1. Phishing trifft COVID-19
Bei einem Phishing-Angriff wird eine E-Mail verschickt, um Menschen dazu zu verleiten, auf einen darin enthaltenen Link oder mitgeschickten Datei-Anhang zu klicken. Die Täter verfolgen dabei verschiedene Absichten: Sie wollen entweder Schadsoftware auf dem System des Mailempfängers installieren oder ihr Opfer dazu bringen, sensible Daten wie Anmeldeinformationen preiszugeben.
Während der aktuellen Corona-Pandemie sind die Menschen aufgrund von Kontaktbeschränkungen vermehrt zu Hause. Viele arbeiten zudem von Zuhause aus im Homeoffice. Diese Situation nutzen Cyberkriminelle konsequent aus. Bei Phishing-Angriffen mit COVID-19-Bezug locken die Angreifer ihre die Opfer auf Webseiten mit angeblichen Informationen über das Coronavirus. Oftmals nutzen diese Seiten die Systemressourcen des Benutzers dann, um Kryptowährungen wie Bitcoin zu schürfen - alles ohne die Zustimmung des Benutzers - Lesen Sie mehr.
2. Clevere Ransomware?
Nicht nur Unternehmen, auch Cyberkriminelle arbeiten nach wirtschaftlichen Kriterien. Sie wollen mit minimalem Aufwand maximalen Profit erzielen. Das ist ein Grund, warum im vergangenen Jahr Ransomware so präsent war und auch in Zukunft weiterhin häufig eingesetzt wird. Mit Hilfe der Erpresserschädlinge verschlüsseln Angreifer Dateien auf Computern und verlangen vom Benutzer ein Lösegeld für die Entschlüsselung. Der Aufstieg von Kryptowährungen wie Bitcoin, hat Ransomware-Angriffen sicherlich geholfen, da es dem böswilligen Akteur erlaubt, bei den Lösegeldzahlungen anonym zu bleiben.
Ein aktuelles Beispiel: Die Cyrat-Ransomware war als Software zur Reparatur beschädigter DLL-Dateien auf dem Computer getarnt. In Wirklichkeit werden während der Ausführung Teile des Systems verschlüsselt.
Es ist davon auszugehen, dass die Angriffe mit Ransomware in den nächsten Jahren immer raffinierter werden. Eine Möglichkeit: Ransomware fordert ein dynamisches Lösegeld, abhängig von der Umgebung, in der sie ausgeführt wird. Eine Ransomware, die auf einem Mac ausgeführt wird, könnte zum Beispiel ein höheres Lösegeld verlangen, als auf einem Windows-Rechner. Das liegt daran, dass Macs in der Regel mehr Geld kosten als Windows-Computer. Aus den Setups lässt sich das relative Nettovermögen einer Person abschätzen.
3. Polyglotte Dateien - Einfach nur ein .JPG, oder?
Polyglotte Dateien vereinigen in sich unterschiedliche Dateitypen. Und so lässt sich eine Datei als Bild öffnen oder wie ein JavaScript im Browser ausführen.
Diese Methode nutzen Kriminelle bereits bei Werbebetrug. Das ist aber erst der Anfang und die Gefahr nimmt zu, denn spezialisierte Dienste könnten die Erstellung solcher Dateien gegen eine Zahlung anbieten. Dann können auch Personen solche Malware nutzen, die selbst keine Programmierkenntnisse haben.
Hinzu kommt: Polyglotte Malware ist nicht auf das Web beschränkt. In einem Fall wurde eine bösartige JAR-Datei an das Ende einer Windows-Installationsdatei (.MSI) angehängt. Sicherheitslösungen, die sich auf die Microsoft Windows Code Signing Validierung verlassen, lassen sich damit umgehen.
4. IoT-Angriffe – Eine wachsende Gefahr
Das Internet der Dinge (IoT) wächst von Jahr zu Jahr. Prognosen gehen davon aus, dass im Jahr 2025 mehr als 75 Milliarden IoT-Geräte vernetzt sind – das ist eine Verdreifachung gegenüber dem Jahr 2019.
Keine Frage, vernetzte Geräte machen das Leben komfortabler. Es ist schön, mit einem bereits zubereiteten Kaffee aufzuwachen, weil der Wecker mit der Kaffeemaschine verbunden ist. Doch dieser Komfort hat einen Haken: Wenn die IoT-Geräte nicht richtig abgesichert sind, können Cyberkriminelle diese Schwachstelle ausnutzen und über die Geräte Nutzer angreifen.
Im Jahr 2020 haben wir ein IoT-Botnetz identifiziert. Dieses Botnet war auf anfälligen Zugangskontrollsystemen installiert, die häufig in Bürogebäuden zu finden sind. Vielleicht haben Sie ein solches Gebäude schon einmal mit Ihrer Schlüsselkarte betreten, ohne zu wissen, dass das System infiziert ist.
5. Social Engineering und Kryptowährungen
Bei einem Angriff auf Basis von Social Engineering steht nicht nur die Technologie im Fokus. Diese Angriffsmethode zielt vielmehr auf den menschlichen Aspekt. Ein prominentes Beispiel ist Phishing. Social Engineering kann verschiedene Formen annehmen, in der Angreifer sensible Informationen über ihre Opfer sammeln - in einer E-Mail, in sozialen Netzwerken, beim Gespräch von Angesicht zu Angesicht oder sogar über einen Telefonanruf.
Ein weiteres Beispiel ist SIM-Swapping. Bei dieser Art des Angriffs erhalten Kriminelle Zugriff auf die SIM-Karte des Opfers. Durch geschicktes Social Engineering gaukeln die Täter dem Mobilfunkanbieter vor, dass sie und nicht der Nutzer der echte Kunde sind. Im Erfolgsfall kontrollieren die Kriminellen die SIM-Karte und empfangen die Textnachrichten und Telefonanrufe. Diese Methode wird auch genutzt, um Zugriff auf Social-Media-Konten oder Kryptowährungs-Wallets zu erhalten.
Social Engineering kann sich auch rein auf den sozialen Aspekt stützen. Der Servicemitarbeiter, der ohne vereinbarten Termin bei Ihnen klingelt, um ihr schlechtes WLAN-Netz zu reparieren, ist vielleicht nicht der, für den Sie ihn halten. Unternehmen vereinbaren in der Regel im Vorfeld Termine mit Ihnen. Es ist in der Regel sinnvoll, solche spontanen Termine abzulehnen.
6. Malvertising in Ihrem Facebook-Feed
Malvertising steht für bösartige Werbung. Kriminelle nutzen Online-Anzeigen, um Malware zu verbreiten. Dies funktioniert in der Regel durch das Einfügen von bösartigen Codeschnipseln in Bannern oder anderen Inseraten. Diese Anzeigen blenden die Kriminellen dann auf vielen Webseiten ein, die das Werbenetzwerk nutzen, mit der Absicht, Profit daraus zu generieren. In der Regel haben Webseiten nur selten die Kontrolle über die angezeigten Anzeigen. Der Betreiber des Werbenetzwerkes muss auf dieses Problem reagieren.
Eine aktuelles Malvertising-Kampagne stammt von der Gruppe ScamClub, die auf den Safari-Browser abzielt. Diese Kampagne nutzt eine als CVE-2021-1801 bekannte Schwachstelle zur Privilegien-Eskalation aus. Die Bedrohungsakteure haben sich möglicherweise unbefugten Zugriff auf die betroffenen Systeme verschafft.
Auch Facebook ist möglicherweise weniger sicher, als Sie denken. In einer Malvertising-Kampagne, die den Banking-Trojaner Mispadu verbreitet, wurden Facebook-Anzeigen verwendet. Die Inserate zeigen gefälschte Gutscheine für McDonalds. Nach einem Klick auf die Anzeige sollten Nutzer ein Archiv herunterladen, das den Schadcode enthielt.
7. Identitätsdiebstahl in COVID-19-Zeiten
Allein in den USA hat sich die Zahl der Identitätsdiebstähle von 2019 auf 2020 verdoppelt, so ein Blogpost der Federal Trade Commission (FTC). Die FTC erhielt im Jahr 2020 rund 1,4 Millionen Meldungen von Identitätsdiebstahl. Besonders auffällig: Cyberkriminelle hatten es insbesondere auf Menschen abgesehen, die von der COVID-19-Pandemie finanziell betroffen sind.
Cyberkriminelle missbrauchten die staatliche Arbeitslosenunterstützung, die für von der Pandemie betroffene Arbeitslose gedacht war. Die Betrüger füllten Anträge aus, indem sie Informationen von anderen Personen verwendeten. Im Jahr 2019 gab es 12.900 Berichte über Identitätsdiebstahl in Bezug auf Arbeitslosenunterstützung. Im Jahr 2020 waren es 394.280 Fälle. Das ist ein Anstieg von über 3.000 Prozent!
Es ist davon auszugehen, dass Identitätsdiebstahl noch mehr zunimmt. Gerade in turbulenten Zeiten, wie wir sie jetzt erleben, nehmen bösartigen Aktivitäten sogar noch schneller zu. Die Tatsache, dass der Fokus eher auf der Beschleunigung der Markteinführung von digitalen Tools, als auf der Sicherheit liegt, macht wenig Hoffnung auf Besserung. Wenn man sich anschaut, was in den letzten Wochen bei Facebook und LinkedIn passiert ist, wo böswillige Akteure einfach die Daten von öffentlichen APIs abgreifen konnten, kommt man nicht umhin, sich zu fragen, ob der Datenschutz für einige Unternehmen überhaupt ein Thema ist. Im Gegensatz zu dem, was beide Unternehmen behaupten, bedeutet die Tatsache, dass Daten "alt" sind, keineswegs, dass sie nicht für Identitätsdiebstahl missbraucht werden können.
8. Passwörter - Wissen vs. Handeln
Passwörter sind immer noch ein Top-Angriffsvektor für Unternehmen, wie eine Studie ergab. 42 Prozent der Befragten gaben an, dass Sicherheitsverletzungen auf kompromittierte Kennwörter zurückzuführen sind.
Der Data Breach-Report von RiskBased Security aus dem Jahr 2019 meldete 4,1 Milliarden kompromittierte Datensätze. Dabei waren Passwörter in 65 Prozent der Datensätze enthalten. Es ist davon auszugehen, dass sich dieser Trend auch im Jahr 2021 fortsetzt.
Ein erster Tipp: Auf der Webseite Have I been pwned können Sie prüfen, ob Ihre Daten von einer exponierten Sicherheitsverletzung betroffen sind.
In einer Online-Sicherheitsumfrage von Google gaben mehr als Hälfte der Befragten an, dass sie das gleiche Passwort für mehrere Onlinedienste gleichzeitig nutzen. Dieser Wert ist alarmierend, da Angreifer mit nur einem einzigen Kennwort Zugang zu mehreren Konten erhalten können. Bemerkenswert ist auch, dass 79 Prozent der Befragten der Meinung sind, dass die Aktualisierung von Sicherheitssoftware wichtig ist, während nur ein Drittel diese auch wirklich regelmäßig durchführt. Es besteht als eine große Lücke zwischen Wissen und Handeln!
9. Zero-Day-Exploits - Der Super-GAU
Angriffe, die Zero-Day-Exploits verwenden, sind schwer zu bekämpfen. Wie der Name schon sagt, nutzen Kriminelle Zero-Day-Exploits, um Systeme zu infiltrieren, bevor sie gepatcht sind.Im Jahr 2016 berichteten wir über einen Fall von Zero-Day-Exploit im Firefox-Browser, der auf Tor-Nutzer abzielt. Der Exploit versuchte, Tor-Benutzer zu deanonymisieren.In jüngster Zeit waren Microsoft Exchange Server von Zero-Day-Exploits betroffen. Die Angreifer waren in der Lage, auf Mail-Konten zuzugreifen, Daten zu stehlen und sogar Malware auf die kompromittierten Rechner einzuschleusen.
Da Zero-Day-Exploits in weit verbreiteter Software und Betriebssystemen Kriminellen ein breites Angriffsspektrum bieten, sind wir davon überzeugt wir, dass Zero-Day-Exploits auch im Jahr 2021 und darüber hinaus eine große Gefahr sind. Dies gilt insbesondere, wenn man bedenkt, dass die Politik zunehmend darauf drängt, dass Strafverfolgungsbehörden und Geheimdienste solche Schwachstellen für Ermittlungen "horten". Wir bei G DATA halten das für eine schlechte Idee. Und mit dieser Einschätzung stehen wir nicht alleine da.
10. Insider-Bedrohungen - Vertrauen Sie Ihrem Kollegen?
Ein in der Öffentlichkeit weniger bekanntes Risiko, das insbesondere kleine und große Unternehmen betrifft, sind Insider-Bedrohungen. Hier ist jeder, der in Kontakt mit den internen Strukturen der Firma ist oder war, ein potenzieller Verdächtiger. Der Bericht von Verizon aus dem Jahr 2019 enthüllt erstaunliche Daten - 57 Prozent aller Datenbankverletzungen ließen sich auf Insider zurückführen
Kleine Unternehmen sind dabei einem größeren Risiko ausgesetzt, da die Mitarbeiter oft auf mehr Teile des internen Netzwerks zugreifen können, als dies in Konzernen und Großunternehmen möglich ist. Eine gute Gegenmaßnahme gegen Insider-Bedrohungen ist es, die Nutzungsrechte eines Mitarbeiters nur auf die notwendigen Bereiche zu beschränken, die mit dem Aufgabengebiet zusammenhängen.
Das Verfolgen der Aktionen von Mitarbeitern ist ein zweischneidiges Schwert: Auf der einen Seite, können Datendiebe entdeckt werden. Auf der anderen Seite steht die gesamte Belegschaft gewissermaßen unter Generalverdacht.
11. Deepfakes - Seien Sie datensensibler!
Durch den Einsatz von künstlicher Intelligenz (KI) lässt sich ein Bild oder Video einer Person manipulieren, um eine Aktivität vorzutäuschen, die in Wirklichkeit nicht stattgefunden hat. Dies wird als Deepfake bezeichnet. Wie dies in der Praxis aussieht zeigt ein Video mit einem Deepfake von Donald Trump und Joe Biden: https://www.youtube.com/watch?v=cxnsIUDpi-g
Während viele Deepfakes lustig und amüsant sind, können sie auf der anderen Seite auch eine ernst zu nehmende Bedrohung darstellen.
Wenn man an Online-Identitäten denkt, könnten Deepfakes dazu verwendet werden, eine Identität betrügerisch zu verifizieren oder sogar Konten im Namen einer anderen Person zu erstellen. Die Technologie wurde auch schon genutzt, um gefälschte Videos von Prominenten in kompromittierenden Situationen zu erstellen. Da die Technologie in der Regel im Laufe der Jahre immer ausgefeilter wird, ist davon auszugehen, dass dies auch für die Qualität von Deepfakes gelten wird. Es wird dadurch zunehmend schwerer und aufwendiger, eine Fälschung zu erkennen.
