Opfer von Verschlüsselungstrojanern reagieren erfahrungsgemäß oft panisch. Dies zeigt sich auch auf der HiSolutions-Response-Hotline immer wieder. Da wird schnell jeder Strohhalm ergriffen, der Rettung verspricht. Gemein nur, wenn manche Erpresser dies ausnutzen und ein „Entschlüsselungstool“ bereitstellen, welches die Daten einfach noch einmal verschlüsselt, anstatt sie wieder lesbar zu machen.
BND, BfV und BSI haben eine Warnung vor gezielten Cyberangriffen unter TLP-Amber (Kenntnis nur wenn nötig) an alle KRITIS-Betreiber in den Sektoren Energie, Wasser und Telekommunikation sowie an ausgewählte Zulieferer und Partner veröffentlicht. Neben Verweisen auf US-amerikanische Dokumente, welche russische Akteure beschuldigen, enthält die Warnung auch konkrete IOCs (Indicators of Compromise) sowie Details zu TTPs (Tactics, Techniques and Procedures), wie etwa ausgenutzte Schwachstellen.
https://www.tagesschau.de/investigativ/br-recherche/hacker-angriff-infrastruktur-101.html
Ein Angreifer? Hondate! Wie viele Ransom-Viren Honda heimgesucht haben, ist ungewiss. Dass der Autohersteller Opfer einer Ransomware-Attacke wurde, welche zweitweise den weltweiten (IT-)Betrieb zum Erliegen brachte, war spätestens dann klar, als auf dem zu Google gehörenden Analysedienst VirusTotal eine verdächtige Datei hochgeladen wurde, die eine Referenz auf eine nur innerhalb des Honda-Netzes erreichbare Domain enthielt. Auch wenn es bequem ist Erkennungsraten von Schadsoftware auf die Art und Weise messen zu lassen: Angreifer wie Analysten unterschätzen häufig, wie viele sensitive Informationen an Dienste wie VirusTotal übermittelt werden.
Nach Auskunft von BKA, Staatsanwaltschaft Itzehoe und Landeskriminalamt Schleswig-Holstein ist es gelungen, nicht nur einen verdächtigen Hacker „naifu“ ausfindig zu machen, sondern gleich zwei junge Männer (16 und 20). Wegen großangelegter DDoS-Attacken u. a. auf die DKB droht ihnen nun ein Verfahren wegen des Verdachts der Computersabotage in besonders schweren Fällen und versuchter Erpressung.
Der Hersteller von Antivirenschutz Kaspersky hat einen Dienst veröffentlicht, der interne Analysten bereits seit Jahren darin unterstützt, Malware(-Fragmente) bestimmten Akteuren zuzuordnen. Die Software „Kaspersky Threat Attribution Engine“ (KTAE), verfügbar für alle Abonnenten des „Kaspersky Intelligence Reporting“, kann über Machine Learning Ähnlichkeiten in Code-Fragmenten erkennen und so Verwandtschaften finden und eventuell eine Attribution des Urhebers vornehmen.
Über die technische Schwierigkeit von Attribution und die politischen Risiken bei Fehlern wurde schon viel gesagt. Interessanterweise hat KTAE ausgerechnet dabei helfen können, sogenannte „False Flags“, also absichtlich gepflanzte, gefälschte Hinweise auf einen anderen Ursprung, zu entdecken, weil die Techniken der Täuschung an der Stelle noch nicht so ausgefeilt sind.
https://securelist.com/big-threats-using-code-similarity-part-1/97239/
Cloudanbieter pflegen Webseiten zu betreiben, die den aktuellen und meist auch historischen Status aller Services anzeigen. Dumm nur, wenn im Fall einer größeren Outage die Statuspage selbst ebenfalls nicht mehr erreichbar ist. So geschehen bei IBM am 9. Juni, als cloud.ibm.com/status nur noch einen Statusfehler anzeigte. Schuld waren am Ende Netzwerkprobleme bei einem Dritten. Die Verantwortung für die zugesicherten SLAs bleibt dessen ungeachtet beim Cloud-Anbieter, der an seinen großen Versprechen gemessen wird. Unüblich und für das Kundenvertrauen nicht förderlich war in diesem Fall auch, dass IBM auch auf anderen Kanälen, wie etwa Twitter, zunächst keine Informationen zum Incident zur Verfügung stellte.
https://techcrunch.com/2020/06/09/ibm-cloud-suffers-prolonged-outage/
Erhört
Die Cloud hat ihre eigene Sprache. Da hilft ein mehrsprachiges Wörterbuch mit Übersetzung in die On-Prem-Welt:
https://www.managedsentinel.com/on-prem-vs-cloud/
Erfahren
Security-Urgestein Ross Anderson, Professor am berühmten „Computer Laboratory“ in Cambridge, England, arbeitet an der Neuauflage seines bekannten Buches „Security Engineering“. Das hat den Vorteil, dass das Manuskript momentan frei verfügbar ist:
https://www.cl.cam.ac.uk/~rja14/book.html
Der Aufruf seiner spartanischen Website verbraucht übrigens nur 0.07g CO2 verglichen mit 2g für eine typische Business-Website.
(www.hisolutions.com gehört immerhin zu den besten 25%)
Korrelational
Korrelationen spielen auch in der Security eine Rolle – etwa im Risikomanagement. Wie täuschend diese scheinbaren Zusammenhänge oft sein können, zeigt eindrucksvoll:
Es geht diese Tage ein Ruck durch das Neuland – und zwar kein Hau-Ruck, den viele gleichwohl befürchtet hatten, als sich abzuzeichnen drohte, dass auch die deutsche Corona-Warn-App bei Datenschützenden und anderen IT-Justice Warriors von Anfang an in Ungnade stehen würde. Nun staunt der Laie – und selbst der Chaos Computer Club und sein Umfeld wundern sich: Ist die Macht der Datenverbraucherschützer wirklich so groß geworden, dass Behörden sich wandeln und plötzlich agile Open Source produzieren (lassen)? Anscheinend haben das Schreiben offener Briefe und das Führen hitziger Diskussionen in den sozialen Medien diesmal zwei Großkonzerne und mehrere Behörden dazu gebracht, in entscheidenden (auch datenschutz- bzw. sicherheitskritischen) Fragen umzusteuern. Das sind wir nicht gewöhnt!
Gezeigt hat sich auf jeden Fall schon jetzt: Die frühzeitige und umfassende Einbindung, gerade auch kritischer Kunden- und Gesellschaftsgruppen hat der Verbreitung der App zumindest nicht geschadet. Ob dies auch massenhafte Nutzung garantiert, steht auf einem anderen Blatt. Aber in einer idealen Welt wird auch dieser Prozess wie alle anderen gesellschaftlich relevanten Veränderungen von einer informierten und kritisch-produktiven Öffentlichkeit begleitet und wenn notwendig in die richtige Richtung gestupst. Auch angesichts einiger anderer Meldungen in diesem Digest: Zu Tode gesiegt hat sich die digitale Bürgerrechtsbewegung noch lange nicht.
Die Weiterentwicklung des IT-Sicherheitsgesetzes „2.0“ zieht sich nun schon über geraume Zeit. Es ist ein weiterer Referentenentwurf bekannt geworden, der in die Ressortabstimmung geht und über den Sommer mit den Verbänden diskutiert werden soll. Hierin ist geplant, die Bußgelder auf bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes anzuheben – dieses scharfe Schwert hat sich aus Regulierer-Sicht bereits bei der DSGVO bewährt. Die Entsorgung soll sich zu den KRITIS-Sektoren gesellen, außerdem kommen ggf. Auflagen für diverse Typen von „Unternehmen im besonderem öffentlichen Interesse“. Auch letztere sollen alle zwei Jahre ein IT-Sicherheitskonzept nach dem Stand der Technik beim BSI vorlegen. Komponenten für KRITIS-Anlagen rücken zukünftig ebenfalls in den Fokus: Diese sollen zugelassen werden bzw. Herstellergarantien enthalten, dass keine technischen Hintertüren vorhanden sind. Bei Verstößen könnte der Einsatz durch das BMI unterbunden werden.
Das BSI soll künftig Honeypots und Sinkholes betreiben, Portscans im Internet aktiv durchführen und in bestimmten Fällen auch Kommunikation umlenken und Botnetze ausschalten. Bei angreifbaren Systemen könnte die Behörde, die ihre größtenteils passive Schutzrolle verändern würde, aktiv Sicherungsmaßnahmen vornehmen. Darüber hinaus sind auch Erweiterungen von Befugnissen der Strafverfolgungsbehörden geplant, welche bestimmte Daten von sozialen Netzwerken automatisch erhalten sollen. Das BKA soll des Weiteren das BSI als Erfüllungsgehilfen etwa für die Auswertung von Sicherheitslücken heranziehen. Das Fernmeldegeheimnis (Artikel 10 GG) würde unter anderem hierfür entsprechend eingeschränkt. Im Bereich Verbraucherschutz soll das BSI auf dem Feld Cyber neue Aufgaben bekommen und u. a. ein „IT-Sicherheitskennzeichen“ als eine Art elektronischen Beipackzettel für IoT u. ä. einführen. Das Ganze soll mit einem Aufbau von fast 600 (BSI) bzw. 50 (BBK) Stellen einhergehen.
Schwache Passwörter sind in heutigen IT-Umgebungen häufig der entscheidende Knackpunkt, der zwischen Erfolg und Misserfolg eines Angriffs entscheidet. Das wissen auch die Angreifer. Und so ist jeder über das Internet erreichbare Server Brute-Force-Angriffen ausgesetzt. Auch wo die Einführung von 2-Faktor-Authentifizierung möglich wäre, gestaltet sich die praktische Umsetzung oft schwierig.
Um Kunden einen Überblick über die Qualität der verwendeten Passwörter zu geben, führt HiSolutions deswegen praktische Prüfungen der Passwortqualität durch. Dafür verfügen wir über ein spezialisiertes Labor für hochparallelisierte Angriffe auf Hashes und Kennwörter.
Weitere Informationen: https://research.hisolutions.com/2020/04/passwort-audits/
