Die San Francisco Municipal Transportation Agency wurde nicht nur gehackt. Es wurde als Lösegeld festgehalten.
Im November übernahmen Angreifer einen Teil des Netzwerks der Behörde. Am Erntedankfest wurden die Fahrkartenautomaten der Stadtbahn dunkel. Auf den Bildschirmen der Agentur wurden keine Fehlercodes oder Wartungshinweise angezeigt. Sie zeigten eine erschreckende Nachricht an: „Sie haben gehackt, ALLE Daten verschlüsselt. Kontakt für Schlüssel ([email protected])ID:681, Eingabetaste.“
Die Nachfrage war groß. 100 Bitcoins. Damals etwa 73.000 US-Dollar. Frist? Dienstag.
Es klingt wie eine Schlagzeile aus einem dystopischen Roman. Das Auffälligste an der SFMTA-Verletzung ist jedoch nicht das Chaos. Es ist, wie unvermeidlich es sich anfühlt. Wir behandeln diese Vorfälle als Anomalien. Das sind sie nicht. Sie sind die neue Basis für digitale Sicherheit.
Зміст
Die Ransomware-Wirtschaft
Ransomware hat sich von einem Ärgernis zu einer Haupteinnahmequelle für Cyberkriminelle entwickelt. Andrew Howard, CTO bei Kudelski Security, bringt es auf den Punkt: Angreifer haben diese Technik von einer von vielen Optionen zu einem der effektivsten Tools in ihrer Toolbox befördert.
Warum die Verschiebung?
Es gibt noch andere Malware. Trojaner. Spyware. Aber es fehlt ihnen der direkte finanzielle Nutzen. Ransomware verändert das Spiel, indem sie den Mittelsmann entfernt.
Joe Opacki, Vizepräsident für Bedrohungsforschung bei PhishLabs, weist auf die Einfachheit hin. „Statt Daten stehlen und verkaufen oder Botnetze vermieten zu müssen, bietet Ransomware eine direkte Bezahlung.“
Infizieren Sie die Maschine. Sperren Sie die Dateien. Bitten Sie um Bargeld. Keine Datenwäsche. Keine Schwarzmarkthändler. Nur eine direkte Transaktion, normalerweise in Bitcoin oder MoneyPak, die schwerer zu verfolgen sind als physische Währung.
Die Lautstärke ist atemberaubend. Die US-Heimatschutzbehörde schätzte im Jahr 2016 durchschnittlich 4.000 Ransomware-Angriffe pro Tag. Das ist ein Anstieg von 300 Prozent im Vergleich zum Vorjahr.
Wer zahlt?
Man könnte meinen, Unternehmen seien das Hauptziel. Sie sind. Heimanwender sind jedoch überproportional betroffen.
Eine Studie von Kaspersky Labs aus dem Jahr 2016 ergab, dass von den 2,3 Millionen Benutzern, die zwischen April 2015 und März 2016 mit Ransomware konfrontiert wurden, fast 87 Prozent zu Hause waren. Das Lösegeld? Oftmals nur ein paar hundert Dollar.
Der Gesamterlös allein für die ersten drei Monate des Jahres 2016 wurde auf 209 Millionen US-Dollar geschätzt. Wir wissen nicht genau, wie viele Personen gezahlt haben. Aber wenn die Wiederherstellungskosten bei Null liegen, wenn Sie zahlen, und hoch, wenn Sie nicht zahlen, funktioniert die Rechnung für den Angreifer.
Im größeren Maßstab sind die Auswirkungen physischer Natur. Im Februar 2016 wartete das Hollywood Presbyterian Medical Center in Los Angeles fast zwei Wochen, bevor es 40 Bitcoins (ca. 17.000 US-Dollar) zahlte, um seine Systeme freizuschalten.
Sie haben keine Patientenakten verloren. Die Hacker haben nie darauf zugegriffen. Aber die Mitarbeiter waren gezwungen, 13 Tage lang mit Bleistift und Papier Formulare auszufüllen und Aufzeichnungen zu aktualisieren. Die Pflege wurde langsamer. Die Verwirrung wuchs. Das Krankenhaus zahlte, um zur Normalität zurückzukehren.
Warum Abwehrkräfte versagen
Nolen Scaife, Doktorand an der University of Florida, beschreibt Ransomware als „harten Gegner“.
Sich dagegen zu wehren ist schwierig. Jeder Angriff variiert leicht. Es sieht aus wie eine normale Systemadministrationsaktivität, bis es zu spät ist. Die Verschlüsselung erfolgt schnell.
Scaifes Team entwickelte CryptoDrop, ein Erkennungsprogramm, das den Verschlüsselungsprozess erkennen und stoppen soll. Das Ziel ist einfach: Je weniger Daten die Malware verschlüsselt, desto schneller können Sie sie aus einem Backup wiederherstellen.
Aber die Verschlüsselung umkehren? Mit modernen Kryptowährungen ist das nahezu unmöglich.
„Die Zuverlässigkeit einer guten Kryptografie, die ordnungsgemäß durchgeführt wird, und der Aufstieg der Kryptowährung haben einen perfekten Sturm für Ransomware geschaffen“, schreibt Scaife. Wenn die Ransomware gut konzipiert ist und Sie keine Backups haben, ist die Zahlung oft die einzige Möglichkeit, Ihre Dateien zurückzubekommen.
Das ist kein neues Konzept. Der AIDS-Trojaner von 1989 nutzte infizierte Disketten, die per Post verschickt wurden. Es verschlüsselte das Stammverzeichnis eines PCs. Es wurde schnell besiegt. Aber jahrzehntelange Weiterentwicklung hat die Übermittlungsmechanismen unsichtbar und die Verschlüsselung unknackbar gemacht.
Das perfekte Opfer
Krankenhäuser sind ideale Ziele. Jérôme Segura, ein Sicherheitsexperte, sagte gegenüber CBC News, dass ihre Systeme oft veraltet seien, vertrauliche Daten gespeichert seien und sie sich Ausfallzeiten nicht leisten könnten. Wenn Patientenakten gesperrt werden, können sie das nicht einfach ignorieren.
Die Strafverfolgung ist nicht sicherer. Im Jahr 2015 wurden fünf Polizeibehörden in Maine Opfer von Ransomware. Mindestens einer lief unter DOS, einem veralteten Betriebssystem.
Polizeibehörden sind beliebte Ziele. Und sie zahlen.
Ein Polizeichef aus New Hampshire hatte einen brillanten Moment. Er zahlte das Lösegeld, bekam den Schlüssel und stornierte die Zahlung. Als seine Abteilung zwei Tage später erneut getroffen wurde, versuchte er es nicht. Er hat gerade die 500 Dollar abgezweigt.
Die Ironie ist niemandem entgangen. Die mit der Durchsetzung von Gesetzen beauftragten Institutionen lagern ihre Sicherheit an Kriminelle aus.
Uns bleibt ein System, in dem die Verschlüsselung als Waffe gegen diejenigen eingesetzt wird, die sie am meisten brauchen. Der SFMTA-Hack war kein Ausreißer. Es war eine Vorschau. Und wir warten immer noch darauf, dass der Rest des Landes aufholt.
Das menschliche Element ist das schwächste Glied
Bereits Anfang 2016 stieg die finanzielle Belastung durch Ransomware. Ein Schulbezirk in South Carolina hat im Februar einen Scheck über 8.500 US-Dollar ausgestellt. Die University of Calgary hat im Juni 16.000 US-Dollar gekürzt, mit der Begründung, dass in ihren Netzwerken gespeicherte erstklassige Forschungsergebnisse geschützt werden müssen. Im November, nur wenige Wochen vor dem Hackerangriff der San Francisco Municipal Transportation Agency (SFMTA), zahlte ein Landkreis in Indiana 21.000 US-Dollar, um die Systeme seiner Polizei und Feuerwehr freizuschalten.
Der SFMTA-Vorfall sah anders aus. Berichten zufolge wurde die Ransomware von innen heraus gestartet. Laut Forscher Opacki nutzte der Angreifer eine bekannte Schwachstelle in der WebLogic-Software von Oracle aus. Sie haben wahrscheinlich das Internet nach diesem speziellen Fehler durchsucht und sind zufällig auf das System von SFMTA gestoßen.
Die meisten Angriffe basieren jedoch nicht auf Softwarefehlern. Die Verwundbarkeit liegt meist beim Menschen.
Opacki stellt fest, dass wir unsere Fähigkeit, einen Phishing-Betrug zu erkennen, immer wieder überschätzen. Eine Studie aus dem Jahr 2016 ergab, dass 30 % der Menschen Phishing-E-Mails öffnen und 13 % auf den schädlichen Link oder Anhang klicken. Viele gehen immer noch davon aus, dass es sich bei Phishing-E-Mails um schlecht gestalteten Spam mit gebrochenem Englisch handelt. Sie fallen auf „Mitarbeiter-Gehaltsabrechnungstabellen“ herein, die von vermeintlichen Personalmitarbeitern verschickt werden. Phishing hat sich über die nigerianischen Prinzen hinaus entwickelt. E-Mails werden jetzt personalisiert, indem echte Details aus sozialen Medien verwendet werden.
Andrew Howard von der Kudelski Group sagt, dass selbst in sehr sicherheitsbewussten Organisationen 3 bis 5 % der Mitarbeiter auf schlecht konstruierte Betrügereien hereinfallen. In weniger geschützten Umgebungen ist die Ausfallrate viel höher.
„Es ist ziemlich entmutigend“, gibt er zu.
Hacken für Idioten
Bei der Zunahme von Ransomware geht es nicht nur um Leichtgläubigkeit oder ausgefeilte Malware. Es geht um Leichtigkeit. Das Ausführen eines Ransomware-Betrugs ist genauso komplex wie ein Überfall auf der Straße, aber mit weitaus geringerem Risiko.
Nolen Scaife argumentiert, dass Hacker nicht viel Geschick brauchen. Die Software ist nicht ausgefeilt. Es lässt sich schnell erstellen und bereitstellen. Noch wichtiger ist, dass Hacker es nicht selbst erstellen müssen. Sie kaufen es im Darknet.
Malware-Marktplätze verkaufen unzählige Varianten. Diese gibt es oft als All-in-One-Apps. Verkäufer bieten Kundenservice und technischen Support, um unerfahrenen Betreibern dabei zu helfen, Betrug reibungslos durchzuführen. Dan Turkel von Business Insider hebt dieses Unterstützungssystem hervor. Einige Produkte bieten sogar eine Geld-zurück-Garantie. Viele bieten Anruf- oder E-Mail-Dienste an, um Opfer bei den Zahlungen zu unterstützen. Mindestens eine Ransomware-Familie bietet Live-Chat-Kundendienst an.
Entwickler nutzen sogar Vertriebshändler, um ihre Produkte zu verkaufen. Der Markt ist robust.
Das verheißt nichts Gutes für jemanden, der den Betrug betreibt. Cybersicherheitsexperten sind sich auf eine Lösung einig: Sichern Sie Ihre Daten. Ohne Backups ist die Zahlung des Lösegelds möglicherweise die einzige Möglichkeit, Ihre Dateien wiederherzustellen.
Selbst dann erhalten Sie Ihre Daten möglicherweise nicht zurück. Eine Studie von Trend Micro ergab, dass 20 % der britischen Unternehmen, die im Jahr 2016 Lösegeld gezahlt haben, nie einen Entschlüsselungsschlüssel erhalten haben.
SFMTA hat nicht gezahlt. Ein Sprecher sagte gegenüber Fortune, die Agentur habe nie darüber nachgedacht. Systeme wurden aus Backups wiederhergestellt. Die meisten waren innerhalb von zwei Tagen wieder online. Die Einwohner von San Francisco fuhren in dieser Zeit kostenlos mit der Stadtbahn.
Zwei Tage später hackten Hacker das E-Mail-Konto des Stadtbahn-Hackers. Dies ergab, dass seit August Ransomware-Zahlungen in Höhe von schätzungsweise 100.000 US-Dollar getätigt wurden.
Das ist praktisch
Einige Ransomware-Hacker akzeptieren Amazon-Geschenkkarten.
