Anlässlich unserer 10. Folge des Strive-Podcasts habe ich eine erweiterte Folge veröffentlicht, die sich mit einem realen Cyberangriff befasst und einige der Themen aus früheren Folgen zum Leben erweckt.
Ich habe diesen Angriff während meiner Tätigkeit im Bereich Forensik und Angriffsmodellierung – noch vor meiner Zeit bei Commvault – persönlich untersucht. Die Namen der Unternehmen wurden hier aus offensichtlichen Gründen anonymisiert, aber diese Darstellung vermittelt Ihnen einen Eindruck davon, wie sich eine Sicherheitsverletzung in der Realität abspielt.
Ein Angreifer aus den eigenen Reihen
Dieser Sicherheitsvorfall begann, als das IT-Team ungewöhnliche Aktivitäten im Netzwerk bemerkte. Es fing mit einigen wenigen Warnmeldungen eines Intrusion-Detection-Systems an, die auf mögliche Unregelmäßigkeiten im Netzwerk hinwiesen. Zunächst schien es sich um einen Fehlalarm zu handeln. Doch als die Warnmeldungen immer häufiger auftraten, wurde dem Team klar, dass es sich um etwas Gravierenderes handelte.
Die vom IT-Team beobachteten Warnmeldungen waren in diesem Fall ein Beispiel dafür, dass sie zu spärlich und zu spät kamen. Bei der Aktivität handelte es sich um Netzwerkverkehr, der von Kriminellen ausgelöst wurde, die bereits über Befehls- und Kontrollsysteme – manchmal auch als C2 bezeichnet – mit ihrer Malware kommunizierten.
Die Angreifer hatten ihre Kampagne gegen diese Organisation bereits etwa drei Monate zuvor gestartet – mit Phishing-E-Mails, die so gestaltet waren, dass sie wie legitime interne Mitteilungen aussahen.
Und das war natürlich schon alles, was nötig war – nur ein Mitarbeiter musste auf den eingebetteten bösartigen Link klicken. Ein Fernzugriffstrojaner, ein RAT, ermöglichte es den Angreifern, sich im Unternehmensnetzwerk festzusetzen, und die Vorbereitungsphase des Angriffs war abgeschlossen.
Als Nächstes extrahierten die Kriminellen mit einem Tool namens Mimikatz Anmeldedaten aus dem Systemspeicher und verschafften sich so Administratorzugriff auf das Unternehmensnetzwerk. Nun konnten sie sich lateral im Netzwerk bewegen und weitere Schwachstellen in nicht gepatchten Systemen ausnutzen, um sich weiteren Zugang zum Netzwerk zu verschaffen.
Anschließend begannen sie, verschiedene Befehle auf verschiedenen Rechnern und Servern im gesamten IT-Umfeld aus der Ferne auszuführen, um sich weiter auf einen Ransomware-Angriff vorzubereiten.
Nachdem sie die vollständige Kontrolle erlangt und alle erforderlichen Informationen über die Zielorganisation gesammelt hatten – in diesem Fall dauerte die Aufklärung etwa drei Monate –, setzten die Angreifer die Ransomware Ryuk ein, die dafür bekannt ist, ganze Netzwerke sehr schnell zu verschlüsseln.
Die Auswirkungen des Angriffs waren unmittelbar und verheerend. Kritische Geschäftsanwendungen fielen innerhalb weniger Minuten aus. Das Unternehmen konnte nicht mehr auf wichtige Daten wie wesentliche Systeme, Kundeninformationen, Finanzunterlagen und interne Dokumente zugreifen.
Die Angreifer hinterließen daraufhin eine Lösegeldforderung, in der sie eine beträchtliche Summe in Bitcoin verlangten, um die Daten zu entschlüsseln. Als Reaktion darauf aktivierte die Organisation ihren Notfallplan. Sie begann damit, die betroffenen Systeme zu isolieren, um eine weitere Ausbreitung der Ryuk-Ransomware zu verhindern, und beauftragte Cybersicherheitsexperten mit der Durchführung einer gründlichen Untersuchung.
Das betroffene Unternehmen entschied sich, das Lösegeld NICHT zu zahlen und stattdessen auf Systemsicherungen und Recovery-Verfahren zurückzugreifen. Der Recovery-Prozess war komplex und zeitaufwendig. Die Organisation musste einen Großteil ihrer IT-Infrastruktur fast von Grund auf neu aufbauen.
Grundlegende Schritte zur Wiederherstellung
Der erste Schritt der Organisation war die Eindämmung, d. h. die Isolierung infizierter Systeme, um eine weitere Ausbreitung der Ransomware zu verhindern. Als Nächstes folgte die Beseitigung, also die Entfernung der Schadsoftware und die möglichst vollständige Bereinigung des Netzwerks mithilfe fortschrittlicher Anti-Malware-Tools.
Nach mehreren Tagen der Eindämmung und Beseitigung konnte endlich mit der Wiederherstellung begonnen werden. Leider waren einige wichtige Backups durch die Ransomware kompromittiert worden. Und der Wiederherstellungsprozess verlief hier äußerst langsam.
Es dauerte acht Tage, um festzustellen, wo sich die letzten sauberen Wiederherstellungspunkte für die meisten kritischen Geschäftsanwendungen befanden. Viele aktuelle Daten gingen verloren, und das Unternehmen stand kurz vor dem Zusammenbruch, als die kritischen Systeme vollständig wiederhergestellt werden konnten.
Sobald die kritischen Systeme wieder betriebsbereit waren, begann der Prozess der strengen Überwachung. Hier war die Implementierung verbesserter Überwachungslösungen erforderlich, um jegliche Anzeichen verbleibender böswilliger Aktivitäten zu bekämpfen.
All dies beruhte auf einer umfassenden Kommunikation mit internen und externen Interessengruppen über den Vorfall selbst und die Maßnahmen, die zur Minderung seiner Auswirkungen ergriffen wurden.
Lehren aus dem Sicherheitsvorfall
Dieser Vorfall unterstreicht mehrere wichtige Lehren für Unternehmen jeder Größe:
Erstens sind regelmäßige Cybersicherheitsschulungen für Mitarbeiter unerlässlich. Skepsis gegenüber E-Mails und möglichen Phishing-Versuchen hätte die erste Sicherheitsverletzung möglicherweise drei Monate vor dem ersten Anzeichen einer Kompromittierung verhindern können.
Es ist von entscheidender Bedeutung, über aktuelle Backups zu verfügen, die offline gespeichert, unveränderlich und vor Manipulationen geschützt sind. Und natürlich hätte die regelmäßige Überprüfung dieser Backups in diesem Fall sichergestellt, dass man sich in dieser Notsituation auf sie verlassen konnte. Regelmäßige Tests der Recovery in einer isolierten Umgebung hätten dieser Organisation viel Zeit bei der Recovery gespart.
Die Implementierung einer Multi-Faktor-Authentifizierung hätte die mit dem beobachteten Diebstahl von Zugangsdaten verbundenen Risiken erheblich verringert.
Der Einsatz fortschrittlicher Techniken zur Erkennung von Bedrohungen und Anomalien hätte dazu beitragen können, Bedrohungen frühzeitig zu erkennen und nahezu in Echtzeit zu entschärfen.
Die vollständige Wiederherstellung des Betriebs dauerte mehrere Monate, in denen das Unternehmen mit erheblich reduzierter Kapazität arbeitete. Die finanziellen Kosten waren immens, nicht nur hinsichtlich der Wiederherstellungskosten, sondern auch in Bezug auf entgangene Geschäfte und Reputationsschäden.
Dieser Angriff erinnert uns eindringlich an die allgegenwärtigen Bedrohungen, denen alle unsere Unternehmen ausgesetzt sind, und an die Notwendigkeit, wachsam und vorbereitet zu sein. Cyberkriminelle entwickeln ihre Taktiken ständig weiter, und wir müssen ihnen immer einen Schritt voraus sein, um unsere Unternehmen und unsere Daten zu schützen. Sehen Sie sich hier die gesamte Folge an.
