Hacker lieben Kryptowährungen

Der aktuelle Internet Security Report von WatchGuard zeigt eine deutliche Zunahme von Krypto-Miner-Angriffen und offenbart zahlreiche geografisch angelegte Malware-Kampagnen. [...]

Der jüngst veröffentlichte Internet Security Report des IT-Sicherheitsspezialisten WatchGuard für das erste Quartal 2018 lässt kaum Zweifel daran, dass sich Hacker immer öfter Schwachstellen im Rahmen von Kryptowährungen zunutze machen. 98,8 Prozent aller einschlägigen Malwarevarianten wurden im Zusammenhang mit einem oft verwendeten linuxbasierten Kryptowährungs-Miner entdeckt.

Darüber hinaus fällt auf, dass die Verbreitung von Malware zunehmend auf einzelne Regionen fokussiert ist. Angreifer rücken also vom Gießkannenprinzip ab und kanalisieren die Bedrohung immer gezielter. Diese Erkenntnisse basieren auf den Auswertungen der Log-Daten von knapp 40.000 WatchGuard Firebox-Appliances weltweit. Diese sind vor allem auf Seiten von kleinen und mittleren Unternehmen sowie dezentral agierenden Organisationen im Einsatz und schützen die zugrundeliegenden IT-Infrastrukturen vor mannigfaltigen Bedrohungen.

„Unser Threat-Lab-Team hat mehrere Anzeichen dafür gefunden, dass verseuchte Krypto-Miner zu einer tragenden Säule im Arsenal von Cyberkriminellen werden. Wir gehen davon aus, dass die damit einhergehende Gefahr künftig weiter zunimmt“, sagt Corey Nachreiner, Chief Technology Officer bei WatchGuard Technologies. Er betont: „Moderne Malware im Allgemeinen und Ransomware im Speziellen bereiten nach wie vor Sorge. Die neuen Krypto-Miner-Angriffe zeigen darüber hinaus deutlich, dass Cyberkriminelle ihre Taktik ständig anpassen und neue Wege finden, um ihre Opfer auszunutzen.“

Dass signaturbasierte Antivirenlösungen in diesem Zusammenhang offensichtliche Schlupflöcher bieten, wird von der aktuellen Auswertung abermals bestätigt. Knapp die Hälfte aller Malware, die von WatchGuard entdeckt wurde, konnte die traditionelle Sicherheitsfunktionalität mit Hilfe von verschiedenen Verschleierungsmethoden unterwandern. Eine Möglichkeit für Unternehmen, sich gegenüber den ausgeklügelten, schwer fassbaren Bedrohungen abzusichern, ist der Einsatz von weiterentwickelten Abwehrmaßnahmen.

Mehr als 23 Millionen Malwarevarianten in nur drei Monaten

Wie jedes Quartal geht der WatchGuard Lagebericht zur IT-Sicherheit auf die wichtigsten, im jeweiligen Zeitraum erkannten Bedrohungen ein und bietet neben detaillierten Einblicken in die Gefahrenlandschaft auch Empfehlungen, wie sich Unternehmen am besten davor schützen können. Insgesamt haben die weltweit aktiven WatchGuard-UTM-Appliances (Unified Threat Management) im ersten Quartal mehr als 23 Millionen verschiedene Malwarevarianten (durchschnittlich 628 pro eingesetzter WatchGuard-Lösung) und über 10 Millionen Netzwerkübergriffe (durchschnittlich 278 pro eingesetzter WatchGuard-Lösung) identifiziert. Die wichtigsten Erkenntnisse im Überblick:

Kryptowährungs-Miner auf dem Vormarsch

In der Liste der 25 häufigsten Malwarevarianten tauchten zum ersten Mal Kryptowährungs-Miner auf. Zum Hintergrund: Alle WatchGuard-Appliances verfügen über die Sicherheitseinstellung „Linux/Downloader„. Entsprechend dieser Vorgabe wird eine Vielzahl der so genannten, linuxbasierten „Dropper“- oder „Downloader„-Programme abgefangen. Die Dropper zeichnen sich dadurch aus, dass sie Malware herunterladen und ausführen. Dabei greifen sie normalerweise auf ein großes Spektrum an Malware zurück. Nicht so im ersten Quartal 2018: 98,8 Prozent der identifizierten Programme zielten auf den Download des gleichen gängigen, linuxbasierten Krypto-Miners ab. Die bisherigen Analysen fürs zweite Quartal deuten darauf hin, dass Cryptomining-Malware ihren Platz in der Top-25-Liste von WatchGuard nicht nur verteidigt, sondern sogar in die Top 10 vorrückt.

Ramnit-Trojaner feiert Comeback in Italien

Die einzige Malwarevariante auf WatchGuards aktueller Top-10-Liste, die bisher in keiner der vorherigen Auswertungen hervorstach, ist Ramnit. Dabei handelt es sich um einen Trojaner, der erstmals 2010 zu Tage trat und 2016 kurzzeitig wieder auftauchte. Nahezu alle (98,9 Prozent) neuen Ramnit-Entdeckungen wurden aus Italien gemeldet, was auf eine gezielte Angriffskampagne hinweist. Da es frühere Versionen von Ramnit konkret auf Banking-Daten abgesehen hatten, empfiehlt WatchGuard Italienern, zusätzliche Vorsichtsmaßnahmen im Hinblick auf entsprechende Informationen zu treffen. Wichtig ist in dem Zusammenhang beispielsweise die Multifaktor-Authentifizierung bei allen Finanzkonten.

Cyberkriminelle erobern Pazifik-Region

In allen früheren Auswertungen lag die Zahl der gemeldeten Malware-Treffer aus Asien, Australien und Ozeanien deutlich unter dem Volumen von Europa und Amerika. Hier gab es einen enormen Anstieg. Im ersten Quartal 2018 trumpft die Region Asien-Pazifik sogar mit den meisten Malware-Vorfällen im weltweiten Vergleich. Dabei sprechen wir in der Mehrzahl von windowsbasierter Malware. 98 Prozent der Malware-Übergriffe richteten sich gegen Indien und Singapur.

Fast die Hälfte aller Malware umgeht herkömmliche Antivirenlösungen

Die UTM-Lösungen von WatchGuard setzen zur Malware-Abwehr nicht nur auf herkömmliche, signaturbasierte Erkennungsmethoden. Darüber hinaus kommt mit APT Blocker ein weiterer Sicherheitsservice zum Tragen, der auf Verhaltensanalyse basiert. Wenn APT Blocker eine Malware-Variante erkennt, bedeutet dies gleichzeitig, dass diese an der traditionellen – vorgelagerten – AV-Funktionalität bereits vorbeigeschlüpft ist. Die so genannte Zero-Day-Malware (die in der Lage ist, traditionelle signaturbasierte Antiviren-Lösungen zu umgehen) machte im ersten Quartal dieses Jahres 46 Prozent aller Malware aus. Dieser enorme Anteil zeigt, dass Kriminelle weiterhin alles daransetzen, herkömmliche AV-Dienste auszutricksen. Umso mehr unterstreicht das Ergebnis die Notwendigkeit zusätzlicher, verhaltensbasierter Abwehrmaßnahmen.

Mimikatz mit deutlich regionaler Präferenz

Nach mehreren Quartalen Abstinenz tauchte erstmals wieder Mimikatz-Malware – die darauf abzielt, Windows-Passwörter abzugreifen – in der Top-10-Liste von WatchGuard auf. Zwei Drittel aller Vorfälle registrierten die Vereinigten Staaten. Weniger als 0,1 Prozent an der Gesamtsumme meldete der asiatisch-pazifische Raum. Dies liegt möglicherweise an der Komplexität von Doppelbyte-Zeichen in Ländern wie Japan, die bei Passwörtern auf eine symbolbasierte Sprache setzen.

Der aktuelle Internet Security Report umfasst darüber hinaus eine detaillierte Aufschlüsselung des rekordverdächtigen GitHub 1.35 Tbps DDoS-Angriffs. Der vollständige Report steht online zum Download zur Verfügung: https://www.watchguard.com/wgrd-resource-center/security-report.