Cyber-Aufklärung: Wie man Wölfe im Schafspelz effektiv fängt; und warum es zum Lernen nie zu spät ist.

Hallo zusammen!

Wir alle wissen, dass sich im Internet jegliche Arten von Malware tummeln – von der primitiven Amateur- bis zur ausgeklügelten Profi-Klasse. In den letzten drei Monaten hat sich die Situation jedoch deutlich zugespitzt. Cyberkriminelle werden immer wagemutiger und ihre Methoden immer fortschrittlicher und raffinierter. Und obwohl der Kampf gegen Cyberkriminelle absolut notwendig ist, ist Vorsorge immer besser als Nachsorge.

Schädliche Vorhaben rechtzeitig zu identifizieren ist daher eine Aufgabe von entscheidender strategischer Bedeutung; umso mehr, wenn es nicht nur um den Schutz von Unternehmen geht, sondern um den Schutz kritischer Infrastrukturen, die uns sichere, komfortable und stabile Lebensbedingungen bieten.

Dementsprechend wichtig ist es, Mitarbeiter eines Unternehmens darin zu schulen, Cyberangriffe auf Unternehmensnetzwerke zu erkennen. Und ja, wir sind weltweit die größten Fans einer solchen Cyber-Aufklärung und führen deshalb regelmäßige Schulungen verschiedenster Art und Formate durch: sowohl online (in Echtzeit) als auch offline, und das alles unter den fürsorglichen und aufmerksamen Augen unserer Experten.

Vor nicht allzu langer Zeit habe ich hier auf meinem Blog über unsere Schulungsprogramme zur Identifizierung von Cyberangriffen auf der Grundlage von Malware-Merkmalen berichtet (mehr über YARA-Regeln erfahren Sie hier). Aber wie Sie bereits wissen, dreht sich das Rad bei K immer weiter. Deshalb möchte ich Ihnen heute von unserem neuen Online-Kurs für Experten erzählen.

Hier ist er also: unser Kurs zur Reaktion auf (Windows-Betriebssystem-) Vorfälle (einschließlich Ransomware) – unser Kurs Kaspersky Windows Incident Response. Übrigens gab es diesen Kurs früher nur im Offline-Format und war bei unseren Kunden am beliebtesten. Er richtet sich sowohl an interne Teams als auch an unabhängige Cybersicherheitsspezialisten, die ihr Wissen weiter vertiefen und ihre Qualifikation steigern möchten.

Jüngsten Untersuchungen zufolge scheinen Top-Manager von (Nicht-IT-)Unternehmen und auch Eigentümer von Unternehmen ihre Fähigkeiten im Umgang mit Ransomware zu überschätzen – insbesondere, wenn sie noch nie mit dem Problem konfrontiert wurden. Und ~73% der Unternehmen sind selbst mit Hilfe ihrer IT-Dienstleister nicht in der Lage, einen Ransomware-Angriff zu bewältigen. Ja – das ist eine ganze Menge!

Was macht diesen Kurs so besonders?

Das Schulungsprogramm wurde von unserem GERT-Team (Global Emergency Response Team), das übrigens nicht mit unserem GReAT-Team zu verwechseln ist, entworfen;

Der Schwerpunkt des Kurses liegt auf praktischen Aufgaben, und sein Hauptmerkmal ist die Entwicklung von Fähigkeiten anhand eines realen Vorfalls – des REvil-Ransomware-Angriffs.

Was kann man von unserem Kurs erwarten? Cybersicherheitsspezialisten wissen, wie man Cybervorfälle identifiziert und darauf reagiert, können APTs von anderen Bedrohungen unterscheiden und verschiedene Methoden und Anatomien zielgerichteter Angriffe über eine Cyber Kill Chain analysieren. Die Teilnehmer sind in der Lage Sicherheitsvorfälle zu untersuchen, lernen, wie man Beweise sammelt, Protokolle von (i) Betriebssystemen, (ii) Netzwerkverkehr und (iii) Speicherinhalte analysiert; Kompromissindikatoren ermittelt und vieles mehr…

Darüber hinaus erhalten sie Zugang zu einer modellierten virtuellen Arbeitsumgebung mit allen notwendigen Tools zur Entwicklung ihrer Fähigkeiten.

Das Programm ist voller wirklich nützlichem, praktischem Know-how und sehr interessant für sein Zielpublikum. Weitere Details, auch zur Anmeldung, finden Sie hier.

Wenn auch Sie interessiert sind an einem seriösen, verbesserten Training für die ernsthafte Aufgabe, fortgeschrittene Bedrohungen zu bekämpfen, springen Sie auf unseren Cyber-Zug (in eine sicherere Welt mithilfe erstklassiger Cybersicherheit) auf.

1,4 Milliarden US-Dollar Schadensersatz: Ein Wendepunkt für Cyberversicherer

Hallo!

Seit meiner letzten iNews-Veröffentlichung, aka Cyber-News von der dunklen Seite, ist bereits einige Zeit vergangen. Mit dem heutigen Beitrag möchte ich dieser Artikelreihe neues Leben schenken, um Sie, meine Leser, mit den besten Highlights atemberaubender Cyber-Infos zu versorgen, von denen Sie vermutlich nichts in Ihren üblichen Nachrichtenquellen erfahren würden…

In diesem Artikel soll es ausnahmsweise nur um ein einziges Highlight gehen – das es dafür aber in sich hat!

Hier eine kurze Zusammenfassung zur Orientierungshilfe: Nach einem langwierigen Gerichtsverfahren in den USA gewinnt der Pharmariese Merck eine Schadensersatzklage in Höhe von 1,4 Milliarden US-Dollar gegen seine Versicherungsfirma und wird so für die im Jahr 2017 durch NotPetya (alias ExPetr oder Petya) entstandenen Verluste entschädigt.

Wir springen zurück ins Jahr 2017…

Im Juni 2017 erscheint wie aus dem Nichts ein technologisch fortschrittlicher Erpressungstrojaner – NotPetya – der sich wie ein Lauffeuer verbreitet. Zunächst zielt dieser nur auf die Ukraine ab, wo er Opfer über eine beliebte Buchhaltungssoftware angreift – zu den Opfern zählen damals Banken, Regierungsstellen, der Flughafen Charkow, die Überwachungssysteme des Kernkraftwerks Tschernobyl (!!!) uvm. Danach breitet sich die Epidemie erst in Russland, danach auf der ganzen Welt weiter aus. Viele Quellen gehen mittlerweile davon aus, dass NotPetya bis dato der folgenschwerste Cyberangriff aller Zeiten ist. Ja, das scheint sehr plausibel, wenn man die Zahl der angegriffenen Unternehmen zählt (von denen Dutzende jeweils Hunderte Millionen US-Dollar verloren haben, während der Gesamtschaden für die Weltwirtschaft auf mindestens 10 Milliarden US-Dollar geschätzt wurde)!

Eines der nennenswertesten Opfer des globalen Cyberangriffs ist zu dieser Zeit der US-Pharmariese Merck. Lektüren zufolge, werden innerhalb von 90 Sekunden (!) nach Beginn der Infektion rund 15.000 seiner Computer bereinigt, während das Rechenzentrum-Backup des Unternehmens (verbunden mit dem Hauptnetzwerk) fast im selben Atemzug verloren geht. Bis zum Ende des Angriffs verliert Merck rund 30.000 Workstations und 7.500 Server. Nach dem Angriff wird monatelang versucht zu retten, was zu retten ist – die Kosten belaufen sich dabei auf ~1,4 Milliarden US-Dollar. Und nicht nur das: Merck sieht sich aufgrund der Unterbrechungen seiner Produktionsabläufe dazu gezwungen, Impfstoffe im Wert von 250 Millionen US-Dollar von externen Quellen zu leihen.

So viel zu den Hintergrundinformationen; jetzt aber zum Wesentlichen:

Der Policen-Vertrag zwischen Merck und der Versicherungsgesellschaft Ace American deckte alle möglichen Risiken ab; auch den Datenverlust im Falle eines Cybervorfalls. Die Versicherungssumme für derartige Schäden belief sich auf sagenhafte 1,75 Milliarden US-Dollar. Ace American weigerte sich jedoch, den NotPetya-Angriff als gedeckten Verlust anzuerkennen, und wollte den geforderten Betrag daher nicht zahlen; sie stuften den Angriff als Ereignis höherer Gewalt ein. Um dies zu untermauern, sagten sie, dass Russland NotPetya entwickelt hatte, um den Trojaner als Cyberwaffe im Krieg gegen die Ukraine einzusetzen, und der Versicherer nicht dazu verpflichtet sei, Folgeschäden einer militärischen Aktion zu ersetzen. Um diese Aussage zu bestärken, zitierte Ace American die öffentlichen Ankündigungen der Regierungen des Vereinigten Königreichs und der USA, die Russland offiziell für diesen Cyberangriff verantwortlich gemacht hatten.

Im Jahr 2019 verklagte Merck seinen Versicherer mit der Begründung, der Angriff sei keine offizielle Aktion eines Nationalstaats gewesen und könne daher nicht als Militäraktion oder bewaffneter Konflikt gewertet werden. Darüber hinaus betonten die Anwälte des Pharmaindustrieunternehmens, dass Cyberangriffe nicht in den Ausnahmen vom Versicherungsschutz der Police aufgeführt waren. Letztendlich entschied das Gericht zugunsten von Merck, mit der Begründung, dass Ace American wusste, dass Cyberangriffe als militärische Aktionen anerkannt werden können, sich jedoch bewusst dazu entschieden hatte, dies nicht in der Versicherungspolice aufzuführen.

Ich bin mir sicher, dass viele Versicherungsunternehmen diesen Fall aufmerksam verfolgt haben und ihre Einheitspolicen von jetzt an auf Herz und Nieren prüfen werden. Dies gilt übrigens genauso für die vielen Opfer unzähliger Cybervorfälle, die höchstwahrscheinlich auch einen genaueren Blick auf die Bedingungen ihrer Versicherungsverträge geworfen haben, um festzustellen, ob ihnen aufgrund dieses Präzedenzfalls von Merck möglicherweise eine Schadensersatzzahlung zusteht. Versicherten und Versicherern sollte jedoch klar sein, dass sie die Langzeitwirkung im Auge behalten müssen: Werden die „Spielregeln“ verändert, sind deutliche Erhöhungen der Versicherungsprämien vermutlich unausweichlich.

Ich lehne mich sogar noch weiter aus dem Fenster und behaupte, dass sich Cyberrisiko-Versicherungen eines Tages in ein sehr großes Geschäft verwandeln werden – und zwar in Form einer Übertragung der traditionellen Versicherungspraxis auf den Bereich der Cybersicherheit, wodurch Anbieter diesen gesamten Versicherungssektor erheblich – wenn nicht sogar irreparabel – schädigen könnten. Die meisten Cybersicherheitsunternehmen garantieren heute immerhin einen 50%igen Schutz gegen Ransomware wie NotPetya.

Doch ein 50%iger Schutz ist ungefähr so als würde man Kameras, Wachleute, Alarmanlagen und Co. einfach durch ein Schild über der Haustür mit der Aufschrift: „Einbrecher nicht erlaubt“ ersetzen! Deshalb gilt: entweder Sie erhalten einen 100%igen Schutz oder gar keinen. Übrigens bietet nur ein Unternehmen 100%igen Schutz vor Ransomware. Raten Sie mal, von welchem ich spreche!

Die Situation sieht also ungefähr folgendermaßen aus: die Risiken eines Cyberangriffs können massiv sein, was bedeutet, dass Unternehmen diese Risiken selbstverständlich versichern wollen. Gleichzeitig wird jeder klardenkende Versicherer, der Zeuge des Vorfalls Merck geworden ist, sein Bestes geben, um sicherzustellen, dass Cyberrisiken nicht in den Versicherungspolicen aufgeführt werden. Was uns zu einer absolut revolutionären Situation führt: Versicherungen wollen Cyberrisiken nicht versichern, obwohl ihre Kunden unbedingt eine Cyberrisiko-Versicherung abschließen möchten.

Was kann man in einem solchen Fall tun? Selbstverständlich die Risiken eines Angriffs auf digitale Infrastrukturen weitgehend minimieren. Mit anderen Worten: die Infrastruktur muss so aufgebaut werden, dass anfällige und kritische Segmente quasi immun gegen externe (und auch interne) Angriffe sind, während der andere Teil der Infrastruktur durch eine mehrschichtige Sicherheitslösung geschützt wird!

Flickr Foto-Stream

  • Saudi Arabia
  • Saudi Arabia
  • Saudi Arabia
  • Saudi Arabia

Instagram Photostream

Rückblick auf die Produkteinführungen vom Vorjahr – 2022 kommen mehr!

Das neue Arbeitsjahr hat begonnen und bahnt seinen Weg unermüdlich und unaufhaltsam, wie … ein Langstreckenflugzeug, das Richtung Osten fliegt. Schaut man aus dem Fenster, stellt man fest, dass es draußen heller wird: In Moskau gibt es eine Stunde mehr Tageslicht als vor einem Monat, in New York 40 Minuten und in Reykjavik, der Hauptstadt von Island, ganze zwei Stunden! Sogar in Singapur genießen die Bewohner … eine Minute mehr Tageslicht als vor 31 Tagen.

Trotzdem gibt es immer noch viel über 2021 zu berichten! Zuerst habe ich meinen Jahresrückblick veröffentlicht (alles positiv), dann gab es noch den Bericht über die 2021 K-Patente (alles positiv). In Kürze wird auch unser jährlicher Finanzbericht fertig sein (alles positiv :-)). Und jetzt, hier und heute – habe ich noch einen Bericht für Sie!

Mehrere Berichte zu einem einzigen Jahr? Wenn jemand genug von 2021 hatte, es hinter sich lassen und einfach vergessen möchte, um mit diesem Jahr fortzufahren, wird Ihnen dieser Blogbeitrag gefallen! ->

Den Kalender oben können Sie gerne herunterladen, denn das Bild stammt von dieser Seite (und auf dieser Seite finden Sie heraus, um was es genau geht, nur für den Fall, dass es Sie interessiert …).

So, und jetzt geht’s zurück zum vierten 2021-Bericht …

In diesem Fachbericht geht es um die Durchbrüche, die wir mit der Entwicklung neuer Produkte und Technologien im arbeitsreichen Jahr 2021 erreicht haben – alle mit dem globalen Ziel, Sie vor den Gefahren der Cyberwelt zu schützen. Aber zuerst möchte ich Ihnen noch einiges über die Vorgeschichte der Produkte und Technologie erzählen …
Read on: Rückblick auf die Produkteinführungen vom Vorjahr – 2022 kommen mehr!

Erpressung: Zahlen oder nicht zahlen? Das ist hier die Frage.

In manchen Artikeln zum Thema „was tun bei Ransomware-Angriffen“, las ich teilweise Folgendes: „Ziehen Sie eine Lösegeldzahlung in Erwägung.“ Diese Worte lösen bei mir immer einen tiefen Seufzer aus … ich lasse die Luft langsam aus meinen aufgeblasenen Backen entweichen, während ich den Browser-Tab schließe. Warum ich so reagiere? Weil man Erpressern unter keinen Umständen Lösegeld zahlen sollte! Die Tatsache, dass man damit kriminelle Aktivitäten unterstützt, ist auch nicht der einzige Grund dafür. Es gibt da noch einige weitere Gründe. Folgend werde ich sie einzeln erklären:

Erstens: Weil mit dem Lösegeld Malware gesponsert wird

Read on: Erpressung: Zahlen oder nicht zahlen? Das ist hier die Frage.

MLAD – Fabriken mit Machine Learning for Anomaly Detection am Laufen halten

Uff, Gott sei Dank ist es vorbei! Das grässlichste Jahr für die meisten von uns ist endlich zu Ende gegangen, over, finito, passé. Wir hoffen einfach mal, dass die Menschen recht haben, die ständig wiederholen, dass 2021 nur besser werden kann, denn schlimmer ist unmöglich, nicht wahr?

Letztes Jahr stand die ganze Welt quasi zehn Monate lang unter Schock. Und damit meine ich nicht nur die Weltbevölkerung – auch private Unternehmen und die verschiedenen Wirtschaftsräume wurden sehr hart getroffen. Leider gibt es einen Sektor, der gar nicht unter der Pandemie gelitten hat und tatsächliche sogar im letzten Jahr aufgeblüht ist – richtig, es handelt sich um Cyberverbrechen. Durch den Lockdown wechselten viele Menschen vom Büro zum Homeoffice und verbrachten viel mehr Zeit online, dementsprechend befanden sich deutlich mehr potenzielle Opfer von Cyberkriminalität im Internet. Das betraf nicht nur individuelle Benutzer, sondern auch Unternehmen – die Mitarbeiter mussten plötzlich zu Hause arbeiten und viele Unternehmensnetzwerke wurden angegriffen, weil sie nicht ausreichend geschützt waren. Im Frühling 2020 war es vorrangig den abrupten Wechsel zu Remote Work schnell über die Bühne zu bringen und demzufolge war Sicherheit nicht immer die oberste Priorität. Kurz gefasst, der digitale Status quo der Welt wurde auch tüchtig von Covid-19 gebeutelt, ein Virus der direkt aus der Hölle zu kommen scheint.

Aufgrund der stark zunehmenden Anzahl von Cyberverbrechen – besonders Angriffe, die es auf die Sicherheitslücken der Unternehmensnetzwerke abgesehen haben – haben Cybersicherheitsunternehmen mehr denn je zu tun. Ja, das betrifft auch uns! 2020 stellte sich für unser Unternehmen als eines der produktivsten Jahre heraus. Beispielsweise haben wir eine beeindruckende Anzahl an neuen Versionen unserer Sicherheitstechnologien herausgebracht, besonders für Unternehmen.

Wir haben auch neue Versionen der Sicherheitslösungen für industrielle Cybersicherheit entwickelt und in meinem heutigen Blogbeitrag geht es um eine dieser Lösungen, und zwar um MLAD. Bitte nicht mit witzigen Online-Videos verwechseln. Auch nicht mit der Abkürzung MLAD, die für Minimum Local Analgesic Dose (Mindestdosis für Schmerzmittel) steht, noch mit MLAD als Abkürzung für Mid Left Anterior Descending Artery (absteigender Ast der linken Koronararterie). MLAD in diesem Kontext bedeutet Machine Learning for Anomaly Detection, eine Technologie die mehr Sicherheit durch maschinelles Lernen bietet.

Wenn Sie unsere Blogbeiträge regelmäßig lesen, erinnern Sie sich eventuell an die eine oder andere Information zu dieser Technologie, die wir bei Kaspersky anwenden. Vielleicht auch nicht. Aber kein Grund zur Sorge, vorsichtshalber folgt eine kurze Auffrischung zu diesem Thema.

Unser MLAD ist ein System, das maschinelles Lernen zur Analyse von Telemetriedaten der Industrieanlagen verwendet, um Anomalien, Angriffe oder Störungen festzustellen.

Stellen Sie sich vor, Sie besitzen eine Fabrik in der tausende von Sensoren installiert sind – einige messen den Druck, andere die Temperatur usw. Jeder Sensor generiert einen konstanten Informationsfluss. Für einen Mitarbeiter wäre es unmöglich all diese Information im Auge zu behalten, aber für maschinelles Lernen ist diese Aufgabe ein Kinderspiel. Wenn vorweg ein neuronales Netzwerk trainiert wurde, kann MLAD, basierend auf direkten oder indirekten Wechselbeziehungen feststellen, dass etwas in einem bestimmten Bereich der Fabrik nicht richtig funktioniert. Es können Schäden in Millionenhöhe und sogar Verluste von mehreren Millionen vermieden werden, wenn mögliche Vorfälle frühzeitig im Keim erstickt werden.

So, das war die Kurzbeschreibung von MLAD. Jetzt werde ich versuchen die MLAD- Analysen anhand einer medizinischen Metapher detaillierter zu erklären.

Einige von Ihnen besitzen eventuell ein Fitness-Armband. Darauf können Sie Ihren Puls, die Anzahl der getätigten Schritte und ein paar mehr Dinge ablesen. Das Gerät ist mit einigen Sensoren ausgestattet und das war’s auch schon. Nehmen wir an, dass Ärzte über fortschrittlichere Geräte verfügen, die außerdem auch den Blutdruck, die Anzahl von weißen Blutkörperchen usw. messen. Jetzt lassen Sie uns einen Schritt weitergehen und von dem hypothetischen Fall ausgehen, dass Ärzte über ein Gerät verfügen, das mit Zigtausend Sensoren verbunden ist, die am ganzen Körper angebracht sind und jedes Blutgefäß, jede Nervenzelle und alles andere überwachen und kontinuierlich diese Telemetriedaten übertragen. Diese enorme, detaillierte Datenmenge hilft dem Arzt garantiert bei der Untersuchung des Patienten und er kann mithilfe dieser Daten das eine oder andere diagnostizieren und eine Behandlung verordnen. Allerdings würde der Arzt bei der Analyse der großen und komplexen Datenmenge bestimmt Kopfschmerzen bekommen (die auch von einem Sensor festgestellt werden) – Und schwuppdiwupp mit einem im Wind flatternden Umhang und enger Unterhose über den Leggings kommt etwas angeflogen, um dem überlasteten Arzt aufzuhelfen. Sie haben richtig geraten, es ist nicht Supermann, es sind unsere TeKhnologien!

Read on: MLAD – Fabriken mit Machine Learning for Anomaly Detection am Laufen halten

Ransomware: Hier hört der Spaß auf!

Zunächst einige Informationen zur Vorgeschichte:

Am 10. September wurde das Universitätsklinikum Düsseldorf Opfer eines Cyberangriffs bei dem insgesamt 30 interne Server durch die Ransomware-Malware DoppelPaymer verschlüsselt werden konnten; der Patientendurchsatz sah sich durch diesen Vorfall enorm beeinträchtigt. Nur wenige Tage später war das Klinikum infolge des IT-Ausfalls seiner Installationen dazu gezwungen, einer lebensbedrohlich erkrankten Patientin die Krankenhausaufnahme und eine damit verbundene Notoperation zu verwehren. Die Frau wurde umgehend in ein Wuppertaler Krankenhaus umgeleitet, verstarb allerdings noch auf dem Weg ins benachbarte Klinikum. Es handelt sich hierbei um den ersten bekannten Ransomware-Angriff mit Todesfolge.

Der tödliche Unfall (vorausgesetzt, die Angreifer waren sich einem solch schwerwiegenden Ausgang nicht bewusst) ist und bleibt tragisch – vor allem die Tatsache, dass in diesem Fall grundlegende Regeln der Cybersicherheitshygiene ganz klar vernachlässigt wurden, lässt einiges zu wünschen übrig. Dazu gesellt sich die offensichtliche Unfähigkeit der Strafverfolgungsbehörden, den beteiligten organisierten Kriminellen erfolgreich entgegenzutreten.

Die Hacker konnten das Krankenhausnetzwerk über eine Schwachstelle auf den Citrix Netscaler-Servern, die als Shitrix bekannt ist und bereits im Januar dieses Jahres gepatcht wurde, angreifen. Es scheint, als hätten die Systemadministratoren also viel zu lange mit der Installation des Patches gewartet. Diese Nachlässigkeit ermöglichte es den Kriminellen, in das Netzwerk einzudringen und eine Backdoor zu installieren.

Bis zu diesem Punkt handelt es sich um harte Fakten. Im Anschluss folgen einige Vermutungen, die bis dato so nicht bestätigt werden konnten, die aber dennoch mehr als wahrscheinlich sind …

Es ist nicht auszuschließen, dass die Backdoor in Untergrundforen als „Universitäts-Backdoor“ an andere Hacker verkauft wurde. Tatsächlich zielte der Angriff ursprünglich auf die nahe gelegene Heinrich-Heine-Universität ab. Das geht immerhin aus der von den Erpressern verfassten E-Mail hervor, in der diese ein Lösegeld für die Freigabe der von ihnen verschlüsselten Daten fordern. Nachdem die Hacker auf ihr tatsächliches Angriffsziel aufmerksam wurden, händigten sie dem Krankenhaus umgehend alle Schlüssel zur Entsperrung der Systeme aus (und tauchten ab). All das erweckt den Eindruck, dass Cyberkriminelle kein besonderes Interesse an Krankenhäusern zu haben scheinen. Sie gelten als zu „toxisch“ (wie dieser Vorfall auf die schlimmste – tödlichste – Art und Weise gezeigt hat).

Hinter der Malware DoppelPaymer wird die russischsprachige Hackergruppe Evil Corp, der weitere hochkarätige Cyber- und Ransomwareangriffe (darunter auch der Angriff auf das Garmin-Netzwerk) zugeschrieben werden können, vermutet. Im Jahr 2019 erhob die US-Regierung deshalb bereits Anklage gegen Einzelpersonen der Gruppe Evil Corp und setzte eine Belohnung in Höhe von fünf Millionen US-Dollar für Unterstützung bei der Festnahme dieser Personen aus. Merkwürdig ist, dass die Kriminellen keine Unbekannten sind, sondern bis vor kurzem sogar noch mit ihrem glamourösen Gangster-Lifestyle prahlten – auch in den sozialen Medien.

Quelle

In unserer Welt scheint momentan einiges gewaltig schief zu laufen. Zum einen wäre da die Tatsache, dass Krankenhäuser überhaupt unter den kriminellen Machenschaften skrupelloser Ransomware-Hacker zu leiden haben – auch, wenn das Klinikum den Kriminellen in diesem Fall ganz offensichtlich nur durch eine Verwechselung zum Opfer gefallen ist. Dennoch ist auch das zweite Szenario, das sich aus eben dieser Verwechslung ergibt, nicht besonders vielversprechender: denn es bedeutet nur, dass nun auch Universitäten ins Blickfeld von Cyberkriminellen geraten sind (oft, um Forschungsdaten zu stehlen – einschließlich COVID-19-bezogene Daten). Doch auch aus Cybersicherheitsperspektive gibt es einiges zu bemängeln …

… denn, wie kann ein Krankenhaus überhaupt so nachlässig sein? Eine Schwachstelle nicht rechtzeitig zu patchen, sodass Cyberkriminellen Tür und Tor weit offenstehen und Backdoors ohne Probleme installiert werden können? Wie oft haben wir in der Vergangenheit schon betont, dass FreeBSD (damit arbeitet Netscaler) in keinster Weise sicher, sondern genau das Gegenteil der Fall ist: Hierbei handelt es sich um den „falschen Freund“ eines jeden Cybersicherheitsexperten. Dieses Betriebssystem ist keineswegs immun und weist Schwachstellen auf, die sich für ausgeklügelte Cyberattacken ausnutzen lassen. Und dann wäre da natürlich noch die Tatsache, dass eine so kritische Einrichtung wie ein Krankenhaus (also infrastrukturelle Organisationen) einen mehrstufigen Schutz benötigen, bei dem jede Ebene die andere unterstützt: Hätte das Krankenhaus einen zuverlässigen Schutz für das interne Netzwerk installiert, hätten es die Hacker vermutlich nie so weit geschafft.

Die deutsche Polizei untersucht nun die Vorgänge, die zum Tod der Patientin geführt haben. Und ich hoffe wirklich, dass sich die deutschen Behörden mit einem formellen Ersuchen für Zusammenarbeit bei der Festnahme der beteiligten Kriminellen an die russischen Behörden wenden werden.

Damit die Polizei ein Strafverfahren einleiten kann, muss zumindest eine formelle Erklärung / ein formeller Antrag oder der Gegenstand eines begangenen Verbrechens vorgelegt werden. Presseartikel oder jegliche Art informeller Kommentare oder Ankündigungen werden vom Rechtssystem nicht anerkannt. Mit anderen Worten: Kein formeller Antrag – kein Fall. Wenn es jedoch glaubwürdige Beweise für ein begangenes Verbrechen gäbe, dann würde ein zwischenstaatliches Interaktionsverfahren greifen, das befolgt werden muss. Alles sehr formal, aber so ist es nun mal. Die Regierungen müssen ihre politischen Vorurteile überwinden und gemeinsam handeln. Denn, wie dieser Fall gezeigt hat, stehen bereits Menschenleben auf dem Spiel. Während die internationale Zusammenarbeit durch die Geopolitik weitgehend eingefroren ist, werden Cyberkriminelle immer wieder neue verdorbene Handlungen gegen die Menschheit einleiten.

UPDATE: Der erste Schritt zur Wiederaufnahme der Zusammenarbeit im Bereich Cybersicherheit ist bereits getan. Ich drücke weiterhin die Daumen …

Übrigens: Ist Ihnen aufgefallen, dass es kaum Nachrichten über erfolgreiche Angriffe von Ransomware-Hackern auf russische Organisationen gibt? Haben Sie sich jemals gefragt, warum das so ist? Ich persönlich werde diese sinnlosen Verschwörungstheorien über Hacker, die angeblich für russische Geheimdienste arbeiten (Humbug, es gibt weltweit viele Ransomware-Gruppen, nicht nur in Russland) nicht einen Augenblick lang in Erwägung ziehen. Meiner Meinung nach liegt das daran, dass die meisten russischen Unternehmen durch hochwertigen Cyber-Schutz geschützt sind. Und schon bald werden sie durch ein cyber-immunes Betriebssystem geschützt sein. Ja, genau dieser Schutz, der für den Einsatz in staatlichen US-Institutionen verboten wurde. Stellen Sie sich das mal vor.

UPDATE 2: Erst gestern wurde ein Ransomware-Angriff auf eine der größten amerikanischen Krankenhausketten, die UHS, gemeldet: Ihre Computer, die etwa 250 Einrichtungen im ganzen Land versorgen, wurden lahmgelegt, was dazu führte, dass Operationen abgesagt, Krankenwagen umgeleitet und Patientenregistrierungen auf Papier ausgefüllt werden mussten. Es gibt noch keine weiteren Einzelheiten zu diesem Vorfall …

 

Cyber-News von der dunklen Seite: Wer hat Ihnen erlaubt, meine Daten zu verkaufen?

Am 28. Januar hat meine Tante Olga Geburtstag. Zufällig ist es auch der Datenschutztag. Und meine Tante Olga weiß es immer noch nicht! Aber sie sollte es wissen! Digitale Daten sind die Währung des neuen Jahrtausends. Kumuliertes Wissen über Billionen von Klicks und Transaktionen – eine Goldmine für jedes Unternehmen. Und viele Multimillionen-Dollar-Unternehmen basieren auf dem Verkauf dieser Cyberressourcen.

Globale IT-Unternehmen haben mehr Zugriff auf personenbezogene Daten als Länder. Aus diesem Grund ist dieses Thema äußerst wichtig. Es ist auch aber gefährlich.

Und wo Geld fließt, sind auch immer Bösewichte im Spiel. Cyber-Bösewichte, die mit den Daten der Nutzer Böses im Schilde führen, vermehren sich exponentiell. Aber auch seriöse Unternehmen könnten mit den Daten der Benutzer Schlimmes tun und scheinen sogar ungeschoren damit davonzukommen (meistens zumindest.) Dazu aber später mehr.

Nun möchte ich Ihnen aber eine einfache Frage stellen, auf die es zumindest in der globalen IT noch keine Antwort gibt: „Was ist Gut und was ist Böse?“ Ich meine… Wo liegt die Grenze zwischen universeller menschlicher Moral und Geschäftsethik?

Leider ist die Frage der Cyber-Ethik und der Cyber-Moral sehr zweideutig. In der Zwischenzeit kann ich Ihnen versichern, dass mit der Einführung von 5G und einem weiteren starken Anstieg der Anzahl von IoT-Geräten unsere Daten nur noch mehr gesammelt werden. Und mehr und mehr …

Nun zu einigen Details, reduziert auf die wichtigsten, dringendsten und interessantesten Punkte:

Anwälte, Gesetzgeber, Journalisten, Politiker, Experten, Sozialkommentatoren, Philosophen … – keiner von ihnen kann diese Frage beantworten: „Wem gehören die Daten?“ Den Benutzern? Den Regierungen? Den Unternehmen? Es wäre schön zu glauben, dass die persönlichen Daten der Benutzer auch diesen Benutzern selbst gehören würden. Zumindest bis zu dem Zeitpunkt, an dem sie sich dazu entschließen, sie freiwillig weiterzugeben: Bis sie ein Formular auf einer Website ausfüllen, ihren Namen, ihre Telefonnummer und ihre E-Mail-Adresse eingeben, um sich für einen Newsletter zu registrieren, oder gedankenlos die Vereinbarungen in einer App akzeptieren, ohne das Kleingedruckte einer langen rechtlichen Vereinbarung zu lesen. Formell geben wir ab diesem Zeitpunkt bestimmten Dritten die rechtliche Möglichkeit, unsere Daten zu erheben, sie zu analysieren, zu verkaufen und was auch immer in der jeweiligen Vereinbarung vermerkt ist, (die leider so selten gelesen wird). Bedeutet das also, dass die Daten von diesem Moment an auch diesen Dritten gehören?

Ein Großteil des Problems liegt in der Tatsache, dass der Begriff „personenbezogene Daten“ sehr vage und kurzlebig ist – nicht nur vom Standpunkt des Benutzers, sondern auch vom rechtlichen Standpunkt. Gesetze können mit dem technologischen Fortschritt oft nicht mithalten. Insgesamt hat sich in den letzten Jahren jedoch eine klare Tendenz abgezeichnet: Es werden neue Gesetze zum Schutz personenbezogener Daten und zur Aktualisierung bestehender Rechtsvorschriften verabschiedet. Gleichzeitig ist die Einstellung der Menschen gegenüber personenbezogener Daten und Datenschutz sehr viel ernster geworden – was mich natürlich sehr freut.

Genug vom „Intro“; Gehen wir weiter zum Hauptteil…

In der vergangenen Woche wurde in der Presse ein ziemlicher Skandal um Avast veröffentlicht, einer der Großen auf dem AV-Markt.

Vice veröffentlichte ein Exposé, in dem dargelegt wurde, wie Avast seit Jahren Daten seiner Benutzer an eine seiner Tochtergesellschaften – Jumpshot – weitergibt, die sie dann an Drittfirmen verkauft. Diese Drittunternehmen erhielten so Zugang zu Informationen über das Online-Verhalten der Nutzer: welche Websites besucht wurden, Bewegungen von Websites zu Websites, GPS-Koordinaten der Nutzer von Google Maps, YouTube-Verläufe und vieles mehr. Obwohl die Daten nicht bestimmten Personen, IP-Adressen oder E-Mails zugeordnet waren – mit anderen Worten, sie waren anonym -, enthielten die Daten Kennungen, die so lange funktionieren können, bis ein Benutzer sein Avast-Virenschutzprogramm von seinem Computer löscht.

Natürlich ist dies aus ethischer Sicht geradezu skandalös. Wir hier bei K haben so etwas niemals zugelassen und würden es niemals zulassen. Wir sind nämlich der festen Überzeugung, dass jegliche monetären Einnahmen durch die Daten unserer Benutzer völlig indiskutabel sind.

Der Epilog dieser traurigen Geschichte war eine formelle Entschuldigung seitens Avasts CEO in einer Ankündigung über die Vertragsbeendigung mit Jumpshot. Meiner Meinung nach die einzig richtige Entscheidung. Ich verstehe, dass es nicht einfach gewesen sein muss und aus dieser Entscheidung vermutlich erhebliche finanzielle Einbußen resultieren. Dennoch: diese Entscheidung war die einzig richtige.

Das Thema rund um die Speicherung und Nutzung von Daten war schon immer eine unserer Prioritäten. Bereits 2017 haben wir unsere globale Transparenzinitiative gestartet, unsere Datenverarbeitung für europäische Nutzer (und andere Länder) nach Zürich verlagert und seitdem zwei weitere Transparenzzentren eröffnet. Bald eröffen wir zwei weitere. Solche Projekte sind nicht billig; Wir sind jedoch der Ansicht, dass wir einfach neue Maßstäbe für Offenheit und eine ernsthafte Einstellung zu personenbezogenen Daten setzen müssen.

Weitere Informationen zu unseren Datenverarbeitungsprinzipien, der Funktionsweise unseres Cloud-basierten KSN, zur Anonymisierung von Daten und zu anderen wichtigen Dingen finden Sie hier. Zum Schluss möchte ich mich an alle unsere Nutzer wenden: Eines können Sie uns glauben. Wir gehen niemals Kompromisse auf Kosten unseres Gewissen ein – niemals.

Die Erhebung und der Verkauf von Daten werden häufig von kostenloser Antivirensoftware durchgeführt, die unter anderem die Überwachung von Nutzern zu Werbezwecken und den Handel mit deren Vertraulichkeit umfasst, um Geld zu verdienen. Wie Sie wissen, haben wir auch eine kostenlose Version unseres AV, die auf der gleichen Schutztechnologie wie unsere anderen kostenpflichtigen Produkte basiert und deren Wirksamkeit in unabhängigen Tests ständig bestätigt wird. Obwohl die Funktionalität der kostenlosen Version eher eingeschränkt ist, sind wir dennoch sehr stolz darauf, dass sie den Nutzern einen soliden und zuverlässigen Schutz bietet und keine personenbezogenen Daten für Werbetreibende preisgibt. Benutzer verdienen den besten Schutz – ohne lästige Werbung und Datenschutzhandel. Aber ich sage das schon seit Jahren.

Etwas anderes, worüber ich seit Jahren spreche, ist meine paranoide sehr ernsthafte Einstellung zu meinen persönlichen Daten. Noch einmal: Ich gebe sie immer nur dann preis, wenn es absolut notwendig ist, was ich Ihnen auch empfehle. Ich verstehe, dass es schwierig ist, die Bedeutung dieser Tatsache vollständig zu erkennen, wenn sie im Grunde genommen so immateriell und der „Preis“ unserer Daten kaum abzuschätzen ist. Denken Sie daran, dass jeder Klick, jede Site, die Sie besuchen, jemanden (eher etwas) aufzeichnet und dieses Informationen auch niemals gelöscht werden. Also, Leute, nehmen wir unseren digitalen Fußabdruck ernst. Und noch ernster, wie wir die Unternehmen und Produkte sehen, denen Sie Ihre persönlichen – privaten – Daten anvertrauen.

PS: Wir haben kürzlich eine nützliche Website mit detaillierten Empfehlungen zum Schutz Ihres persönlichen digitalen Lebens gestartet. Hier finden Sie die wichtigsten Datenschutzeinstellungen für gängige soziale Netzwerke, Onlinedienste und Betriebssysteme.  Schauen Sie mal!

Eine Falle für Malware

Ich habe den sechsten Film von Mission Impossible nicht gesehen und denke auch nicht, dass ich dies in naher Zukunft tun werde. Ich musste mich bereits – nach einer harten Arbeitswoche und vollkommen übermüdet – auf einem Langstreckenflug nach Hause tapfer durch den fünften Teil kämpfen; und das nur, weil eine Szene darin in unserem nagelneuen modernen Büro in London gedreht wurde. Und für mich war dieser Film bereits eine Nummer Mission Impossible zu viel. Nein, das ist nichts für mich. Hau, schlag, klatsch, matsch, piff, puff. Uff. Nein, ich bevorzuge tatsächlich etwas anspruchsvollere Filme, die einen zum Nachdenken anregen und einfach interessant sind. Zeit ist schließlich ein sehr kostbares Gut.

Ich lasse hier gerade kein gutes Haar an Tom Cruise & Co., nicht wahr? Aber nicht so schnell! Ich muss ihnen wenigstens zu einer Szene gratulieren, die ich wirklich nicht schlecht fand (d. h., die den Zuschauer zum Nachdenken anregt und gleichzeitig auch wirklich sehr interessant ist!). Und zwar die Szene, in der die Guten den Bösewicht schnappen müssen, damit er seine fiesen Kollegen verpfeift (oder so ähnlich). Dazu erschaffen sie eine künstliche Umgebung in einem „Krankenhaus“; im Fernsehen laufen hier gerade Nachrichten von „CNN“, die von einem atomaren Armageddon berichten. Nachdem der Bösewicht zufrieden ist, dass sein apokalyptisches Vorhaben sein Weg in die große weite Welt geschafft hat, verrät er im Deal mit den Vernehmern seine Kollegen (oder war es sein Login-Code?). Ups. Hier ist der Clip.

Warum gefällt mir diese Szene so? Da sie tatsächlich sehr gut eine der Methoden zum Erfassen von … zuvor unerkannten Cyberbedrohungen zeigt! Natürlich gibt es zahlreiche solcher Methoden, die sich abhängig vom Bereich der Anwendung, Effektivität, Ressourcenverwendung und anderen Parametern unterscheiden (ich schreibe hier regelmäßig über sie). Aber eins sticht immer heraus: Emulation (worüber ich auch hier bereits ausreichend berichtet habe).

Wie im Film MI startet ein Emulator das untersuchte Objekt in einer isolierten, künstlichen Umgebung, in der es seine Bösartigkeit zeigen kann.

Aber dieser Ansatz hat einen bedeutenden Nachteil: die Umgebung ist künstlich. Der Emulator tut sein Bestes, damit die künstliche Umgebung einer realen Betriebssystemumgebung so ähnlich wie möglich sieht, aber immer intelligentere Malware schafft es dennoch, sie von einer realen Umgebung zu unterscheiden. Dann bemerkt der Emulator, dass die Malware ihn erkennt und gruppiert seine Emulation neu und verbessert diese usw. in einem nicht endenden Kreislauf, der regelmäßig Schwachstellen eines geschützten Computers zeigt. Das grundlegende Problem ist, dass kein Emulator es bisher geschafft hat, das Ebenbild eines realen Betriebssystems zu sein.

Auf der anderen Seite gibt es noch eine andere Option, um die Verhaltensanalyse von verdächtigen Objekten anzugehen: auf einem realen Betriebssystem – auf einer virtuellen Maschine. Nun, warum nicht? Wenn es dem Emulator nicht gelingt, dann soll es doch eine reale, allerdings virtuelle Maschine probieren! Es wäre ein ideales „Verhör“: ausgeführt in einer realen Umgebung und keiner künstlichen, aber ohne reale negative Konsequenzen.

Wenn sie von diesem Konzept hören, könnten einige vorschnell die Frage stellen, warum darauf bisher keiner gekommen ist. Denn schließlich ist Virtualisierung schon seit 1992 ein technischer Standard. Nun, es stellt sich heraus, dass das nicht so einfach ist.

Zunächst einmal ist die Analyse von verdächtigen Objekten in einer virtuellen Maschine ein ressourcenintensiver Prozess, der nur für schwere Sicherheitslösungen auf Unternehmensklasse geeignet ist, bei denen das Scannen sehr intensiv sein muss, sodass es absolut keine Bösartigkeit durch den Schutz schafft. Bedauerlicherweise ist diese Technologie für Heimcomputer (ganz zu schweigen von Smartphones) (noch) nicht geeignet.

Zweitens gibt es so etwas eigentlich schon. Tatsächlich verwenden wir bereits diese Technologie intern hier in der Kompany für interne Untersuchungen. Aber was marktfähige Produkte angeht, sind bisher noch nicht so viele erhältlich. Die Konkurrenz hat bereits ähnlich Produkte veröffentlicht, aber deren Effektivität lässt so einiges zu wünschen übrig. Grundsätzlich sind solche Produkte nur auf das Sammeln von Logs und grundlegende Analysen beschränkt.

Drittens ist das Starten einer Datei auf einer virtuellen Maschine nur der Beginn eines sehr langen und schwierigen Prozesses. Denn schließlich ist das Ziel dieser Aufgabe, dass die Bösartigkeit eines Objekts sich von alleine zeigt und dafür braucht es einen intelligenten Hypervisor, Verhaltensprotokollierung und Analyse, konstante Feinabstimmung der Vorlagen von gefährlichen Aktionen, Schutz vor Antiemulationstricks, Ausführungsoptimierung und vieles mehr.

Ich kann hier ohne falsche Bescheidenheit behaupten, dass wir da ganz weit voraus sind; und das weltweit!

Kürzlich wurde uns ein US-Patent gewährt (US10339301), das die Erzeugung einer geeigneten Umgebung für eine virtuelle Maschine zum Ausführen von tiefgreifender, schneller Analyse von verdächtigen Objekten abdeckt. Und so funktionierts:

  • Virtuelle Maschinen werden (für verschiedene Objekttypen) mit Einstellungen erstellt, die sowohl ihre optimale Ausführung als auch eine maximal hohe Erfassungsrate sicherstellen.
  • Der Hypervisor einer virtuellen Maschine funktioniert in Verbindung mit der Systemprotokollierung des Verhaltens eines Objekts und dessen Analyse, wobei er durch aktualisierbare Datenbanken von Vorlagen zu verdächtigem Verhalten, Heuristik, der Logik zu Reaktionen auf Aktionen usw. unterstützt wird.
  • Wenn verdächtige Aktionen erkannt werden, ändert das Analysesystem nach Bedarf den Ausführungsprozess des Objekts auf einer virtuellen Maschine, damit das Objekt seine böswilligen Absichten zeigen kann. So kann das System Dateien erstellen, die Registrierung ändern, sich beschleunigen usw.

Der letzte (dritte) Punkt ist das einzigartigste und beste Feature unserer Technologie. Hier ist ein Beispiel, anhand dessen Sie sehen können, wie es funktioniert.

Das System erkennt, dass eine gestartete Datei „schläft“ und keine Aktivität mehr zeigt. Das liegt daran, dass das Objekt so programmiert werden kann, dass es mehrere (dutzende) Minuten (Stunden) überhaupt nichts macht, bis es mit seiner bösartigen Aktivität beginnt. Wenn das Objekt nicht aktiv ist, beschleunigen wir bei Bedarf die Zeit der virtuellen Maschine auf eine, drei, fünf und bis zu zig Millionen Minuten pro Sekunde. Die Funktionsweise der analysierten Datei ändert sich nicht, während die Wartezeit um das Hundertfache (oder Tausendfache) verkürzt wird. Und falls die Malware nach ihrem „Nickerchen“ sich dazu entscheidet, die Systemuhr zu prüfen (hat sie getickt?), wird ihr vorgetäuscht, dass dies der Fall war. Danach beginnt die Malware mit ihrer bösartigen Mission und gibt sich dem Prozess zu erkennen.

Ein weiteres Beispiel:

Das Objekt verwendet eine Schwachstelle in einer spezifischen Bibliothek oder versucht, den Inhalt einer Datei oder einer Registrierung zu ändern. Zunächst versucht es, mit der regulären Funktion fopen() die Bibliothek (oder Datei oder Registrierung) zu öffnen, und falls es dies nicht schafft (es gibt keine Bibliothek oder Zugriffsrechte auf die Datei), dann gibt es auf. In einem solchen Szenario ändern wir (bei Bedarf) den Rückgabewert der Funktion fopen() von „Datei nicht vorhanden“ in „Datei existiert“ (oder wir erstellen gegebenenfalls die Datei selbst und füllen sie mit angemessenem Inhalt). Dann beobachten wir, wie das Objekt sich verhält.

Ein solcher Ansatz funktioniert auch sehr gut unter der Bedingung von Logikbäumen des Verhaltens eines Objekts. Beispiel: Wenn Datei A und Datei B existieren, dann wird Datei C modifiziert und der Job ist getan. Jedoch ist nicht bekannt, was das untersuchte Programm macht, wenn nur Datei A oder Datei B existiert. Daher haben wir parallel eine Iteration gestartet und sagen dem verdächtigen Programm, dass Datei A existiert, aber Datei B nicht. Dann analysieren wir die weitere Aktivität des Logikbaums.

Es ist wichtig zu wissen, dass die Reaktionsregeln zur Ausführung der Datei durch externe, einfach zu aktualisierende Datenbanken konfiguriert wird. Sie müssen nicht das ganze Modul neu entwickeln, um neue Logik hinzuzufügen. Sie müssen nur korrekt die Vielzahl von möglichen Szenarien von bösartigem Verhalten beschreiben und ein Ein-Klick-Update durchführen.

Jetzt wissen Sie grob, wie diese Technologie funktioniert. Sie wird bald KATA hinzugefügt und auch als eigenständige Lösung für Unternehmen (Kaspersky Sandbox) auf den Markt gebracht.

Cyber-News von der dunklen Seite. Cyberheuchelei, ein Blick auf Mirai, GCHQ is watching you und BlueKeep wird im Schach gehalten.

Hallo zusammen!

Legen wir mit ein paar guten Neuigkeiten los…

„Am häufigsten getestet und ausgezeichnet“ – noch immer ).

Erst kürzlich hat das angesehene unabhängige Testlabor AV-Comparatives die Ergebnisse seiner jährlichen Umfrage veröffentlicht. Ende 2018 wurden in dieser weltweit 3 000 Befragte ähm befragt. Unter den 19 gestellten Fragen war eine: „Welche Desktop-Anti-Malware-Sicherheitslösung verwenden Sie hauptsächlich?„. Und raten Sie mal, wer bei den Antworten für Europa, Asien und Süd- und Zentralamerika ganz vorne lag! Ganz genau: K! In Nordamerika kamen wir auf Platz zwei (ich bin mir sicher, dass sich das bald ändern wird). Daneben wurden wir in Europa als die am häufigsten verwendete Sicherheitslösung für Smartphones gewählt. Auch auf der Liste für Unternehmen, deren Produkte am häufigsten getestet werden sollen, stehen wir ganz oben. Und das sowohl bei den Heimlösungen als auch unter den Antivirusprodukten für Unternehmen. Genial! Wir lieben Tests und es ist ganz klar, warum! Und übrigens, hier finden Sie Details zu den unabhängigen Tests und Reviews unserer Produkte.

„Heuchler, zieh zuerst den Balken aus deinem Auge!
Und dann wirst du klar sehen, um den Splitter aus deines Bruders Auge zu ziehen.“
– Matthäus 7,5

Im Mai wurde eine weitere Hintertür mit Funktionen gefunden, die extrem nützlich für Spionage ist. Und wer hat die Hintertür erfunden? Russland? China? Nein, es war wirklich Cisco (schon wieder)! Ging das groß durch die Medien? Eine endlose Titelstory und Diskussionen über Bedrohungen der nationalen Sicherheit? Cisco-Geräte zurück an die USA gehen lassen? Ach was, das haben Sie auch verpasst? Zur gleichen Zeit wird Huawei nicht nur international durch die Mangel gedreht, nein, es wird auch ohne solche Hintertüren und ohne irgendwelche überzeugenden Beweise gemangelt.

Quelle

HiddenWasp DetectedWasp.

Um beim Thema Hintertüren zu bleiben: Es wurde neue Malware entdeckt: HiddenWasp. Was ist daran interessant?

Nun, erstmal ist diese Malware für Linux (Kinnlade hoch!). Zweitens wurde sie anfänglich von den meisten Anivirussystemen nicht erkannt. Diese neue Malware wird bei gezielten Angriffen auf zuvor infizierte Linux-Computer verwendet. Ihre Funktionsweise unterscheidet sich von der moderner Linux-Malware (DDoS-Angriffe und Krypto-Mining): Sie verbirgt Dateien, die auf einen infizierten Computer geladen wurden, kopiert den Inhalt von Festplatten, führt Programme aus und zwingt aktive Prozesse auf dem infizierten System zum Abbruch. Die Malware verwendet Speicher in Hongkong und die Dateinamen waren auf Chinesisch. Da können Sie sich jetzt Ihren eigenen Reim raus machen. Aber in der Zwischenzeit möchte ich unseren Benutzern versichern, dass wie diese Malware und all ihre Modifikationen erkannt haben.

Quelle

Auwei, auwei, au Mirai.

Jedem, der sich gerne in die Welt der neusten Cyberbedrohungen begeben möchte, rate ich zu unserem Quartalsbericht. Da finden Sie einiges über finanzielle Bedrohungen, die zunehmende Anzahl von mobilen Ransomware-Trojanern, den Verschlüsselungs-Malware-Angriff von LockerGoga auf Großunternehmen und die Analyse des Mirai-IoT-Botnet.

Zu Letzterem gibt es einige interessante Entdeckungen. Zunächst hat Mirai sein Opfernetzwerk erweitert und gelernt, wie IoT-Geräte von Unternehmen angegriffen werden können. Wenn der Wurm dann entdeckt, dass er in einer Sandbox (einer künstlichen isolierten Umgebung für die sichere Ausführung von Computerprogrammen) ausgeführt wird, stellt er einfach seine Funktion ein. Darüber hinaus wurde in einer Version von Mirai ein Mechanismus zum Reinigen der Umgebung anderer Bots erkannt. Sieh mal einer an! Also versteckt er sich nicht nur, sondern entledigt sich auch aller Konkurrenz!

LockerGoga-Dance.

Im März dieses Jahres wurde der norwegische Metallriese Norsk Hydro schwer von dem Verschlüsselungsvirus LockerGoga getroffen (und das war nicht alles: Der Virus infizierte auch die Systeme mehrerer anderer Industrieunternehmen). Die Infektion legte praktisch das ganze IT-System des Unternehmens flach, was zu einem Zusammenbruch der Produktionsanlagen und -büros führte. Anfang Juli veröffentlichte das Unternehmen seinen Finanzbericht für das erste Quartal 2019, in dem der finanzielle Schaden des Cyberangriffs schwarz auf weiß ans Licht kam: rund 70 Millionen Dollar!

Quelle

Big Brother: Update 1: GCHQ is watching you!

Kürzlich kritisierten in einem offenen Brief 47 Großunternehmen, Assoziationen und NROs (einschließlich Microsoft, Apple, Google, WhatsApp und Human Rights Watch) den Vorschlag des britischen Government Communications Headquarters (GCHQ), verschlüsselte Nachrichten an den Staat weiterzuleiten. In dem Brief wurde angemerkt, dass die Pläne des GCHQ die Glaubwürdigkeit von Verschlüsselungsdiensten untergrübe und das Recht auf Privatsphäre und Meinungsfreiheit der Nutzer bedrohe. Der Vorschlag des GCHQ wurde Ende 2018 in einer offenen Abhandlung veröffentlicht. Die Autoren schlugen vor, dass der Geheimdienstler Nachrichten in verschlüsselten Chats liest und die Nutzer nicht erfahren, dass sie ausspioniert werden. Angeblich entspricht diese Lösung „aktuellen Überwachungspraktiken“ und unterscheidet sich nicht vom Abhören unverschlüsselter Telefongespräche. Solche Vorschläge von Regierungen sind keine Einzelfälle, sondern ein weltweiter Trend. Die Zeitschrift „Der Spiegel“ berichtete kürzlich über ein bereits entworfenes Gesetz. Dies besagt, dass verbreitete Instant-Messenger wie WhatsApp gezwungen werden würden, bei Gerichtsbeschluss mit Strafverfolgungsbehörden zusammenarbeiten und unverschlüsselte Chat-Texten bereitstellen zu müssen. Ähnliche Versuche werden durch Staatssicherheitsbehörden in Russland unternommen, die sich an den verbreiteten Yandex-E-Mail-Anbieter und die Instant-Messenger-Dienste von Telegram richten.

Big Brother: Update 2: BlueKeep im Schach halten.

Noch kürzlich wurde eine ernste Schwachstelle namens BlueKeep in Windows entdeckt, die alte Versionen des Betriebssystems, die nicht länger von Microsoft unterstützt werden, bedroht. Für die, die wie ich kein großer Fan von Windows 10 sind, sind das sehr unerfreuliche Nachrichten. Ganz davon abgesehen war es unser Team, das als erstes einen Schutz für diese Lücke entwickelte und ihn mit unseren Kollegen der Branche teilte, sodass alle Antiviren den Angriff schnell abwehren konnten. Microsoft selbst verstand, wie schwerwiegend diese Schwachstelle war und veröffentlichte sogar einen Patch für das „nicht unterstützte“ Windows XP. Aber…!

Denke Sie etwa, dass XP-Nutzer weltweit keine Zeit für das Patch und ein Update verloren hätten? Ganz genau: Nein.. Das heißt, dass ein Hacker die Lücke ausnutzen und „einen Wurm auf seinen Weg durch Millionen PCs schicken könnte“. Ups. Ach du Schande! Also, bleiben Sie auf dem Laufenden und drücken Sie die Daumen…

Wir eröffnen unser zweites Transparenzzentrum in Madrid!

Hola, amigos!

Ende letzten Jahres haben wir bereits unser erstes Transparenzzentrum und Rechenzentrum in der Schweiz (Zürich) eröffnet, das sich der Datenverarbeitung für unsere Kunden in Europa widmet. Obwohl das Ganze erst fünf Monate her ist, wurde deutlich, dass dieses Großprojekt die aktuellen Bedenken in Bezug auf die Cybersicherheitsbranche im heutigen geopolitischen Klima perfekt widerspiegelt.

Momentan zeigen sowohl die Geschäftswelt als auch die Regierungsbehörden großes Interesse an einer ganz bestimmten Sache: und zwar an glasklarer Transparenz. Kein Wunder! In Zeiten, in denen ein Unternehmen auf höchster behördlicher Ebene jeglicher Dinge beschuldigt werden kann – und das ohne Beweise (verfolgen Sie die aktuelle Huawei-Saga?) – haben sowohl die geschäftlichen als auch die staatlichen Regulierungsbehörden weltweit keine andere Wahl als eigene Analysen durchzuführen und die wahren Fakten auf den Tisch zu legen (und das unter Verwendung einer Sache, die in letzter Zeit alarmierend vielen Menschen zu fehlen scheint: gesunder Menschenverstand).

Aus diesem Grund hat sich unser erstes Transparenzzentrum als sehr nützlich erwiesen und wird regelmäßig von unseren Partnern sowie Beamten europäischer Behörden besucht. Was soll ich sagen. Ich freue mich wirklich sehr, dass wir mit unserer globalen Offenheitsinitiative zu Pionieren in der Cybersicherheitsbranche geworden sind.

Aufgrund der frühen Erfolge unserer Zentren in Zürich und um den Marktanforderungen gerecht zu werden, haben wir nun ein weiteres Transparenzzentrum eröffnet – und zwar in Madrid. Hola, amigos! Und so viel sei gesagt: Bis Ende des Jahres planen wir bereits die Eröffnung eines weiteren Zentrums – dieses Mal in Asien!

Die Funktion dieser Zentren bleibt gleich: wir möchten Außenstehenden den Zugriff auf unseren Quellcode sowie unsere Updates ermöglichen. Darüber hinaus dient die neue Einrichtung in Spanien als Briefing-Center, in dem sich Gäste über unsere Technologien, Produkte und Datenverarbeitungsmethoden informieren können.

In Kürze werden wir auf diesem Blog einige der zahlreichen Fotos unserer großen Eröffnungsfeier in Madrid zur Schau stellen. Halten Sie also die Augen offen!

Kaspersky Lab’s Rechenzentrum in Zürich

Darüber hinaus veröffentlichen wir derzeit einige der Forschungsergebnisse eines renommierten unabhängigen Experten in russischen Rechtsfragen – Prof. Dr. Kaj Hobér von der Universität Uppsala in Schweden. Er beschäftigt sich seit über 30 Jahren mit den Feinheiten des russischen Rechtssystems. Damit angefangen hat er bereits als Russland noch Teil der Sowjetunion war. Ein weiterer interessanter Fakt: der Professor war  Schiedsrichter in über 400 Schiedsverfahren. Kurz gesagt: ein sehr beeindruckender Lebenslauf einer noch beeindruckenderen Person, deren absolute Professionalität nur schwer zu bezweifeln ist.

Seine Untersuchung bezieht sich auf drei russische Gesetze bezüglich der Verarbeitung und Speicherung von Daten; denn auf diese nehmen einige der „Experten“ und Journalisten häufig Bezug, wenn sie über uns berichten. Meiner Meinung nach nicht nur völlig unangebracht, sondern zudem auch noch falsch. Mit dieser unabhängigen Analyse wird nämlich ein für alle Mal belegt, dass wir (KL) nicht an ein einziges dieser drei Gesetze gebunden sind – aus einem einfachen Grund: wir sind weder ein Internet- noch ein Mobilfunkanbieter! Denn nur diese beiden Arten von Anbietern sind an die Gesetze gebunden, mit denen wir, warum auch immer, so oft in Verbindung gebracht werden.

Also, liebe Experten, Journalisten und Blogger: bitte begründen Sie Ihre Urteile anhand von logischen Fakten und unabhängigen, unwiderlegbaren Expertenanalysen – und nicht anhand des Herkunftslandes eines Unternehmens, um dann auf den Zug der falschen Anschuldigungen, die heutzutage an der geopolitischen Tagesordnung zu stehen scheinen, aufspringen zu können.