir immer bei uns tragen, vertraut und lassen uns aufgrund dessen gerne von einem falschen Sicherheitsgefühl einlullen. Es ist fast wichtiger, auf Mobilgeräten Vorsicht walten zu lassen als auf einem Laptop. Einfach, weil Mobilgeräte regelmäßig persönliche und private Daten mit Unternehmensinformationen vermischen.

Ziel: Zugriff auf das Unternehmensnetzwerk

Eine Sicherheitsanalytikerin untersucht einen Ransomware-Vorfall auf den Firmencomputern. Ein Alarm gibt ihr Einblick in die Angriffsstruktur sowie in einige der typischen Seitwärtsbewegungen im Netzwerk, die Lösegeldnotiz und den Versuch, Dateien auf mehreren Computern zu sperren. Dank der vorhandenen Kontrollen konnte die Ransomware abgewehrt werden. Die Analytikerin hat deshalb einen großen Teil des Angriffsbaums erkennen können, aber die wahre Ursache des Vorfalls konnte sie nicht ermitteln.

Was also tun? Die Schadsoftware beseitigen (also den sichtbaren Teil) und weitermachen, ohne genau verstanden zu haben, wo der Angriff tatsächlich begonnen hat? Für viele Teams ist das tatsächlich alles, was sie tun können. Ihnen stehen in aller Regel nicht die Tools zur Verfügung, um einen Vorfall wie diesen vollständig aufzuklären.

Diejenigen, die die Möglichkeit haben, können neben vorhandenen Kontrollen separate Tools einsetzen, wie beispielsweise eine mobile Bedrohungserkennung oder mobile EDR-Lösungen. Aber eine Herausforderung bleibt: Man muss die Erkenntnisse zu einem Angriff, die aus den vorhandenen Netzwerkkontrollen stammen, mit denen verbinden, die separate Tools geliefert haben. Das geschieht manuell. Wenn man überhaupt auf Daten über den Vorfall zugreifen kann, muss man sie untereinander korrelieren und verschiedene Geräte zu einer Einheit (Laptop-Identität-Mobile) zusammenführen. Das kostet Zeit und erschwert es, den Vorfall zu beheben. Und es handelt sich um einen fehleranfälligen Analyseprozess.

Wichtige Erkenntnis: Für einen Sicherheitsanalytiker ist es nach wie vor eine nicht zu unterschätzende Herausforderung, die tatsächliche Ursache eines Angriffs zu ermitteln. Ganz besonders, wenn die Sicherheitslösungen in separaten Silos arbeiten.

Fazit

Über Mobilgeräte – speziell Smartphones, Tablets und POS-Geräte – läuft mittlerweile mehr als die Hälfte des weltweiten Internetverkehrs ab, ganz zu schweigen von der wachsenden Zahl an IoT-Devices und weiteren Geräten. Mobile Sicherheit sollte also auf der Agenda ganz oben stehen. Die Zahlen sagen etwas anderes. Weniger als ein Drittel aller Unternehmen mit Mitarbeitern, die explizit für die Beschaffung und Verwaltung mobiler Geräte verantwortlich sind, verfügt auch nur über grundlegende Sicherheitsmaßnahmen für mobile Endgeräte.

Allie Mellen ist Security and Research Writer bei CYBEREASON.


Mehr Artikel

Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien. (c) WeinwurmFotografie
Interview

IT-Berufe im Fokus: Innovative Lösungen gegen den Fachkräftemangel

Angesichts des anhaltenden IT-Fachkräftemangels ist schnelles Handeln gefordert. Die Fachgruppe IT der UBIT Wien setzt in einer Kampagne genau hier an: Mit einem breiten Ansatz soll das vielfältige Berufsbild attraktiver gemacht und innovative Ausbildungswege aufgezeigt werden. IT WELT.at hat dazu mit Rüdiger Linhart, Vorsitzender der Berufsgruppe IT der Fachgruppe UBIT Wien, ein Interview geführt. […]

News

ISO/IEC 27001 erhöht Informationssicherheit bei 81 Prozent der zertifizierten Unternehmen

Eine Umfrage unter 200 Personen verschiedener Branchen und Unternehmensgrößen in Österreich hat erstmals abgefragt, inwiefern der internationale Standard für Informationssicherheits-Managementsysteme (ISO/IEC 27001) bei der Bewältigung von Security-Problemen in der Praxis unterstützt. Ergebnis: Rund 81 Prozent der zertifizierten Unternehmen gaben an, dass sich durch die ISO/IEC 27001 die Informationssicherheit in ihrem Unternehmen erhöht hat. […]

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*