Tagebuch eines Ransomware-Angriffs: Ein Blick hinter die Kulissen des Vorfalls bei Colonial Pipeline

Ransomware ist für jedes Unternehmen ein verheerender Schlag. Als Erstes denkt man dabei an den finanziellen Schaden, doch andere Aspekte des Vorfalls können ebenso schwerwiegend oder sogar noch schlimmer sein. Die durch einen einzigen Ransomware-Angriff verursachten Störungen wirken sich auf den gesamten Betrieb aus und lösen einen Dominoeffekt aus, der weitreichende Folgen haben kann. Der Ransomware-Vorfall bei Colonial Pipeline im Mai 2021 ist ein gutes Beispiel dafür, wie sich dieser Dominoeffekt auswirkt.

Von Ransomware betroffene Unternehmen verlieren schätzungsweise durchschnittlich sechs Arbeitstage, und 37 % von ihnen verzeichnenAusfallzeiten von einer Woche oder mehr. Das kann sich niemand leisten – insbesondere jetzt, wo die Budgets in einer unsicheren Wirtschaftslage stark unter Druck stehen. Die Störung bei Colonial Pipeline wirkte sich nicht nur auf die Produktivität des Unternehmens aus, sondern auch auf den Alltag vieler Amerikaner und rückte die Gefahr von Cyberangriffen auf Infrastruktur oder kritische Dienstleistungen in den Fokus. Die meisten Ransomware-Angriffe sind komplexe, im Verborgenen ablaufende Operationen, deren genaue Details selten ans Licht kommen. Der Ransomware-Vorfall bei Colonial Pipeline wurde jedoch umfassend untersucht, erforscht und berichtet, was einen seltenen Einblick in den Ablauf eines Ransomware-Angriffs gewährt.

5 wichtige Fakten zum Thema Ransomware und Unternehmen, die man im Hinterkopf behalten sollte

• Die Gefahr durch Ransomware stieg in der ersten Hälfte des Jahres 2021 sprunghaft an – es gab schätzungsweise304,7 Millionen versuchte Ransomware-Angriffe.
• 50 % der IT-Fachkräfteglauben nicht, dass ihr Unternehmen darauf vorbereitet ist, einen Ransomware-Angriff abzuwehren.
• 70 % der IT-Führungskräfte gehen davon aus, dass ihr Unternehmen im nächsten Jahr durch E-Mail-Angriffe Schaden nehmen wird.
• Die Kosten für Ransomware-Vorfälle weltweit – einschließlich Untersuchung, Behebung und Wiederherstellung – werdenbis 2031 voraussichtlich 265 Milliarden US-Dollar übersteigen.
• Fast ein Drittel (32 %) der befragten KMU ineiner Studie aus dem Jahr 2020nannten fehlende finanzielle Mittel als größtes Hindernis für die digitale Sicherheit.

Die Geschichte des Vorfalls bei der Colonial Pipeline

Vorbereitung des Einsatzes

Die Ransomware-Bande„DarkSide“erlangte Bekanntheit durch einen erfolgreichen Angriff auf Colonial Pipeline, bei dem sie eine Lösegeldsumme in Höhe von schätzungsweise etwas mehr als 4 Millionen US-Dollar erbeutete. Diese Operation wurde jedoch nicht direkt von den Entwicklern und Betreibern von DarkSide durchgeführt. Stattdessen wurde der Hack bei Colonial Pipeline von einem Partner der übergeordneten Organisation unter Verwendung der proprietären Malware von DarkSide durchgeführt.  Dieser Partner beauftragte überDark-Web-Foreneigene Subunternehmer und beschaffte sich Ressourcen aus Dark-Web-Datenmärkten und -Dumps, um die Tat auszuführen.

Dann ließ die Satelliten-Bande ihre Falle zuschnappen und verübte einen verheerenden Angriff auf Colonial Pipeline, der die größte Kraftstoffpipeline der USA lahmlegte. Der Einstiegspunkt für die Bande war ein einziges kompromittiertes Mitarbeiterpasswort, das ihnen den Schlüssel zum Königreich verschaffte. Mithilfe dieses gestohlenen Passworts drang der DarkSide-Partner in die zugegebenermaßen laxen digitalen Sicherheitsvorkehrungen von Colonial Pipeline ein und lieferte seine Fracht – die firmeneigene Ransomware von DarkSide –, um die Systeme und Daten von Colonial Pipeline zu verschlüsseln. Danach kam der einfache Teil: Der Partner stellte einen Timer für die Auslösung der Malware ein, stellte seine Lösegeldforderung und lehnte sich zurück, um auf sein Geld zu warten.

Die Falle auslösen

Etwas mehr als eine Woche nach dem ersten Eindringen setzte die Ransomware-Infektion ein und leitete damit die Schlussphase der Operation der Partnerorganisation ein.  Ein Mitarbeiter, der seinen Arbeitstag im zentralen Kontrollraum von Colonial Pipeline begann, sah auf seinem Computer eine Lösegeldforderung in Kryptowährung aufpoppen und rief seinen Vorgesetzten hinzu. Dann begann für Colonial Pipeline ein Wettlauf gegen die Zeit, bei dem das Unternehmen versuchte, der Infektion zuvorzukommen, um seine Systeme und Daten zu schützen. Nachdem die Pipeline abgeschaltet worden war, um den Schaden zu begrenzen und ein weiteres Vordringen der Hacker zu verhindern, musste Colonial Pipeline in aller Eile Experten hinzuziehen, um Hilfe zu erhalten.

Die Angreifer legten Colonial Pipeline mit verheerenden Folgen lahm und unterbrachen damit die Benzinversorgung im gesamten Osten der USA. Der Medienrummel um den Angriff veranlasste besorgte Verbraucher dazu, in langen Schlangen an Tankstellen zu warten – aus Angst vor einer möglicherweise lang anhaltenden, drohenden Kraftstoffknappheit, die sich letztendlich nicht wirklich einstellte. Doch das spielte keine Rolle. Alle großen Nachrichtenmedien berichteten über dieses riesige Ereignis, und Cybersicherheit wurde zum Lieblingsthema aller, insbesondere im Hinblick auf den Einsatz von Cybersicherheit in der Kriegsführung und bei Hackerangriffen durch Nationalstaaten – obwohl letztendlich festgestellt wurde, dass es sich nicht um eine Operation staatlich gestützter Akteure handelte, sondern lediglich um gierige Cyberkriminelle.

Die Früchte ernten (und die Konsequenzen tragen)

Zusätzlich zu den für die Entschlüsselung gezahlten Lösegeldern stahl die Bande schätzungsweise 100 Gigabyte an Daten, die potenziell hochsensibel waren. Dies bot ihnen eine weitere Möglichkeit, Profit zu erzielen – unabhängig davon, ob Colonial Pipeline sich entschied, das Lösegeld zu zahlen oder nicht. Zudem bedeutet die Zahlung an die Angreifer nicht, dass die Daten des Opfers vollständig zurückgegeben und nicht kopiert oder für andere Cyberkriminalitätsdelikte verwendet werden. Es gibt niemals eine Garantie dafür, dass die Bande Ihre Daten nicht bereits kopiert und verkauft hat, und Sie können nie sicher sein, ob sie die Wahrheit sagt, wenn sie behauptet, dies nicht getan zu haben. Tatsächlich könnenweniger als 60 %der Unternehmen, die das Lösegeld zahlen, auch nur einen Teil ihrer Daten wiederherstellen, und 39 % der Unternehmen, die Lösegeld zahlen, sehen ihre Daten nie wieder.

Nach jedem Maßstab war der Angriff des DarkSide-Partners ein durchschlagender Erfolg. Die Angreifer erzielten einen riesigen Gewinn und erbeuteten eine Fundgrube wertvoller Daten. Colonial Pipeline zahlte den Angreifern innerhalb kurzer Zeit mindestens ein Lösegeld in Höhe von 4,4 Millionen Dollar. Auch die übergeordnete DarkSide-Bande verdiente daran: Laut Forschern von FireEye müssen DarkSide-Partner etwa 25 % aller Lösegeldzahlungen unter 500.000 Dollar sowie 10 % aller erfolgreichen Lösegeldzahlungen über 5 Millionen Dollar an die übergeordnete Bande abführen.

Die Cyberkriminellen, die diese Operation durchgeführt haben, sorgten auf der Weltbühne und in Hacker-Kreisen für großes Aufsehen. Sie sammelten Ressourcen, die ihnen bei der Durchführung künftiger Cyberkriminalitätsoperationen helfen sollten. Sie stärkten in gewisser Weise ihren eigenen Ruf und den der Bande, schufen aber gleichzeitig ein Problem, das letztendlich zum Untergang von DarkSide führte. Eine groß angelegte und mit umfangreichen Ressourcen durchgeführte Untersuchung der Umstände und der Beteiligten des Angriffs auf Colonial Pipeline zwang DarkSide in den Untergrund, und die Organisation löste sich offiziell auf. Ein Teil des Lösegeldes wurde später vom FBI im Rahmen einer verdeckten Ermittlungsaktion gegen Cyberkriminalität sichergestellt.

Ransomware ist sehr profitabel, insbesondere die von DarkSide bevorzugte Variante mit doppelter Verschlüsselung. Bevor die Bande nach dem Vorfall bei Colonial Pipeline von der Bildfläche verschwand, hatte DarkSide laut Blockchain-Analysten vonElliptic im Laufe ihres kurzen Bestehens 90 Millionen US-Dollar an Lösegeldzahlungen in Bitcoin erhalten. Sie schätzten ferner, dass die durchschnittliche Lösegeldzahlung bei einer DarkSide-Aktion bei etwa 1,9 Millionen US-Dollar lag. Von der Gesamtsumme, die DarkSide durch seine Operationen einnahm, flossen nach Schätzungen dieser Experten 15,5 Millionen US-Dollar an den Entwickler von DarkSide, während 74,7 Millionen US-Dollar an die Partner der Bande gingen.

Die Prognose sieht nicht gut aus

Dieser Angriff rückte Ransomware in den Mittelpunkt einer breiteren gesellschaftlichen Debatte darüber, wie wichtige Ressourcen geschützt und Cyberkriminalität in der digitalen Welt bekämpft werden können. Im Zuge dieses Angriffs richtete die US-Bundesregierung eine zentrale Anlaufstelle zum Thema Ransomware ein, um die verfügbaren staatlichen Ressourcen unter einem Dach zu bündeln und Unternehmen im Kampf gegen Cyberkriminalität zu unterstützen. Diese Ressource kommt genau zum richtigen Zeitpunkt – Ransomware-Angriffe setzen Unternehmen weiterhin stark zu und erreichten im zweiten Quartal 2021 bisher ungeahnte neue Höchststände.

• Ransomware macht mittlerweile 69 % aller Angriffe mit Malware aus

• Das entspricht einem Anstieg von 30 % gegenüber dem gleichen Quartal im Jahr 2020. Dieser Anstieg umfasst

• Allein im April 2021 war ein massiver Anstieg der Ransomware-Angriffe um 45 % zu verzeichnen

• Britische Forscher stellten fest, dass 22 % der Angriffe im ersten Quartal 2021 durch Ransomware verursacht wurden.

Die Zukunft des Ransomware-Risikos

Was können wir in naher Zukunft hinsichtlich der Entwicklung von Ransomware und Cyberkriminalität erwarten? Hier sind drei unserer Prognosen.

1. Verstärkter Einsatz von Ransomware als Waffe

Im Dezember 2020 bekamen die US-Regierung und viele große Unternehmen die tatsächlichen Auswirkungen einesmassiven, präzise gezielten Angriffs durch einen Nationalstaatzu spüren, nachdem es bei dem Cybersicherheits-Software-Riesen SolarWinds zu einem Sicherheitsverstoß gekommen war. Ein chaotisches Gewirr aus Hintertüren, gefälschten Patches, Business-E-Mail-Compromise, Schadcode, Phishing und vielem mehr wurde entwirrt und brachte die alarmierende Tatsache ans Licht, dass vermutlich von Russland unterstützte staatlich geförderte Hacker monatelang in den Systemen der US-Regierung und der Verteidigungsbehörden aktiv waren und auf alle möglichen Informationen zugegriffen hatten. Dieselbe Hackergruppe wurde auch mit Angriffen auf Microsoft, Cisco, FireEye und weitere große Technologieunternehmen in Verbindung gebracht. Dies ist einer der bislang größten Belege dafür, dass Ransomware als Instrument der Spionage oder sogar der Kriegsführung eingesetzt wird.

2.Das Phishing-Risiko, das immer weiter zunimmt

Das Phishing-Risiko steigt explosionsartig an und lag 2021 um fast 300 % über den Rekordwerten von 2020. Ein Teil dieses Anstiegs lässt sich auf die anhaltenden Pandemie-Lockdowns zurückführen, die zu einer Ausweitung der Telearbeit und zu neuen hybriden Arbeitsmodellen geführt haben. Leider waren im Jahr 2020 schätzungsweise74 % der Unternehmen in den Vereinigten Staatenvon mindestens einem Phishing-Angriff betroffen, und 80 % der Befragten einer britischen Umfrage gaben an, dass auch ihre Unternehmen einen Anstieg der Anzahl von Phishing-Angriffen verzeichneten.

3.Zunahme strategischer Angriffe mit höchster Präzision

Forscher stellten fest, dass gezielte Ransomware um atemberaubende767 % zugenommen hat und damit alle anderen Arten bei weitem in den Schatten stellt. Dieser Anstieg an bösartigen Nachrichten, die auf sorgfältiger Social-Engineering-Technik basieren, war insbesondere in der APAC-Region zu spüren. Auchdiejüngsten Zahlenbritischer Forscherzeichnen ein beunruhigendes Bild: Im ersten Quartal 2021 gab es einen rekordverdächtigen Anstieg der Angriffe auf britische Ziele um 11 % im Vergleich zum Vorjahreszeitraum. Britische Unternehmen waren zwischen Januar und März 2021 im Durchschnitt jeweils 172.079 Cyberangriffen ausgesetzt, was 1.912 Angriffen pro Tag entspricht. Cyberkriminelle wählen ihre Ziele mit Bedacht aus, um aus jedem Angriff den größtmöglichen Nutzen zu ziehen und Ermittlungen der Strafverfolgungsbehörden zu minimieren, die sie in Schwierigkeiten bringen könnten.

Entdecken Sie das Geheimnis einer wirksamen Abwehr gegen Ransomware

Um Ransomware zu stoppen, muss man zunächst Phishing unterbinden. Richten Sie im Handumdrehen einen intelligenten Schutz gegen Ransomware-Bedrohungen ein – mit der automatisierten, KI-gestützten E-Mail-Sicherheit vonKaseya 365 User. Als ideale Lösung zur Bekämpfung der Flut gefährlicher Phishing-E-Mails, die jedes Unternehmen überschwemmt, bietetKaseya 365 User mehr Schutz durch drei leistungsstarke Sicherheitsschichten.

• TrustGraph nutzt mehr als 50 verschiedene Datenpunkte, um eingehende Nachrichten umfassend zu analysieren, bevor sie in die Posteingänge der Mitarbeiter weitergeleitet werden. TrustGraph lernt zudem aus jeder durchgeführten Analyse und fügt diese Informationen seiner Wissensdatenbank hinzu, um Ihren Schutz kontinuierlich zu optimieren und ohne menschliches Eingreifen weiter zu lernen.

• EmployeeShield fügt Nachrichten, die potenziell gefährlich sein könnten, einen auffälligen, deutlich erkennbaren Rahmen hinzu. So werden die Mitarbeiter auf unerwartete und möglicherweise unerwünschte Nachrichten hingewiesen und können diese mit einem Klick zur Überprüfung durch den Administrator melden.

• Mit Phish911 können Mitarbeiter verdächtige Nachrichten, die sie erhalten, sofort melden. Wenn ein Mitarbeiter ein Problem meldet, wird die betreffende E-Mail nicht nur aus dem Posteingang dieses Mitarbeiters entfernt, sondern aus den Posteingängen aller Mitarbeiter und automatisch in Quarantäne verschoben, damit sie von einem Administrator überprüft werden kann.

Die Entscheidung liegt auf der Hand: Intelligente, automatisierte E-Mail-Sicherheit ist für Unternehmen im Jahr 2021 und darüber hinaus der richtige Schritt. Wir helfen Ihnen dabei, Ihrem Unternehmen die großen Vorteile automatisierter Sicherheit zu einem geringen Preis zu verschaffen, ohne dabei auf Funktionalität oder Innovation verzichten zu müssen – entscheiden Sie sich für „Kaseya 365 User“.Vereinbaren Sie noch heute eine Demo.