Monatliches Archiv: Oktober 2020

Ransomware: Hier hört der Spaß auf!

Zunächst einige Informationen zur Vorgeschichte:

Am 10. September wurde das Universitätsklinikum Düsseldorf Opfer eines Cyberangriffs bei dem insgesamt 30 interne Server durch die Ransomware-Malware DoppelPaymer verschlüsselt werden konnten; der Patientendurchsatz sah sich durch diesen Vorfall enorm beeinträchtigt. Nur wenige Tage später war das Klinikum infolge des IT-Ausfalls seiner Installationen dazu gezwungen, einer lebensbedrohlich erkrankten Patientin die Krankenhausaufnahme und eine damit verbundene Notoperation zu verwehren. Die Frau wurde umgehend in ein Wuppertaler Krankenhaus umgeleitet, verstarb allerdings noch auf dem Weg ins benachbarte Klinikum. Es handelt sich hierbei um den ersten bekannten Ransomware-Angriff mit Todesfolge.

Der tödliche Unfall (vorausgesetzt, die Angreifer waren sich einem solch schwerwiegenden Ausgang nicht bewusst) ist und bleibt tragisch – vor allem die Tatsache, dass in diesem Fall grundlegende Regeln der Cybersicherheitshygiene ganz klar vernachlässigt wurden, lässt einiges zu wünschen übrig. Dazu gesellt sich die offensichtliche Unfähigkeit der Strafverfolgungsbehörden, den beteiligten organisierten Kriminellen erfolgreich entgegenzutreten.

Die Hacker konnten das Krankenhausnetzwerk über eine Schwachstelle auf den Citrix Netscaler-Servern, die als Shitrix bekannt ist und bereits im Januar dieses Jahres gepatcht wurde, angreifen. Es scheint, als hätten die Systemadministratoren also viel zu lange mit der Installation des Patches gewartet. Diese Nachlässigkeit ermöglichte es den Kriminellen, in das Netzwerk einzudringen und eine Backdoor zu installieren.

Bis zu diesem Punkt handelt es sich um harte Fakten. Im Anschluss folgen einige Vermutungen, die bis dato so nicht bestätigt werden konnten, die aber dennoch mehr als wahrscheinlich sind …

Es ist nicht auszuschließen, dass die Backdoor in Untergrundforen als „Universitäts-Backdoor“ an andere Hacker verkauft wurde. Tatsächlich zielte der Angriff ursprünglich auf die nahe gelegene Heinrich-Heine-Universität ab. Das geht immerhin aus der von den Erpressern verfassten E-Mail hervor, in der diese ein Lösegeld für die Freigabe der von ihnen verschlüsselten Daten fordern. Nachdem die Hacker auf ihr tatsächliches Angriffsziel aufmerksam wurden, händigten sie dem Krankenhaus umgehend alle Schlüssel zur Entsperrung der Systeme aus (und tauchten ab). All das erweckt den Eindruck, dass Cyberkriminelle kein besonderes Interesse an Krankenhäusern zu haben scheinen. Sie gelten als zu „toxisch“ (wie dieser Vorfall auf die schlimmste – tödlichste – Art und Weise gezeigt hat).

Hinter der Malware DoppelPaymer wird die russischsprachige Hackergruppe Evil Corp, der weitere hochkarätige Cyber- und Ransomwareangriffe (darunter auch der Angriff auf das Garmin-Netzwerk) zugeschrieben werden können, vermutet. Im Jahr 2019 erhob die US-Regierung deshalb bereits Anklage gegen Einzelpersonen der Gruppe Evil Corp und setzte eine Belohnung in Höhe von fünf Millionen US-Dollar für Unterstützung bei der Festnahme dieser Personen aus. Merkwürdig ist, dass die Kriminellen keine Unbekannten sind, sondern bis vor kurzem sogar noch mit ihrem glamourösen Gangster-Lifestyle prahlten – auch in den sozialen Medien.

Quelle

In unserer Welt scheint momentan einiges gewaltig schief zu laufen. Zum einen wäre da die Tatsache, dass Krankenhäuser überhaupt unter den kriminellen Machenschaften skrupelloser Ransomware-Hacker zu leiden haben – auch, wenn das Klinikum den Kriminellen in diesem Fall ganz offensichtlich nur durch eine Verwechselung zum Opfer gefallen ist. Dennoch ist auch das zweite Szenario, das sich aus eben dieser Verwechslung ergibt, nicht besonders vielversprechender: denn es bedeutet nur, dass nun auch Universitäten ins Blickfeld von Cyberkriminellen geraten sind (oft, um Forschungsdaten zu stehlen – einschließlich COVID-19-bezogene Daten). Doch auch aus Cybersicherheitsperspektive gibt es einiges zu bemängeln …

… denn, wie kann ein Krankenhaus überhaupt so nachlässig sein? Eine Schwachstelle nicht rechtzeitig zu patchen, sodass Cyberkriminellen Tür und Tor weit offenstehen und Backdoors ohne Probleme installiert werden können? Wie oft haben wir in der Vergangenheit schon betont, dass FreeBSD (damit arbeitet Netscaler) in keinster Weise sicher, sondern genau das Gegenteil der Fall ist: Hierbei handelt es sich um den „falschen Freund“ eines jeden Cybersicherheitsexperten. Dieses Betriebssystem ist keineswegs immun und weist Schwachstellen auf, die sich für ausgeklügelte Cyberattacken ausnutzen lassen. Und dann wäre da natürlich noch die Tatsache, dass eine so kritische Einrichtung wie ein Krankenhaus (also infrastrukturelle Organisationen) einen mehrstufigen Schutz benötigen, bei dem jede Ebene die andere unterstützt: Hätte das Krankenhaus einen zuverlässigen Schutz für das interne Netzwerk installiert, hätten es die Hacker vermutlich nie so weit geschafft.

Die deutsche Polizei untersucht nun die Vorgänge, die zum Tod der Patientin geführt haben. Und ich hoffe wirklich, dass sich die deutschen Behörden mit einem formellen Ersuchen für Zusammenarbeit bei der Festnahme der beteiligten Kriminellen an die russischen Behörden wenden werden.

Damit die Polizei ein Strafverfahren einleiten kann, muss zumindest eine formelle Erklärung / ein formeller Antrag oder der Gegenstand eines begangenen Verbrechens vorgelegt werden. Presseartikel oder jegliche Art informeller Kommentare oder Ankündigungen werden vom Rechtssystem nicht anerkannt. Mit anderen Worten: Kein formeller Antrag – kein Fall. Wenn es jedoch glaubwürdige Beweise für ein begangenes Verbrechen gäbe, dann würde ein zwischenstaatliches Interaktionsverfahren greifen, das befolgt werden muss. Alles sehr formal, aber so ist es nun mal. Die Regierungen müssen ihre politischen Vorurteile überwinden und gemeinsam handeln. Denn, wie dieser Fall gezeigt hat, stehen bereits Menschenleben auf dem Spiel. Während die internationale Zusammenarbeit durch die Geopolitik weitgehend eingefroren ist, werden Cyberkriminelle immer wieder neue verdorbene Handlungen gegen die Menschheit einleiten.

UPDATE: Der erste Schritt zur Wiederaufnahme der Zusammenarbeit im Bereich Cybersicherheit ist bereits getan. Ich drücke weiterhin die Daumen …

Übrigens: Ist Ihnen aufgefallen, dass es kaum Nachrichten über erfolgreiche Angriffe von Ransomware-Hackern auf russische Organisationen gibt? Haben Sie sich jemals gefragt, warum das so ist? Ich persönlich werde diese sinnlosen Verschwörungstheorien über Hacker, die angeblich für russische Geheimdienste arbeiten (Humbug, es gibt weltweit viele Ransomware-Gruppen, nicht nur in Russland) nicht einen Augenblick lang in Erwägung ziehen. Meiner Meinung nach liegt das daran, dass die meisten russischen Unternehmen durch hochwertigen Cyber-Schutz geschützt sind. Und schon bald werden sie durch ein cyber-immunes Betriebssystem geschützt sein. Ja, genau dieser Schutz, der für den Einsatz in staatlichen US-Institutionen verboten wurde. Stellen Sie sich das mal vor.

UPDATE 2: Erst gestern wurde ein Ransomware-Angriff auf eine der größten amerikanischen Krankenhausketten, die UHS, gemeldet: Ihre Computer, die etwa 250 Einrichtungen im ganzen Land versorgen, wurden lahmgelegt, was dazu führte, dass Operationen abgesagt, Krankenwagen umgeleitet und Patientenregistrierungen auf Papier ausgefüllt werden mussten. Es gibt noch keine weiteren Einzelheiten zu diesem Vorfall …

 

Die Top-5 der K-Technologien, die uns ins Global Top-100-Innovators-Ranking katapultiert haben

Wir haben es schon wieder geschafft! Zum zweiten Mal gehören wir zu den Derwent Top 100 Global Innovators und damit zu einer renommierten Auswahl an globaler Unternehmen, die auf der Grundlage ihres Patentportfolios erstellt wurde. Renommiert, da auf der Liste Unternehmen wie Amazon, Facebook, Google, Microsoft, Oracle, Symantec und Tencent stehen. Die Liste ist nicht nur eine Auswahl scheinbar patenttechnisch starker Unternehmen: Sie wurde auf der Grundlage der hervorragenden analytischen Arbeit von Clarivate Analytics erstellt, die mehr als 14.000 (!) Firmenkandidaten nach allen möglichen Kriterien bewertet haben. Das wichtigste Kriterium die Zitierhäufigkeit, auch „Einfluss“ genannt, ist. Und als ob das noch nicht streng genug wäre, ist in fünf Jahren die Mindestanforderung für die Aufnahme in die Top-100 bei diesem Kriterium um etwa 55% gestiegen:

Die Zitierrate ist, um etwas genauer zu sein, der Grad des Einflusses von Erfindungen auf die Innovationen anderer Unternehmen. Für uns geht es darum, wie oft wir von anderen Erfindern in ihren Patenten erwähnt werden. Und formell in einem Patent eines anderen Unternehmens erwähnt zu werden, bedeutet, dass Sie sich etwas Neues, wirklich Innovatives und Hilfreiches ausgedacht haben, was wiederum von der von anderen Firmen für deren „etwas Neues, wirklich Innovatives und Hilfreiches“ genutzt wird. Natürlich handelt es sich hierbei um ein solch etabliertes System der Anerkennung von Innovationen, d. h. hier ist kein Platz für diejenigen, die mit bloßen Mist-Patenten daherkommen. Und das ist der Grund, warum keiner von ihnen auch nur annähernd in die Top-100 kommt. Inzwischen sind wir direkt drin – unter den Top 100 der weltweit innovativsten Unternehmen, die den technologischen Fortschritt wirklich vorantreiben.

Wow, das fühlt sich gut an. Es ist wie ein Schulterklopfen für all unsere harte Arbeit: eine echte Anerkennung für die Beiträge, die wir geleistet haben. Hurra!

Sie wissen ja wie ich bin, immer innovativ und neugierig. Deshalb fragte ich mich, welche unsere fünf meist-zitierten, patentierten Technologien (und deshalb auch die einflussreichsten Patente) sind. Also habe ich einen Blick darauf geworfen. Und hier die Ergebnisse:

Fünfter Platz – 160-mal zitiert: US8042184B1 – „Schnelle Analyse des Datenstroms auf Malware“

Dieses Patent umfasst unsere Technologie, die Datenströme, die über Netzwerk-Gateways laufen, schnell scannt. Sie führt eine Echtzeit-Analyse von Datenstrom-Inhalten getrennt, Segment für Segment, pro Format durch (z.B. Webseiten, Dateien, E-Mails mit Anhängen usw.) und überträgt dann jedes einzelne Element für die entsprechende spezialisierte Verarbeitung. Das bedeutet, dass das gesamte übertragene Datenobjekt nicht zusammengesetzt werden muss. Dies schont die Hardwareressourcen und die Scan-Geschwindigkeit wird stark erhöht, was die Wahrscheinlichkeit erhöht, Cyber-Bedrohungen zu finden. Diese K-Technologie ist lizenziert an Allied Telesis, D-Link, Nokia, ZyXEL und viele andere Entwickler und Anbieter. Außerdem wird sie in den Patenten von IBM, Webroot, FireEye, Trend Micro, HP, Juniper und anderen zitiert.

Nicht übel, oder? Und das kommt alles aus dem Nordwesten Moskaus und nicht aus Palo Alto.

 

Vierter Platz – 170-mal zitiert: US8214905B1 – „System und Verfahren zur dynamischen Zuteilung von Rechenressourcen zur Verarbeitung von Sicherheitsinformationen“

Cybersicherheit – das geht jeden etwas an, in jeder Hinsicht. Ohne anonymisierte Signale von Benutzern über verdächtige Aktivitäten können Entwickler keinen angemessenen Schutz bieten. Und je mehr Benutzer desto besser: Bei großen Datenmengen sind Anomalien viel leichter auszumachen, was dazu beiträgt, bisher unbekannte Cyberangriffe aufzudecken.

Aber nicht alle Daten sind gleich, und auch nicht alle Nutzer sind gleich. Es gibt verschiedene Niveaus von Fachkenntnissen in der Computernutzung auf Seiten der Benutzer (einschließlich der Gewandtheit in Sachen Computersicherheit). Und je anspruchsvoller ein Benutzer ist, desto wahrscheinlicher werden die Signale, die er (natürlich anonym) sendet, zu einem möglichen Hinweis auf Cyberattacken führen.

Diese K-Technologie bewertet den Grad der Versiertheit der Benutzer anhand der Art und Weise, wie sie ihre Computer benutzen. Zum Beispiel: die Art der Installation des Antivirusprogramms (regulär oder fortgeschritten), ob der interaktive Modus gewählt wird, und andere Software und Ausrüstung, die verwendet wird. Auf der nächsten Ebene wird dann die Benutzeraktivität analysiert, einschließlich der Quantität und Qualität der erkannten Bedrohungen, des Anteils der Fehlermeldungen, der Reaktionsgeschwindigkeit usw. Und je höher die Bewertung der Quelle, desto mehr Gewicht wird ihrer Bewertung beigemessen, und entsprechend wird der Verarbeitung ihrer Daten eine höhere Priorität eingeräumt. Details dazu finden Sie hier.

Dieses Patent wird von NEC, Dell, IBM, FireEye, Symantec, HP, und anderen Unternehmen zitiert. 

 

Dritter Platz – 170-mal zitiert: US8365297B1 – „System und Verfahren zur Erkennung von Malware, die auf den Boot-Prozess eines Computers unter Verwendung der Boot-Prozess-Emulation abzielt“ (Spiegelpatente in Russland: RU2472215C1, in Europa: EP2610774B1, und in China: CN103065094B).

Dabei handelt es sich um eine der besten Technologien der Welt zur Erkennung von Bootkits, gefährlichen bösartigen Programmen, die verdeckt aktiviert werden, noch bevor das Betriebssystem hochfährt, d.h. idR. noch bevor die Sicherheitslösung aktiviert wird. Um Bootkits zu fangen, haben wir eine künstliche Umgebung (einen Emulator) geschaffen, der den Ladevorgang eines Computers nachahmt und darin verdächtige Objekte startet. Die Malware denkt, es sei an der Zeit, sich an die Arbeit zu machen, und startet ihr Standardverfahren… und zack! Gefangen.  Mehr dazu finden Sie hier.

Zitiert von Huawei, Intel, Tencent, Trend Micro, FireEye, Symantec, Palo Alto Networks, und anderen Unternehmen.

 

Zweiter Platz – 179-mal zitiert: US8370939B2 – „Schutz vor Malware auf Web-Ressourcen“ (Spiegelpatente in Russland: RU2446459C1, Europa: EP2410452B1, und China: CN102147842B).

Hier ist die Quintessenz dieser Technologie: Viele Websites (und FTP-Sites) können ohne Zugriffsrechte nicht auf Cyber-Bedrohungen gescannt werden. Die Lösung ist einfach und effektiv: Die AV verwendet Informationen aus dem Admin-Panel der Website, die vom Benutzer zur Verfügung gestellt werden, um die Webressourcen (einschließlich Dateien) zu erreichen. Auf diese Weise kann der AV dann seinem üblichen Tätigkeiten nachgehen und sie auf Malware scannen.

Zitiert von: Dell, IBM, FireEye, Microsoft, Rockwell Collins, F-Secure, PayPal, Trend Micro, Gemalto, Symantec, und anderen Unternehmen.

 

Und zu guter Letzt…

 

Erster Platz – 181-mal zitiert (*): US8713631B1 – „System und Verfahren zur Erkennung von bösartigen Codes, die von einer virtuellen Maschine ausgeführt werden“ (Spiegelpatente in Russland: RU2522019C1 und China: CN103593608B).

Es gibt bestimmte programmierte Anwendungen, die zur Ausführung des Codes eine virtuelle Maschine benötigen. Klassisches Beispiel: Java. Dies wird getan, damit ein Entwickler den Code leicht auf andere Plattformen (Windows, Linux…) portieren kann: der Code ist derselbe, Sie brauchen nur eine virtuelle Maschine, um ihn aufzusetzen.

Cyberbösewichte nutzen Schwachstellen in virtuellen Maschinen aus, um in Computer einzudringen. Darüber hinaus handelt es sich für andere Anwendungen (einschließlich dem Virenschutz) auf der virtuellen Maschine um eine Black Box und einen vertrauenswürdigen Prozess. Die patentierte Technologie ist ein wirksames Mittel, um die Ausführung von Codes auf virtuellen Maschinen mit Hilfe ihrer Änderungen und des Empfangs von Ereignissen zu kontrollieren.

Zitiert von: Intel, FireEye, IBM, ESET, Check Point, Bitdefender, Symantec, und anderen Unternehmen.

 

Abschließend noch ein paar Statistiken, um die oben genannten Innovationen abzurunden:

Die Top-100: beschäftigen 10 Millionen Menschen; erfanden 145.000 Innovationen; gaben 316 Milliarden Dollar für die Forschung aus; und erzielten insgesamt 4,5 Billionen Dollar an Einnahmen!

Sie werden mir sicher zustimmen, einen Platz in den Top-100 zu verdienen, ist nicht nur eine Ehre, auf die man stolz sein kann, sondern auch nur mit Fleiß und Mühe erreicht werden kann. Deshalb ist es umso angenehmer, wenn man es tatsächlich schafft. Es bestätigt, dass wir Innovationen auf globalem Niveau entwickeln, dass wir uns die Rechte sichern und dass wir entsprechende neue Produkte auf den Markt bringen. Und wir verdienen dafür die verdiente Anerkennung. Toll! Wir arbeiten, wir gewinnen. Weiter so mit der guten Arbeit (und dem Gewinnen!).

 

 

(*) Gemäß der Patentdatenbank von Derwent Innovation vom 9. Mai 2020. Die Zitierhäufigkeit nimmt ständig zu; Beispiel: seit dem Verfassen dieses Beitrags wurde erste Platz von FireEye zitiert, so dass die Gesamtzahl der Zitate von 181 auf 182 gestiegen ist.

 

 

Flickr Foto-Stream

  • Sochi / Sep 2020
  • Sochi / Sep 2020
  • Sochi / Sep 2020
  • Sochi / Sep 2020

Instagram

Ein Frühwarnsystem für Cyber-Förster (Adaptive Kontrolle von Anomalien)

Wenn Sie normalerweise in einem Büro arbeiten, ist es höchstwahrscheinlich immer noch ziemlich leer oder völlig leer, wie unseres. In unserem Hauptgeschäftssitz sind die einzigen Leute, die Sie gelegentlich sehen werden, die Sicherheitskräfte, und das einzige Geräusch, das Sie hören werden, ist das Summen der Kühlsysteme unserer Server, die mit voller Geschwindigkeit arbeiten, da  alle Mitarbeiter von zu Hause aus angeschlossen sind.

Read on: Ein Frühwarnsystem für Cyber-Förster (Adaptive Kontrolle von Anomalien)