Im steten Wandel: Trend Micro – Jahresbericht zur Cybersicherheit 2020

Ransomware

Anzahl neuer Ransomware-Familien 2019 und 2020 im Vergleich

Die zehn am meisten von Ransomware-Angriffen betroffenen Branchen 2020

Die neue Ransomware Egregor, die sich besonders in den letzten Monaten des Jahres hervortat, setzte vor allem auf die oben genannte doppelte Erpressungsstrategie, denn die Angreifer hatten es auf bedeutende Organisationen abgesehen, zum Beispiel auf wichtige Unternehmen im Einzelhandel, Gaming-Sektor oder Personalwesen.

Angriffe auf Lieferketten

Auch wo Unternehmen ihre Sicherheitsvorkehrungen erhöht hatten, fanden die Angreifer Wege in deren Systeme, indem sie stattdessen ihre Partner entlang der Lieferkette kompromittierten. Sie nutzten die Geschäftsbeziehung und das langjährige Vertrauen zwischen dem Zielunternehmen und dessen Partnern, um sich Zugang zu den Systemen des Unternehmens zu verschaffen.

Einer der öffentlichkeitswirksamsten aktuellen Angriffe auf die Lieferkette war ein Angriff im Dezember, für den Orion eingesetzt wurde, eine weitverbreitete Systemsoftware für das Netzwerkmanagement von SolarWinds. Die böswilligen Akteure hinter diesem Angriff fügten in bestimmte Builds von Orion eine Schwachstelle ein, die es ihnen ermöglichte, die Server zu kompromittieren, auf denen diese Software ausgeführt wurde. Nachdem das betreffende Update an die Kunden ausgeliefert wurde, konnten die Angreifer Hintertüren einrichten, die ihnen kompletten Zugriff auf die betroffenen Netzwerke gewährten und ihnen erlaubten, verschiedene schädliche Aktivitäten auszuführen. Aufgrund der Bedeutung einiger Ziele, darunter wichtige US-Behörden, war der Angriff von großer Tragweite.

Angriffe mit Covid-19-Bezug

Herausforderungen bei der Remote-Arbeit

Als die Unternehmen auf die Pandemie reagierten und auf Remote-Arbeitsplätze umstellten, wurden virtuelle private Netzwerke (VPNs) zum Schutz der Netzwerkverbindungen vor externen Bedrohungen zu einem wichtigen Werkzeug. Wie jede Software haben aber auch VPN-Lösungen ihre Schwachstellen, über die Angreifer firmeneigene Informationen stehlen und infiltrierte Systeme überwachen können. Auf eine VPN-Schwachstelle, CVE-2019-11510, entfielen allein 2020 fast 800.000 Angriffe. Im gleichen Jahr wurde sie außerdem zur Verbreitung von Ransomware genutzt. Böswillige Angreifer fanden jedoch auch noch andere Möglichkeiten, VPNs zu infiltrieren. So zeigte sich im September ein Fall, bei dem ein Angreifer ein Paket aus VPN-Installationsprogramm und der Hintertür Bladabindi geschnürt hatte, um über die infizierten Rechner auf Informationen zuzugreifen.

Die zunehmende Arbeit im Homeoffice führte auch zu einer verstärkten Nutzung von Kommunikationstools wie Zoom, Slack und Discord. Dies wiederum führte zu immer mehr Angriffen, die diese Anwendungen missbrauchten: von Zoombombing-Pranks und schädlichen Zoom-Installern bis hin zu einer Ransomware-Variante mit Slack-Webhooks und einer Spam-E-Mail-Kampagne, bei der über Discord Malware verbreitet wurde.

Anzahl erkannter bemerkenswerter VPN-Schwachstellen 2020

Cloudbedrohungen

2020 wurde die Cloud in vielen Unternehmen zu einem festen Bestandteil der Betriebsabläufe. Die richtige Konfiguration der Cloudressourcen und -services blieb jedoch eine große Herausforderung. Im April wurde etwa darüber berichtet, dass Angreifer über falsch konfigurierte Docker-Daemon-API-Ports mithilfe der Malware Kinsing Cryptominer einschleusen konnten. Und im Oktober wurde die Meldung eines Angriffs über offengelegte Docker-APIs öffentlich, bei denen der Shellcode Metasploit Framework (MSF) als Sprengladung missbraucht wurde – übrigens das erste Mal, dass sich eine solche Technik beobachten ließ.

2020 veröffentlichte Trend Micro auch Erkenntnisse dazu, wie böswillige Angreifer die Cloudinfrastruktur im Untergrund nutzen. Cyberkriminelle interagieren dort regelmäßig miteinander, um bestimmte Transaktionen durchzuführen. Gelegentlich werden im Untergrund auch Aufgaben für gängige Aktivitäten delegiert, wodurch die illegalen Services sozusagen kommerzialisiert werden. Einige Akteure im Untergrund verkaufen auch den Zugriff auf gestohlene Daten, die als „clouds of logs“ angepriesen werden.

Die Infektionskette der Kinsing-Malware

Verwendung des MSF-Shellcodes für den Angriff auf fehlkonfigurierte Container-APIs

IoT-Angriffe

Cyberkriminellen ist auch die zunehmende Abhängigkeit der Unternehmen und Mitarbeiter vom Internet der Dinge (Internet of Things, IoT) nicht entgangen. Bedenken sind durchaus berechtigt, da Angreifer private Netzwerke und Geräte dazu missbrauchen können, sich Zugriff auf die damit verbundenen Firmennetzwerke zu verschaffen. Dabei sind vor allem die Router anfällig, weil die Sicherheit im Homeoffice in der Regel nicht so hoch ist wie am Arbeitsplatz im Büro.

Im Jahr 2020 stieg die Gesamtzahl eingehender Angriffe im Vergleich zu 2019 um mehr als das Dreifache, die Gesamtzahl ausgehender Angriffe verdoppelte sich nahezu.