Kalibrierte Expansion: Jährlicher Cybersicherheitsbericht 2023

RANSOMWARE-Gruppen arbeiten intelligenter statt härter: 2023 war zu beobachten, dass mehrere Familien die Remote- und intermittierende Verschlüsselung maximieren und nicht überwachte Virtual Machines missbrauchen, um Endpoint Detection and Response (EDR) zu umgehen.

Remote-Verschlüsselung

Beobachtet bei

• Akira
• BlackCat
• BlackMatter
• LockBit
• Royal

Intermittierende Verschlüsselung

Beobachtet bei

• NoEscape
• Ransomware Play
• BlackBasta
• Agenda
• BlackCat

VM-Missbrauch zur Umgehung von EDR

Beobachtet bei

• Akira
• BlackCat

Banden starten immer dreistere Angriffe. Die produktivsten Gruppen gehörten 2023 zu den aktivsten: Clop profitierte von großen Schwachstellen, BlackCat startete eine neue Variante und machte dabei seine Erpressung öffentlich. Dafür nutzte BlackCat die viertägige Offenlegungspflicht der Security and Exchange Commission, um ein Opfer zur schnelleren Kommunikation zu bewegen. Zu beobachten sind außerdem schnelle Strategiewechsel: Nach der Abschaltung von Qakbot wandte sich BlackBasta an das Partnerunternehmen Water Curupira Pikabot , um eine Spam-Kampagne zu starten.

Unterdessen ist der Hauptakteur Cerber wieder aufgetaucht. Er nutzte die Schwachstelle von Atlassian Confluence aus, um seine Nutzlast zu verteilen. Die bereits bekannten Datendiebe RedLine und Vidar setzen jetzt auch Ransomware-Nutzlasten ein. Das deutet darauf hin, dass die dahinter stehenden Akteure ihre Techniken multifunktional machen. Der große Akteur LockBit startete auch 2023 weiter hochkarätige Angriffe. Aber die Bande tut sich schwer damit, ihren früheren Erfolg zu halten, nachdem sie mit logistischen, technischen und Reputationsproblemen konfrontiert war. Zu Beginn des neuen Jahres brachte sie eine neue Version heraus, um weiterhin relevant zu bleiben.

2023 setzte sich der dramatische Anstieg der Gesamtzahlen im Smart Protection Network (SPN) bei der Blockierung von Bedrohungen fort. Der Aufwärtstrend, der mit der Pandemie begann, erreichte einen neuen Höhepunkt. Ein genauerer Blick auf den Abwärtstrend bei Früherkennungsfiltern (Email Reputation Service, Web Reputation Service) lässt vermuten, dass Cyberkriminelle umfassendere Ziele zurückstellen und sich stärker auf bessere Infiltrationsaktionen konzentrieren. Dies zeigt sich am kontinuierlichen Anstieg der Endpunkterfassungen (File Reputation Service).

Sicherheitslücken sind nach wie vor ein großes Problem für SOCs. Die Schlagzeilen von 2023 drehen sich um den Missbrauch legitimer Filesharing-Services. Vertrauenswürdige Verfahren zur Überprüfung von Anmeldedaten wie die Multi-Faktor-Authentifizierung können umgangen werden, etwa im Fall von EvilProxy-Angriffen. Auch bekannte Messaging-Plattformen wie Skype und Teams werden von Cyberkriminellen wie DarkGate genutzt, um den Opfern VBA-Loader-Skripte zu übermitteln.

In der Zwischenzeit missbrauchen Bedrohungsakteure legitime Prozesse, wie im Fall des Missbrauchs von aspnet_compiler.exe durch AsyncRAT. Auch die Infostealer RedLine und Vidar sowie ein Angriff, der die Rückkehr von Genesis Market andeutet, missbrauchen EV Code-Signierung zur Umgehung der Verteidigung. Persönliche und verwertbare Daten wie Krypto-Wallets, Browser- und E-Mail-Anmeldeinformationen sind weiterhin das Hauptziel von Cyberkriminellen. Datenshops im Darknet bleiben weiter relevant, wobei RedLine und Vidar die beliebtesten sind. Einzelpersonen und Organisationen sollten den Einsatz von Tools maximieren, die dabei helfen, ihre Daten und Identität zu schützen. Es gehört zum Leben nach der Pandemie, dass die meisten Transaktionen online erfolgen.