post

Die Experten von Kaspersky rufen im aktuellen Security Bulletin die wichtigsten Ereignisse in Erinnerung. Gleichzeitig wird ein Blick in die Zukunft geworfen und versucht die Cyberbedrohungen des Jahres 2017 vorauszusagen.

Die Bilanz 2016

Die Prognosen aus dem letzten Jahr sind mehrheitlich eingetroffen, wobei einige Punkte noch früher als erwartet Realität geworden sind. Die Zusammenfassung der wichtigsten Vorhersagen für das Jahr 2016:

APTs: Kaspersky prognostizierte einen abnehmenden Fokus auf die Nachhaltigkeit der Advanced Persistent Threats (Hartnäckige Bedrohungen). Es wurde angenommen, dass sich Angreifer zunehmend unsichtbar machen wollen mit dem Einsatz bekannter Malware. Diese Vermutungen haben sich zweifach bestätigt:

  1. durch eine Zunahme von im Speicher aktiver Malware und dateiloser Schädlinge
  2. durch die Unmenge bekannter zielgerichteter Attacken auf Aktivisten und Unternehmen, die auf Remote-Access-Trojanern basieren, wie zum Beispiel NJRat und Alienspy/Adwind.

Ransomware: 2016 kann als das Jahr der Ransomware bezeichnet werden. Das Spektrum von Finanz-Malware, die darauf abzielt, Nutzer zu täuschen und zu betrügen, hat sich praktisch vollständig in ein reines Ransomware-Universum verwandelt. Dabei werden vermehrt effizientere Erpressungsabläufe entwickelt.

Mehr Bankraube: Überlegungen zum Höhepunkt der Finanzkriminalität waren Angriffe auf Institutionen wie beispielsweise die Börse. Real wurden diese Vorhersagen mit den Attacken auf das SWIFT-Netzwerk. Intelligente und exakt platzierte Malware konnte Abflüsse von Millionenbeträgen ermöglichen.

Internet-Attacken: Das Internet der Dinge (IoT) wird immer populärer.  Aufgrund tiefer Kosten und schnellerer Produktion wurde die Sicherheit vielfach vernachlässigt. So konnten Hacker riesige IoT-Botnetze erzeugen. Das Botnetz war der Grund für Ausfälle bei grossen Internet-Services.

Blossstellungen: Mobbing und Erpressungen setzten sich im grossen Stil fort. Diverse Datenoffenlegungen sorgten für Rufschädigungen und persönliche, sowie politische Probleme. Vom Ausmass dieser Tatsache war auch Kaspersky überrascht.

Prognosen für das Jahr 2017

Indikatoren von Cyberangriffen fraglich
Lange Zeit konnten über Indikatoren einer Cyberinfizierung (Indicators of Compromise, IoCs) Erkenntnisse über bekannte Malware gewinnen und so aktive Infektionen erkennen. Diese Methode war mit der Entdeckung von ProjectSauron nicht mehr anwendbar. Denn die dahinterstehende APT-Gruppe nutzte eine massgeschneiderte Malware-Plattform, über die jede eingesetzte Funktion für jedes anvisierte Opfer verändert wurde. Erkenntnisse über andere Opfer mittels bisher verwendeter Indikatoren waren damit unzuverlässig. Als einzige Chance wird derzeit die Kombination verschiedener Massnahmen wie YARA-Regeln angesehen.

Passive Implantate und Kurzfristige Infektionen hinterlassen kaum Spuren
Bei «passiven Implantaten» handelt es sich um eine Netzwerk-gesteuerte Backdoor, die im Speicher sitzt oder als ein Hintertür-Treiber in einem Internet-Gateway oder einem Internet-zugewandten Server läuft. Diese Implantate warten still darauf, dass entsprechender Code ihre Funktionalität zum Leben erweckt. Währenddessen zeigen Sie kaum Anzeichen einer Infizierung und werden kaum entdeckt. Somit ist es das bevorzugte Tool für die meisten vorsichtigen Angreifer.

Ein ähnliches Mittel, das vermehrt erwartet werden kann, sind vorübergehende Infektionen. Speicherresidente Malware, die einzig für allgemeines Auskundschaften und den Diebstahl von Anmeldedaten erzeugt wurde. In sensiblen Umgebungen könnten Angreifer in Ruhe operieren, bis ein Neustart ihre Infektion aus dem Speicher löscht. Das bedeutet, dass damit keine Spuren hinterlassen werden.

Spionage wird mehr und mehr mobil
In der Vergangenheit wurden diverse mobile Malware-Implantate verbreitet. (Z.B. Sofacy, Roter Oktober und CloudAtlas usw.) Die Kampagnen basierten jeweils hauptsächlich auf Desktop-Toolkits. Da die Nutzung sämtlicher digitaler Dienste immer mehr in Richtung Mobilgeräte geht, wird davon ausgegangen, dass mobile Spionage-Kampagnen auf dem Vormarsch sein werden.

Finanzattacken durch professionelle Untergrundorganisationen
Als sich die Nachricht über die Angriffe auf das Bezahlsystem SWIFT verbreitete, versetzte allein die Kühnheit dieser Tat die Finanzbranche in Aufruhr. Die Schadenssumme erreichte eine Grössenordnung von Millionen von US-Dollar. Cybercrime-Playern wie die Carbanak-Gang haben sich weiterentwickelt und sich höhere Ziele gesetzt.

Kaspersky erwartet eine Zunahme der Zwischenhändler bei SWIFT-Angriffen, die sich in die bewährte kriminelle Untergrundstruktur einfügen. Um einen derartigen Bankraub durchzuführen, benötigt man Erstzugriff, spezialisierte Software, Geduld und ein Geldwäschelösung. Einzelne Schritt können bereits heute einige Cyberkriminelle ausführen. Kaspersky erwartet eine Kommerzialisierung dieser Angriffe mit spezialisierten Lösungen zum Verkauf oder “As-a-Service”.

Stabile Bezahlsysteme
Da Bezahlsysteme immer populärer werden, erwartete Kaspersky ein grösseres kriminelles Interesse an diesen Diensten. Aktuell erscheinen die Systeme besonders widerstandsfähig und es wurden keine Attacken registriert. Doch was für die Kunden eine Erleichterung sein mag, könnte den Anbietern von Bezahlsystemen selbst Kopfschmerzen bereiten. Kaspersky erwartet, dass sich Cyberverbrecher zunehmend mit diesen Systemen befassen werden, um weitere Einnahmequellen zu generieren.

Ransomware Geschäftsmodell auf dem Prüfstand
Die meisten Erpresserprogramme basieren auf einer merkwürdigen Vertrauensbeziehung zwischen Opfer und Angreifern. Eine stillschweigende Vereinbarung suggeriert, dass das Opfer, nach der Zahlung, die blockierten Dateien zurückerhält. Die Cyberkriminellen haben dabei ein erstaunliches Mass an Professionalität bei der Erfüllung dieses Versprechens, so dass dieses Geschäftsmodell gedeihen kann. Doch mit der zunehmenden Popularität werden auch Trittbrettfahrer mitmischen. Kaspersky sieht eine Art von «Skiddie»-Ransomware, die das Opfer dazu bringt Lösegeld zu bezahlen, ohne irgendeine Gegenleistung zu erbringen. Dann wird sich Ransomware nicht mehr von Attacken unterscheiden, bei denen Daten gelöscht werden. Dies hilft dabei, dass Opfer kein Lösegeld überweisen.

Die Angst vor Industriesabotage
Die Stuxnet-Malware hat viel Wirbel ausgelöst und Verschwörungstheorien entwickelt. Es wurde klar, welches Potenzial Angriffe auf industrielle Steuerungssysteme haben. Diese Kampagne wurde sorgfältig geplant und auf langfristige, konkrete Ziele ausgerichtet. Solange kritische Infrastrukturen und Fertigungssysteme mit dem Internet verbunden bleiben, sind Angriffe ein mögliches Szenario. Doch solche Attacken setzen entsprechende Fähigkeiten und bösartige Absichten voraus. Ein Cybersabotage-Angriff wird insbesondere zusammen mit geopolitischen Spannungen vermutet.

Schwache Sicherheit im Internet der Dinge
Kaspersky bemängelte schon früh die schwache Sicherheit des Internets der Dinge, welche Kriminelle nun beispielsweise mit dem Mirai-Botnetz ausnützten. Grundsätzlich werden bekannte Sicherheitslücken mit einem Patch geschlossen. Da diverse Hersteller weiterhin unsichere IoT-Geräte vermarkten, könnten Internet-Vigilanten die Kontrolle übernehmen. Das könnte die Hersteller zum Handeln zwingen. Eine natürliche Abwehrreaktion dieser Geräte durch DDoS-Angriffe oder Spam könnte darin bestehen, alle miteinander ausser Gefecht zu setzen.

Meinungsmache mit Enthüllungen unter falscher Flagge
Bei der Erstellung gefälschter Shops, die dazu dienen, Daten zu stehlen und die Opfer zu erpressen, haben Kriminelle wie Lazarus und Sofacy Vorarbeit geleistet. Kaspersky erwartet, dass die Informationskriege zunehmen werden, damit relevante Prozesse beeinflusst und Unsicherheit gestiftet werden kann. Die Akteure  selbst wollen ihre Daten verkaufen und haben kaum etwas zu verlieren, da der Inhalt der Enthüllung meist von der Attacke ablenkt.

Die Gefährlichkeit liegt dabei nicht im Eindringen in die Privatsphäre, sondern vielmehr darin, dass gestohlene Datenbanken als nachrichtentaugliche Fakten mehr und mehr akzeptiert werden. Clevere Akteure versuchen, die Auswirkungen zu manipulieren, beispielsweise durch Datenmanipulation oder durch Unterlassung.

Die wertvollen personenbezogenen Daten
Werbetreibende nutzen insbesondere Cookies für ihre Zwecke. Diese Verwendung wird sich wahrscheinlich weiter ausbreiten, und zwar in Kombination mit Widgets und anderen Erweiterungen. Damit wollen Unternehmen das komplette Surfverhalten der Nutzer individuell verfolgen können, um ein zusammenhängendes Bild zu erstellen.

In gewissen Teilen der Welt werden raffinierte Angriffe auf Aktivisten, Oppositionelle und Andersdenkende erfolgen und sämtliche Aktivitäten in Sozialen Medien beobachtet. Möglicherweise werden Akteure sogar versuchen in ein Soziales Netzwerk einzubrechen, um dort das wertvolle Gut der gesamten personenbezogenen Daten zu entwenden.

Das Spionage-Werbenetz
Werbenetzwerke werden gerne ausgenutzt, um bestimmte Zielgruppen anzugreifen. Werbeplatzierungen sind bereits monetär gesteuert. Regulierungen sind kaum vorhanden. Regelmässige Malvertising-Attacken unterstreichen dies. Werbenetzwerke bieten ein exzellentes Ziel-Profiling, mittels einer Kombination aus IPs, Browser-Fingerabdrücken, Surfinteressen und Login-Verhalten. Diese Art von Nutzerdaten ermöglicht es einem Angreifer, ein Opfer selektiv zu infizieren. Grossflächige kollaterale Infektionen können vermieden werden, um nicht auf den Radarschirm der Sicherheitsforschern zu geraten. Kaspersky erwartet, dass Cyberspionage-Akteure nur kleine Investitionen in Werbenetzwerke planen, um Ziele zu exakt zu treffen, insbesondere aber die neuesten Toolkits zu schützen.

Der Aufstieg des Selbstjustiz-Hackers
Leitfaden für aufstrebende Hacker, die ungerechte Organisationen oder Unternehmen behindern oder sabotieren wollen sind veröffentlicht worden. Verschwörungstheorien, Fakenews, und den Glauben daran, dass Datenlecks ausschlaggebend z.B. für Wahlkampf sein können, beeinflussen massgeblich die Hackerszene. So werden Angreifer vermehrt zur Selbstjustiz greifen.

Genauere Details entnehmen Sie bitte dem Kaspersky Security Bulletin. Prognosen für das Jahr 2017