Eine internationale Studie des US-Cybersecurity-Unternehmen CrowdStrike für das abgelaufene Jahr 2018 zeigt zwei zentrale Ergebnisse: Die Cyber-Täter zeigten Kreativität und kriminelle Energie bei ihren Angriffen auf die IT-Infrastruktur. So würden laut CrowdStrike Hacker-Gruppen noch effizienter agieren, das frei aller geographischen und staatlichen Grenze tun und auch in allen Wirtschaftssektoren praktizieren. Jede Lücke in einem System oder einer Organisation würde genutzt werden. Und die zentralen Ziele sind dabei sowohl geopolitischer als auch ökonomischer Natur, wie CrowdStrike berichtet:
Die Innovationskraft von Angreifern und die Raffinesse der E-Crime-Akteure nimmt nicht ab. Das feindliche Ökosystem entwickelt sich weiter und Akteure, die früher diskret und isoliert gearbeitet haben, arbeiten nun koordiniert und bündeln ihre Kräfte. In 2018 bekamen das beispielsweise immer wieder Nutzer von Geschäfts-E-Mail-Adressen zu spüren. Der Report stieß auf Fälle, die weit über das einfache Lesen von E-Mails hinausgingen: Die Akteure konnten live zusehen, wie die E-Mails geschrieben und gesendet werden.
Sie gelangen schnell in die Systeme, werden schnell aktiv, bringen aber, wenn es darauf ankommt, enorme Geduld auf. Staatliche Angreifer sind dabei besonders hartnäckig und einfallsreich bei der Suche nach hochwertigen Daten in der Zielorganisation.
Wie in den Vorjahren bot das unkritische Vertrauen in Legacy-Tools Angreifern die Möglichkeit, sich über einen längeren Zeitraum in den Systemen aufzuhalten. Oft dachten zum Beispiel Unternehmen, dass der Fall gelöst sei. Doch der Angreifer versteckte sich weiter oder war schnell zurück.
Oft migrierten Unternehmen ihre Daten in die Cloud, in der Erwartung, dass die Cloud-Services-Anbieter Sicherheitsmechanismen und -kontrollen haben. Ob die Anbieter die Kontrollen richtig konfiguriert und angewendet haben, konnten sie nicht wissen. Einfache Fehlkonfigurationen und Missverständnisse bei den Zugriffskontrollen ermöglichen Hackern, Zugang zu einem Unternehmen zu erhalten – ganz einfach über den Cloud-Anbieter.
Bösartige Codes und Scheinidentitäten
Und die Cyberkriminellen geben sich immer innovativer. So werden immer häufiger sogenannte “bösartige Codes” und Scheinidentitäten im Netz eingesetzt:
Der mit Commodity-Malware (bösartiger Code, der sich auf eine Software auswirkt, die auf einer Vielzahl von Geräten eingesetzt wird) gewonnene Zugang wird zunehmend an andere Akteure verkauft. Die setzten dann Ransomware ein, stehlen geistiges Eigentum oder initiieren Kryptomining, Betrug und Erpressung. Es wurde zum Beispiel beobachtet, wie Angreifer eine Malware-Familie namens TrickBot benutzten, nur um den damit gewonnenen Zugriff an andere feindlich gesinnte Gruppen weiterzugeben, die daraufhin Erpressungsangriffe starteten. Diese Methode wurde sogar bei kleinen bis mittleren Unternehmen beobachtet. Die Anfälligkeit eines Unternehmens für Commodity-Malware kann letzten Endes ein Indikator für die Wirksamkeit der gesamten Sicherheitsstrategie sein.
Die schnellsten und schädlichsten Angriffe sind nach wie vor diejenigen, bei denen sich Angreifer als legitime Benutzer ausgeben. Sie treten häufig auf, wenn Benutzer-Anmeldeinformationen unkontrolliert, falsch konfiguriert oder umgangen werden. Sobald der Zugriff erfolgt ist, ist das Unternehmen vollständig exponiert. Falsch konfigurierter und undurchdachter Einsatz von Zugriffskontrollen vermittelt Unternehmen oft ein falsches Schutzgefühl.
Vor allem im Hinblick auf noch relativ junge Anwendungen, wie etwa die erst seit wenigen Jahren verfügbaren Digitalwährungen, ihrer Schürfung und ihr Transfer, Stichwort Bitcoin und Co, sind hier neuer Sektor, der als Angriffsziel für Cyberkriminelle dienen kann. Gelingen diese Angriffe, können in kürzester Zeit Milliardenwerte verschoben oder zerstört werden.
