WannaCry – noch kein Aufatmen möglich

200.000 Opfer, 150 Länder, aber bisher nur 30.000 Euro Lösegeld - die Zahlen wirken beeindruckend. [...]

Beeindruckend deshalb, weil die erste Angriffswelle durch Zufall relativ schnell gestoppt wurde. Doch zum Aufatmen ist es leider noch zu früh, zum einen, weil erst nach und nach das wahre Ausmaß bekannt werden wird und zum anderen, weil die Angriffe ohne viel Aufwand wieder gestartet werden können.

Nach den Erkenntnissen der offiziellen Stellen floss bislang nur wenig Lösegeld, der Return on Invest für die Attacke ist also gering. Dass anscheinend bei keinem der Betroffenen die Daten zurückerstattet wurden, obwohl diese das Lösegeld bezahlt haben, wirft weitere Fragen über die Beweggründe der Angreifer auf. Anscheinend verfügen die Versender gar nicht über die Möglichkeiten, die per Ransomware verschlüsselten Daten wieder zu entschlüsseln. Obwohl einige Opfer bereits die erpressten Bitcoins überwiesen haben.

Trotzdem wird es bei diesem ersten Angriff nicht bleiben, es wird weitere Attacken geben. Die Anzahl der Angriffsvektoren ist zu groß, so dass die Angreifer nicht einfach aufhören werden. Nach den Erkenntnissen des Sicherheitsunternehmens Check Point wurden fünf klar voneinander unterscheidbare Methoden eingesetzt. Mit dem WannaCryptor werden Unternehmen per direkter Infektion angegriffen. E-Mails mit bösartigen Links werden versendet. E-Mails enthalten außerdem bösartige PDF-Anhänge oder aber ZIP-Dateien, die ebenfalls Schadcode-belastete PDFs enthalten. Darüber hinaus wurden Brute Force-Attacken gegen RDP-Server registriert, die bei Erfolg ebenfalls die Ransomware streuen.

Nun wird es im Zuge der Bedrohung zwar zu einer Update-Welle kommen, aber nicht alle Systeme werden gepatcht, wie wir aufgrund vorangegangener Erfahrungen wissen. Was vor allem in spanischen und englischen Krankenhäusern passiert ist, weckt Erinnerungen an das Frühjahr 2016, als der Locky-Verschlüsselungstrojaner vor allem in Deutschland sein Unwesen trieb und zu ähnlichen Ausnahme-Situationen führte. Diesmal aber verbreitet sich die Malware wie ein Virus und verteilt sich von einem Rechner über das gesamte Netzwerk auch auf andere Rechner.

Die WannaCry-Ransomware tauchte erstmals am 10. Februar in der Version 1 auf. Bei der Ransomware-Welle am Freitag nutzen die Angreifer die Version 2.0 der gleichen Schadsoftware. Organisationen bzw. deren IT-Abteilungen sollten nun ihre IT-Systeme scannen, potentiell gefährliche Anhänge von E-Mails blocken und den Schadcode herausfiltern. Noch besser ist der Einsatz von speziellen Sicherheitstechnologien zum Filtern von bösartigem Schadcode aus E-Mail-Anhängen, bevor die Mitarbeiter diese öffnen können. Lösungen zum Erkennen von infizierten Webseiten sorgen außerdem dafür, dass auch Links in E-Mails gesperrt werden. Auch sind bereits Lösungen verfügbar, die in letzter Instanz auf dem Endpunkt Ransomware erkennen, stoppen und bereits verschlüsselte Dateien automatisch zurückspielen. Hier zeigen wir wie das funktioniert:

Sind solche Lösungen im Einsatz, dann sind Organisationen vor den Angriffen mit WannaCry & Co. geschützt. Zusätzlich bedarf es aber auch Schulungen der Mitarbeiter, damit sie verdächtige Anhänge erkennen und bei den entsprechenden Stellen melden.
*Die Autorin Sonja Meindl ist Country Manager Alps (Österreich und Schweiz) von Check Point Software Technologies.