NotPetya: 3 Jahre danach – die Lehren

Es ist schon mehr als 3 Jahre her: Am 27. Juni 2017 startete die weltweite Angriffswelle der Ransomware NotPetya. Die Malware richtete große Schäden an. Welche Lehren konnte man aus dem Vorfall ziehen? David Grout, CTO EMEA beim Sicherheits-Spezialisten FireEye, hatte mir einen Kommentar dazu zukommen lassen. Ich deriviere einfach mal etwas Text für diesen Beitrag.

Es schlug ein, wie eine Bombe – am 27. Juni 2017 startete eine weltweite Angriffswelle einer Ransomware, die Tausende Computersystem unbrauchbar machte. Ich ging ursprünglich von einer neuen Welle zur Verbreitung der Petya-Ransomware aus, wie sich im Artikel  Achtung: Petya Ransomware befällt weltweit Systeme vom 27. Juni 2017 noch nachlesen lässt.

Der erste Wiper

Erste Berichte kamen damals aus Russland, denn Systeme von Firmen aus Russland und in der Ukraine waren unter den angegriffenen Zielen. Aber die Infektion weitete sich aus. Damals herrschte weltweites Chaos, denn Systeme von Firmen, Banken, und Energieversorgern in Russland, der Ukraine, in Spanien, Frankreich, Großbritannien (Werbefirma WPP), Indien und in weiteren europäischen Ländern wurden befallen seien. Einem NDR-Bericht nach war die Beiersdorf AG (Nivea) in der Firmenzentrale von der Ransomware betroffen.

Am Ende des Tages stellte sich aber heraus, dass es keine Petya-Ransomware war, sondern dass die Malware unter die Kategorie Wiper fiel. Die Malware verschlüsselte die Dateien der befallenen Systeme und meldete das auch. Es war aber nie geplant, einen Schlüssel zum Entschlüsseln dieser Daten zu veröffentlichen. Ziel der Malware war es, maximalen Schaden anzurichten. Die Malware wurde dann auf NotPetya getauft.

Ungepatchte Systeme ermöglichen NotPetya

Bitdefender hatte einen fortlaufend aktualisierten Blog-Beitrag zum Thema veröffentlicht. Auch von Eset lag mir eine Stellungnahme vor. Zur Verbreitung scheint eine Kombination aus einem SMB Exploit (EternalBlue), wie er auch bei WannaCry zum Einsatz kam, zu verwenden. So verschafft sie sich Zugriff auf das Netzwerk, wo sie sich durch PsExec weiter verbreitet. Diese gefährliche Kombination ist wahrscheinlich der Grund für die schnelle und globale Ausbreitung – obwohl das mediale Interesse nach vorherigen Ausbrüchen hoch war und die meisten Sicherheitslücken hoffentlich beseitigt wurden. Nur ein einziger ungesicherter Computer reicht aus, damit sich die Ransomware Zutritt zum Netzwerk verschaffen kann. Die Malware kann sich dann Administratoren-Rechte erteilen und andere Computer befallen.

Sicht der FireEye-Sicherheitsforscher

Im Rückblick geben die Leute von FireEye folgenden Kommentar ab: "Vor drei Jahren begannen Organisationen auf der ganzen Welt, Sicherheitsvorfälle zu melden, ausgelöst durch die Ransomware NotPetya. Die Ransomware-Kampagne betraf Organisationen in mindestens 65 Ländern, insbesondere aber in der Ukraine, die das Hauptziel war. Analysten von Mandiant Threat Intelligence entdeckten später eine Verbindung zwischen den Angriffen und der berüchtigten, vom russischen Staat unterstützten Hackergruppe Sandworm, die seit 2015 mehrere Angriffe mit Wiper-Malwares auf ukrainische Einrichtungen ausgeführt hatte. Während die ersten Angriffe lediglich die Daten der Opfer gelöscht hatten, verstärkte die Hackergruppe 2017 ihre Aktivitäten, indem sie Ransomware hinzufügte. NotPetya veränderte die weltweite Wahrnehmung von Ransomware und der potenziell verheerenden Auswirkungen, die sie auf Unternehmen haben kann.

Der NotPetya-Angriff wurde zu einer sich rasch ausbreitenden Bedrohung und stellte einen Präzedenzfall dar: Er zeigte, dass die Sandworm-Gruppe größere Kollateralschäden über die unmittelbaren ukrainischen Ziele hinaus in Kauf nimmt, als sich die Malware weltweit verbreitete. Sandworm ist nach wie vor einer der aktivsten und fortschrittlichsten Cyber-Bedrohungsakteure. Die Gruppe agiert an mehreren Fronten und zu ihren Aktivitäten gehören zerstörerische Angriffe, Einmischung in demokratische Prozesse und Cyber-Spionage. "

Was kann man aus NotPetya lernen?

Was sollten Organisationen aus dem NotPetya-Angriff von 2017 lernen? NotPetya zeigt, laut FireEye, die Relevanz von Widerstandsfähigkeit, Backup und guter Vorbereitung auf. Außerdem macht die Attacke deutlich, wie wichtig es ist, die Bedrohungsakteure zu verfolgen und identifizieren zu können und ihre Motive zu verstehen. Um die Auswirkungen solcher Angriffe einzudämmen, müssen in erster Linie Patches für Schwachstellen schnell zur Verfügung stehen und heruntergeladen werden.

Gibt es eine bekannte Schwachstelle, werden Akteure diese sehr wahrscheinlich ausnutzen und dabei großen Schaden anrichten, und zwar so lange, bis die Lücke geschlossen ist. Der NotPetya-Angriff hätte abgemildert werden können, wenn Organisationen die betreffenden Software-Aktualisierungen regelmäßig durchgeführt und ihre Security sorgfältig geprüft hätten, insbesondere durch simulierte Cyber-Angriffe.

Von Binsen und einer kaputten IT …

Allerdings halte ich viele der Aussagen aus dem FireEye-Kommentar für 'Binsen' – nicht falsch, auch bekannt, aber in der Praxis nicht einhaltbar. Denn in meinen Augen ist die IT-Infrastruktur schlicht kaputt. Die ständigen Ransomware-Vorfälle der letzten 24 Monate zeigen mir, dass das Patchen und Absichern in der Praxis nicht funktioniert. Wenn ich mal postuliere, dass niemand absichtlich Lücken offen lässt oder die gesamte IT weltweit nicht blöde ist, bleibt der Schluss: Wir haben einen Zustand erreicht, wo die Sicherheit nicht mehr zu gewährleisten ist.  

Der (Zw)Hang zur Cloud, die allgegenwärtigen Internet of Things (IoT) Geräte ohne Patches, Fehler, die immer wieder passieren, all dies stimmt mich nicht optimistisch, dass 'die Choose mit ein bisschen patchen' erledigt ist. Die Qualität der heutigen Hard- und Software tut ein Übriges zu diesem Cocktail. Seit zwei Jahren patchen die Chip-Hersteller CPU-Schwachstellen, die durch Seitenkanalangriffe ausnutzbar sind, hinterher. Und dann stellt sich heraus, dass man das alles nicht richtig verstanden hat (siehe den aktuellen Artikel Sicherheitslecks bei Qualcomm, MediaTek, Intel CPUs etc.).

Microsofts Windows as a Service (WaaS) hat dazu geführt, dass die Leute vor jedem Patchday zittern und hoffen, dass danach noch alles funktioniert. Wer kann, sperrt die Patches und versucht das Upgrade auf Windows 10 zu vermeiden. Frappierend ist auch, dass mittlerweile oft Jahrzehnte alte Schwachstellen im Code moderner Produkte gefunden werden. Die Mär vom sicheren, frischen Betriebssystem oder neuer Software, wo weniger Sicherheitslücken existieren, hat sich als Fata Morgana entpuppt – die schleppen oft Uralt-Code in den neuen Produkten mit.

Millionen an IoT-Geräten mit schweren Sicherheitslücken in der Firmware, die auch nicht mehr geschlossen werden, sind ein weiterer Posten, den es auf dem Radar zu behalten gilt. Meine Meinung: Die ganzen heutigen Trends werden dann kippen, wenn die Kosten, die durch Ransomware-Befall entstehen, wesentlich höher sind, als Unternehmensberater an Kosteneinsparungen durch Cloud, Vernetzung und Digitalisierung versprechen. Kann aber noch einige Jahre dauern – bis dahin herrscht 'Vogel Strauß Politik' – wenn ich nichts sehe, passiert auch nichts – und vielleicht trifft es mich ja nicht. Oder wie seht ihr das so?

Ähnliche Artikel:
Master-Key der Petya Ransomware freigegeben
ESET Analyse zu Not Petya/Diskcoder.C Verbreitung
Neues zu Petya: Zahl der Infektionen, Ziele und mehr …
Neues zur Petya Ransomware – Gegenmittel gefunden?
Achtung: Petya Ransomware befällt weltweit Systeme

ESET Analyse zu Not Petya/Diskcoder.C Verbreitung

Warnung vor neuem NotPetya-ähnlichem Cyber-Angriff
Vage Hoffnung: Verschlüsselung von NotPetya knackbar
Die Folgen des NotPetya-Angriffs für Maersk
Briten: Russisches Militär für NotPetya-Angriff verantwortlich
Nachtlektüre: NotPetya-Infektion bei A.P. Møller-Maersk