• Home

  • Documents

  • Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des...
23
© cnlab security AG Malware in Unternehmen: Verbreitung und Massnahmen 2019 Hochschule Luzern, Campus Zug-Rotkreuz, Rotkreuz Christian Birchler, Stephan Verbücheln 21. November 2019

Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

  • Upload
    others

  • View
    0

  • Download
    0

Embed Size (px)

Citation preview

Page 1: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

©cnlab security AG

Malware in Unternehmen: Verbreitung und Massnahmen

2019

Hochschule Luzern, Campus Zug-Rotkreuz, Rotkreuz

Christian Birchler, Stephan Verbücheln

21. November 2019

Page 2: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Agenda

▪ Moderne Malware

▪ Infektion, Verbreitung und Wirkung

▪ Schutzmassnahmen

2

Page 3: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Typen von Malware (die wichtigsten)

▪ Viren

− Malware, die sich verbreitet und versteckt, indem sie andere Programme «verseucht».

▪ Dropper

− Malware, die andere Malware nachlädt.

▪ Würmer

− Malware, die sich selbst ohne Zutun des Benutzers verbreitet.

▪ Trojaner

− Malware, die sich verdeckt hält und spioniert, ggf. andere Funktionen nachlädt.

▪ Ransomware

− Malware, die das Opfer erpresst.

− Meist, indem sie Daten verschlüsselt.

3

Page 4: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Aktuelle Malware (Auswahl)

▪ Emotet

− ursprünglich Banking-Trojaner, Ziel deutschsprachiger Raum

− mittlerweile Vehikel für andere Malware (Dropper)

▪ Trickbot

− Banking-Trojaner

− stiehlt Login-Daten, Kartennummern, TANs usw.

▪ Ryuk

− Ransomware

− verschlüsselt Daten und erpresst Opfer

4

Page 5: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Verbreitungswege: Infektion

▪ E-Mail

− Benutzer werden dazu gebracht, bösartige Dateien zu öffnen

− E-Mail-Anhänge

− Links

▪ Unsichere Konfiguration

− Unnötige Funktionen sind erlaubt

− Office-Makros, USB-Sticks

▪ Sicherheitslücken

− Lokales System (Windows-Rechner)

− Unsichere Anwendungen (Browser, E-Mail, Office)

▪ Supply Chain

− Geräte oder Software schon beim Hersteller infiziert

5

Page 6: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Verbreitungswege: Interne Weiterverbreitung

▪ E-Mail

− Malware benutzt Adressbücher und E-Mails zur Weiterverbreitung

▪ Unsichere Konfiguration

− Malware versucht sich über zentrale Infrastruktur zu verteilen (Fileserver, Anwendungen)

− Malware stiehlt Benutzername/Passwort (Active Directory)

− Keylogger, Phishing

▪ Sicherheitslücken

− Internes Netzwerk (häufig SMB-Schwachstellen)

− Lokales System (Windows-Rechner)

− Unsichere Anwendungen (Browser, E-Mail, Office)

6

Page 7: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Wie gehen Angreifer vor?

▪ Informationen sammeln

− Adressbücher, Active Directory

− Lokale Server

− Gibt es interessante Daten?

− Wie hoch ist der Wert im Falle einer Erpressung?

▪ Daten ausspionieren

− Zahlungsdaten (Bankdaten, Kreditkartendaten, usw.)

− Credentials für weitere Systeme

− Betriebsgeheimnisse

▪ Lokal Schaden anrichten

− Verschlüsselung von Daten, Löschen von Backups

− Kommunikation zum Opfer (Erpressung)

7

Page 8: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Umgang mit Vorfällen

▪ Je früher ein Vorfall entdeckt wird, desto besser kann man darauf reagieren

▪ Problem: Mitarbeiter melden Vorfälle nicht, da sie negative Konsequenzen fürchten

− Gute Kommunikation mit den Mitarbeitern

▪ Dasselbe gilt für Unternehmen gegenüber Geschäftspartnern und Kunden

− Häufig sind vertragliche und regulatorische Verpflichtungen zu beachten

8

Page 9: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Risiken

Traditionell

▪ Betriebsausfälle

▪ Unerwünschte Zahlungen

Aktuell

▪ Reputation

▪ Erpressung

Durch die richtigen Massnahmen können Eintrittswahrscheinlichkeit reduziert und Schaden

begrenzt werden.

9

Page 10: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahmen

▪ Verhältnismässig wählen

▪ Konsequent durchsetzen

▪ Verifizieren

10

Quelle: Google Umfrage «“...no one can hack my mind”: Comparing Expert andNon-Expert Security Practices», Symposium on Usable Privacy and Security

Page 11: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Backup

IT-Standard

▪ Verfügbarkeit der Daten und Systeme im Fall von technischen Problemen

− Ausfall eines Servers

− Ausfall von Festplatten

▪ Grundregel: Eine Sicherheitskopie ist nur dann ein Backup, wenn es wiederhergestellt werden kann.

Malware (zusätzlich)

▪ Unveränderbarkeit der Daten und Systeme

− Erpressung ist wirkungslos, wenn das Opfer eine intakte Kopie hat

▪ Grundregel: Eine Sicherheitskopie ist nur nützlich, wenn sie vom Angreifer nicht verändert werden kann.

11

Schadensbegrenzung

Page 12: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Update-Management

IT-Standard

▪ Viele Programme verarbeiten Daten unbekannten Ursprungs

− Anhänge von E-Mails (Kunden, Geschäftspartner)

− Downloads aus dem Internet

Malware

▪ Diese Programme müssen immer aktuell gehalten werden

− Betriebssystem

− Browser, E-Mail, Messenger

− Office-Suite, PDF-Reader, Tools generell

12

Schutz gegen Infektion

Page 13: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Awareness-Schulung

IT-Standard

▪ Sensibilisierung der Mitarbeiter

Malware (zusätzlich)

▪ Hohe Sensibilisierung notwendig, Phishing-Angriffe können vom internen Netzwerk kommen

13

Schutz gegen Infektion

Page 14: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Filtern

IT-Standard

▪ E-Mail (Filter auf Malware und Phishing)

▪ Internet-Zugang (Filter auf Malware und Phishing)

▪ Restriktive Zugriffsberechtigungen auf Files

▪ File-Server (Scan auf Schadcode)

Malware (zusätzlich)

▪ Aktive Auswertung von Protokolldaten

▪ Webisolation

14

Schutz gegen Infektion

Page 15: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Berechtigungen

IT-Standard

▪ Mitarbeiter haben Zugriff (lesend und scheibend) auf Daten, die sie nicht benötigen

▪ Mitarbeiter haben administrative Berechtigung an ihrem Arbeitsgerät

▪ Administratoren benutzen ihr Arbeitskennwort auch zur Systemverwaltung (Active Directory)

Massnahme

▪ Rigorose Einschränkung der Zugriffsberechtigungen

▪ Keine administrativen Berechtigungen für Benutzer

Schwierigkeiten

▪ Berechtigungskonzept: Starke Einschränkungen behindern die Arbeit

15

Schutz gegen Verbreitung

Page 16: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Netzwerk, Zonierung

IT-Standard

▪ Flache Strukturen oder einfache Zonierung (Perimeter-Schutz)

Malware

▪ Zonierung behindert Ausbreitung

− Interaktion zwischen Clients verhindern

− Server-zu-Server-Kommunikation einschränken

− Dediziertes Management-Netz

▪ Abtrennung der Backup-Systeme

16

Schutz gegen Verbreitung

Page 17: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Massnahme: Protokollierung und Monitoring

IT-Standard

▪ Nachvollzug von Benutzer-Aktivitäten und System-Verhalten

Malware

▪ Analyse im Rahmen des Incident-Managements (Nachforschungen)

17

Schutz gegen Verbreitung

Page 18: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Positionierung der Massnahmen

18

Ba

cku

p

Up

da

te

Aw

are

ne

ss

Filt

er

Be

rech

tig

un

ge

n

Ne

tzw

erk

, Zo

nie

run

g

Pro

tok

oll

ieru

ng

, M

on

ito

rin

g

Schadensbegrenzung

Schutz gegen Infektion

Schutz gegen Verbreitung

Guter Schutz Schützt teilweise

Page 19: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Behebung

▪ Sofortmassnahmen (Schadensbegrenzung)

− Alle Systeme im betroffenen Segment (Netzwerkzone, Active-Directory-Domain)

ausschalten/trennen,

− Alternative Arbeitsumgebung aufbauen oder aktivieren.

▪ Mittelfristige Massnahmen (Schaden beheben)

− Einsatz einer Task-Force (Notfallorganisation)

− Information an Kunden und Partner,

− Forensische Untersuchung der Infektion,

− Aufbau einer intakten Umgebung,

− Wiederherstellung der Daten (ab Backup),

− Nacharbeiten.

▪ Längerfristige Massnahmen (zukünftige Schäden verhindern) 19

Page 20: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Prüfung der Massnahmen

Warum braucht es eine Prüfung?

▪ Die Massnahmen sind im regulären Betrieb nicht sichtbar (z.B. Zonierung)

▪ Aufweichung der Massnahmen, da diese hinderlich sind

▪ Prüfungen gegen Standards reichen nicht (zu wenig spezifisch)

20

Page 21: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Fazit

▪ Die Wahrscheinlichkeit einer Infektion ist heute hoch. Gute Massnahmen machen das Risiko beherrschbar.

▪ Alte Massnahmen sind nicht wirkungslos geworden, Angreifer passen sich jedoch an.

▪ Massnahmen müssen professionell organisiert werden.

▪ Gute Massnahmen sind aufwendig und müssen langfristig ausgelegt sein.

▪ Ein Befall stellt einen Notfall dar für viele Unternehmen. Man muss entsprechend reagieren.

21

Page 22: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Lektüreempfehlungen zum Thema

Bericht des Heise-Verlags über Emotet und Co.

https://www.heise.de/security/artikel/...4573848.html

Halbjahresbericht von MELANI über Cyberangriffe in der Schweiz und international

2019/1 mit Schwerpunkt Verschlüsselungsmalware

https://www.melani.admin.ch/melani/de/.../halbjahresbericht-2019-1.html

22

https://www.heise.de/security/artikel/Emotet-Trickbot-Ryuk-ein-explosiver-Malware-Cocktail-4573848.html
https://www.melani.admin.ch/melani/de/home/dokumentation/berichte/lageberichte/halbjahresbericht-2019-1.html
Page 23: Malware in Unternehmen: Verbreitung und Massnahmen · − Malware, die sich selbst ohne Zutun des Benutzers verbreitet. Trojaner − Malware, die sich verdeckt hält und spioniert,

Vielen Dank für Ihre Aufmerksamkeit_

©cnlab security AG

[email protected]

+41 55 214 33 40

cnlab security AG

Obere Bahnhofstrasse 32b

CH-8640 Rapperswil-Jona

Switzerland

Christian Birchler

+41 55 214 33 40

Stephan Verbücheln

+41 55 214 33 36

2019

cnlab Speedtest

https://speedtest.cnlab.ch

Datenschutzkurs

https://datenschutzkurs.ch


Cyber Crime - Malware

Cyber Crime - Malware

Internet
Penanganan Malware

Penanganan Malware

Documents
Was hat das… … mit dem… und… … und dem… und… … mit dem zutun???

Was hat das… … mit dem… und… … und dem… und… … mit dem zutun???

Documents
Malware smartphones cnccs

Malware smartphones cnccs

Documents
Malware-multzokatze Teknikak (Malware Clustering ...joxeankoret.com/download/hack_beers_malware_multzokatzea.pdf · Malware Eboluzioa: 2000an 2000. urtean, astean behin ikusten zen

Malware-multzokatze Teknikak (Malware Clustering ...joxeankoret.com/download/hack_beers_malware_multzokatzea.pdf · Malware Eboluzioa: 2000an 2000. urtean, astean behin ikusten zen

Documents
BernhardPOS Malware

BernhardPOS Malware

Documents
Lockdroid malware

Lockdroid malware

Documents
Malware Detector

Malware Detector

Software
La primera será malwarebytes anti-malware. Un vez ... · Malwarebytes Anti-Malware Malware ANTI-MALWARE Registros Lista de ignorados Configuración Más herramientas Escáner Protección

La primera será malwarebytes anti-malware. Un vez ... · Malwarebytes Anti-Malware Malware ANTI-MALWARE Registros Lista de ignorados Configuración Más herramientas Escáner Protección

Documents
Hypervisor-Based Systems for Malware Detection …...Anti-malware software is effective to detect and/or prevent attacks of malware But, the anti-malware approach has several problems

Hypervisor-Based Systems for Malware Detection …...Anti-malware software is effective to detect and/or prevent attacks of malware But, the anti-malware approach has several problems

Documents
Virusy malware

Virusy malware

Technology
LusyPOS Malware

LusyPOS Malware

Documents
Checkmate to crypto malware. Scacco matto ai crypto malware

Checkmate to crypto malware. Scacco matto ai crypto malware

Software
Workshop – Malware applications

Workshop – Malware applications

Documents
Malware Houdiny

Malware Houdiny

Internet
SICHER BLOGGEN 3EIN LEITFADEN - Bitdefenderdownload.bitdefender.com/.../de/Tips_and_Tricks_for_Safe_Blogging.… · Blog-Malware beschränkt sich jedoch nicht auf Bedrohungen, die

SICHER BLOGGEN 3EIN LEITFADEN - Bitdefenderdownload.bitdefender.com/.../de/Tips_and_Tricks_for_Safe_Blogging.… · Blog-Malware beschränkt sich jedoch nicht auf Bedrohungen, die

Documents
Trabajo Malware

Trabajo Malware

Documents
Malware - opakování

Malware - opakování

Documents
Malware, comercio

Malware, comercio

Business
Discuri Malware

Discuri Malware

Documents
Malware Android

Malware Android

Documents
Malware, Malware y más Malware ¿Cómo me puedo proteger? “Dijo el cliente web”

Malware, Malware y más Malware ¿Cómo me puedo proteger? “Dijo el cliente web”

Documents
 · Der litera- risch ausgesprOchen aktlve Arzt Galen beklagt Sich zu Beginn seiner Schrift De ordine librorum darüber- daß einige seiner Werke Ohne sein Zutun und seinen Willen

 · Der litera- risch ausgesprOchen aktlve Arzt Galen beklagt Sich zu Beginn seiner Schrift De ordine librorum darüber- daß einige seiner Werke Ohne sein Zutun und seinen Willen

Documents
Malware jorge

Malware jorge

Documents
REDACCION - MALWARE

REDACCION - MALWARE

Documents
Potao Malware

Potao Malware

Internet
El Malware

El Malware

Documents
1 Automated malware audit service Automatischer Malware Audit

1 Automated malware audit service Automatischer Malware Audit

Documents
Software malware

Software malware

Education
Malware Nilgün Kablan. Malware …………………………………….…….……………………………………………… Geschichte der Malware ……………….…………………………………………………

Malware Nilgün Kablan. Malware …………………………………….…….……………………………………………… Geschichte der Malware ……………….…………………………………………………

Documents