Sicherheit: Hacks und Ransomware, die neue Bedrohung

Ransomware und Hacks stellen aktuell die größte Bedrohung in Sachen Cybersicherheit für Unternehmen und Behörden dar. Hier ein kleiner Abriss an neuen Fällen (Batteriehersteller in Frankreich, Finanzdienstleister in Spanien, Kreuzfahrtanbieter, Minolta zum 2. Mal etc.)  und einige Erkenntnisse aus der Sicherheitsszene. So gibt es Schätzungen, dass 2020 bereits knapp 600 deutsche Unternehmen nicht nur Opfer eines Ransomware-Angriffs wurden, sondern dass dabei auch vertrauliche Daten von den Kriminellen erbeutet wurden.

Cybersicherheits-Vorfälle

Die Tage haben sich bei mir einige Cybersicherheits-Vorfälle angehäuft, die ich hier kursorisch einstellen möchte. Organisationen haben ihre Mitarbeiter zwr kontinuierlich geschult, damit diese über bestimmte Arten von Cyberangriffen einschließlich Ransomware und deren Verbreitung Bescheid wissen. Aber die Präventionsschritte werden nur selten befolgt. "Unwissenheit ist Glückseligkeit" ist das Lieblingszitat der Ransomware-Gangs in den letzten Monaten.  Die Fälle zeigen, dass sich quasi niemand sicher sein kann, 'ungeschoren' davon zu kommen.

Netwalker-Infektion bei Forsee Power (Batterien, Elektromobilität)

Forsee Power ist ein bekannter Industriekonzern mit Hauptsitz in Frankreich und den USA, der sich auf intelligente Batteriesysteme für nachhaltigen Elektrotransport spezialisiert hat. Das Unternehmen als einer der Hauptakteure in Europa, Asien und Nordamerika mit einem Jahresumsatz von rund 65 Millionen Dollar und über 200 Mitarbeitern.

Sicherheitsforscher stießen im Online-Blog der Netwalker-Gang nun auf die Information, dass das Unternehmen Forsee Power Opfer eines Ransomware-Angriffs wurde. Die Ransomware-Gang hat wohl vor dem Verschlüsseln vertrauliche Dateien abgezogen und veröffentlich diese seit Anfang August im Internet. Details lassen sich in diesem Cybleinc Blog-Beitrag (von denen ich über den Vorfall informiert wurde) nachlesen.

Ransomware bei Mapfre (spanischer Finanzdienstleister)

Mapfre ist ein diversifizierter Finanzdienstleistungskonzern aus Spanien mit Schwerpunkt auf dem Versicherungsgeschäft. Die Gruppe besteht aus 240 Einzelunternehmen, die in 38 Ländern den Bereichen Versicherung, Rückversicherung, Immobilien, Finanzgeschäften und sonstigen Dienstleistungen tätig sind. Im Kommentar hier teilt ein Blog-Leser mit, dass Mapfre letzten Freitag Opfer eines Ransomware-Angriffs wurde. Die Informationen sind vor allem in spanischsprachigen Medien wie El Pais zu finden.

Der Versicherer hat eingestanden, von Ransomware betroffen gewesen zu sein, betont aber, dass "die Kundeninformationen nicht gefährdet" seien. Cybersicherheitsteams des Versicherers Mapfre arbeiten daran, die Folgen des Ransomware-Angriffs vom 15. August 2020 zu beseitigen.

Ransomware bei Carinival (Kreuzfahrtanbieter)

Die Carnival Corporation ist der größte Kreuzfahrtveranstalter der Welt mit über 150.000 Mitarbeitern und 13 Millionen Gästen jährlich. Die Kreuzfahrtlinie operiert unter den Marken Carnival Cruise Line, Costa, P&O Australia, P&O Cruises, Princess Cruises, Holland American Line, AIDA, Cunard und deren Luxuskreuzfahrtgesellschaft Seabourn. Bleeping Computer berichtet hier, dass die Reederei eingestanden hat, am Wochenende Opfer eines erfolgreichen Ransomware-Angriffs geworden zu sein.  "Am 15. August 2020 entdeckten die Carnival Corporation und Carnival plc (zusammen das "Unternehmen") einen Ransomware-Angriff, der auf einen Teil der Informationstechnologie-Systeme einer Marke zugriff und diese verschlüsselte. Der unbefugte Zugriff beinhaltete auch das Herunterladen einiger unserer Datendateien", teilte das Unternehmen in der Mitteilung mit.

Nach Angaben des Cybersicherheitsdienstleisters Bad Packets nutzt Carnival anfällige Gateway-Geräte, die es einem Angreifer ermöglichen, Zugang zu einem Unternehmensnetzwerk zu erlangen. Es geht möglicherweise um die Schwachstelle CVE-2019-19781 im Citrix ADC (NetScaler). Für die Geräte liegt seit Dezember 2019 eine Warnung und ein Firmware-Update vor – und es sind Exploits bekannt (siehe Exploit für Citrix ADC/Netscaler-Schwachstelle CVE-2019-19781). Die andere Schwachstelle, CVE-2020-2021, besteht in den Firewalls von Palo Alto Networks und ermöglicht es nicht authentifizierten netzwerkbasierten Angreifern, die Authentifizierung zu umgehen. Diese Schwachstelle wurde Ende Juni 2020 gepatcht (siehe CVE-2020-2021 (in Palo Alto Networks-Geräten) patchen).

Ransomware-Befall bei Konica Minolta

Der  multinationale, aber in Japan beheimatete Konzeren Konica Minolta wurde Ende Juli 2020 von einem Ransomware-Angriff getroffen. Der Angriff hat die Geschäfte des Unternehmens fast eine Woche lang beeinträchtigt. Am 30. Juli 2020 begannen Kunden zu berichten, dass die Produkt- und Support-Website von Konica Minolta nicht zugänglich sei und eine Ausfallmeldung anzeige. Details zu dem Sicherheitsvorfall, der wohl durch das Unternehmen nicht bestätigt wurde, hat Bleeping Computer hier veröffentlicht.

Datenschutzvorfall beim Ritz in London

Das Hotel Ritz in London ist wohl Opfer eines Hacks geworden, bei denen Benutzerdaten erbeutet wurden. Das entnehme ich dem in nachfolgendem Tweet verlinkten Beitrag.

The #Ritz in London became a victim of the latest data #breach this past weekend. #Scammers have been contacting people with restaurant reservations—asking for them to "confirm" their booking by entering their credit card details.https://t.co/xs6XgFRQvc via @Forbes

— Avast (@avast_antivirus) August 17, 2020

Das Ritz hat den Datenschutzvorfall eingestanden. Betrüger haben Personen mit Restaurantreservierungen kontaktiert und gebeten, ihre Buchung durch die Eingabe ihrer Kreditkartendaten zu "bestätigen". Details lassen sich diesem BBC-Bericht entnehmen.

Datenleck bei IndieFlix (Streaming-Dienst)

Die SIcherheitsforscher von CyberNews haben mich per Mail auf einen Datenschutzvorfall beim Streaming-Dienst IndieFlix hingewiesen, der Ende Juli 2020 aufgedeckt wurde. Deren Experten stießen auf eine ungesicherte Datenbank des Filmstreaming-Dienstes IndieFlix, in der Tausende von Filmankaufsverträgen, Videos, SSNs von Filmemachern und Partnerdaten offengelegt wurden.
Die Datenbank enthält 93.867 öffentlich zugängliche Dateien:

• 4.275 Filmerwerbsverträge und Vertragszusätze
• 3.217 Scans von Anfragen nach Steueridentifikationsnummern, die Adressen, Unterschriften sowie Sozialversicherungsnummern und/oder Arbeitgeberidentifikationsnummern der Filmemacher oder ihrer Vertriebsagenten enthalten
• Eine Kontaktliste von 5.966 Fachleuten der Filmindustrie, einschließlich ihrer vollständigen Namen, E-Mail-Adressen, Anschriften, Telefonnummern und Postleitzahlen
• 15.225 Videodateien, die sowohl Kurzfilme als auch Clips und Trailer aus der Quick-Pick-Funktionsbibliothek der Plattform enthalten

Details zum Datenleck lassen sich in diesem Beitrag nachlesen.

Damokolesschwert Cybersicherheit

Hacks, Datenschutzvorfälle und Ransomware-Infektionen stellen inzwischen so etwas wie ein Damokolesschwert für Behörden, Regierungen und Unternehmen dar. In diesem Artikel berichtet Bleeping Computer, dass 25% der britischen Universitäten bereits Opfer von Ransomware-Angriffen wurden.

Gestern hatte ich im Blog-Beitrag EmoCrash: Impfschutz vor Emotet-Infektionen hielt 6 Monate berichtet, dass die Ransomware Emotet durch ein Schutzprogramm 6 Monate lang ausgehebelt werden konnte. Nur ist der Schutz wirkungslos und Emotet überzieht US-Unternehmen mit COVID-19-Spam (siehe hier). Zudem kann die Malware jetzt E-Mail-Anhänge stehlen, um Kontakte von Opfern durch solche legitimen Anhänge an Phishing-Mails in Sicherheit zu wiegen und anzugreifen.

Die FAZ hat aktuell diesen Bericht veröffentlicht, der eine Studie der Wirtschaftprüfersgesellschaft KPMG zitiert. Demnach sind 30 % der deutschen Unternehmen in den letzten Jahren Opfer eines Cyberangriffs geworden. Die meisten Firmen sehen laut KPMG im Missbrauch oder Diebstahl von Daten das größte Risiko. Und heise greift in diesem Artikel auf, das Ransomware aktuell Konjunktur hat. Heise meint, dass Banden hinter Emotet und Trickbot das Erpressen von Firmen per Ransomware und Leaken erbeuteter Dokument zum Goldesel der organisierten Kriminalität gemacht haben.

Knapp 600 deutsche Opfer von Datendiebstahl

Der Datendiebstahl und die "Name-and-Shame"-Taktiken, die im November 2019 von der Maze-Gruppe initiiert und in der Folge von zahlreichen anderen Gruppen übernommen wurden, haben die Grenze zwischen Ransomware-Angriffen und Hacks zur Erbeutung von Daten samt Erpressung der Dateneigentümer wird dadurch verwischt. Vom Sicherheitsanbieter Emsisoft liegt mir die Information vor, dass die Chance, dass bei einem erfolgreichen Ransomware-Angriff auch Daten abgezogen und dann zur Erpressung verwendet werden, größer als 10 Prozent sei. Der verlinkte Bericht geht zwar auf Vorfälle in den USA ein. Mir liegen aber Informationen über einige – bisher nicht öffentlich bekannte – Ransomware-Infektionen vor. Die Schätzung meiner Kontakte geht dahin, dass  alleine in Deutschland um die 587 Firmen in 2020 Opfer von Ransomware-Angriffen mit gestohlenen Daten wurden.