- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Was tun? Ransomware-Angriff "WannaCry"


Fünf konkrete Handlungsempfehlungen zur Ransomware "WannaCry"
Der WannaCry-Angriff ist jedoch noch nicht ausgestanden oder gar beendet, da zwar diese Welle durch den Kill-Switch beendet wurde, aber jederzeit eine neue Angriffswelle denselben Exploit ausnutzen kann

- Anzeigen -





Von Oliver Keizers, Regional Director DACH, Fidelis Cybersecurity

Der bekannt gewordene Ransomware-Angriff mit den Namen "WannaCry" hat nach Presseberichten nie zuvor dagewesenen Ausmaße an Geschwindigkeit und Verbreitung erreicht. Fünf konkrete Handlungsempfehlungen zur Ransomware "WannaCry"

1. Umgehend den Patch MS17-010 (https://technet.microsoft.com/en-us/library/security/ms17-010.aspx) installieren. Wer noch Windows XP, Windows 8, oder Windows Server 2003 nutzt findet unter https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/ weitere Informationen.

2. Auf der Firewall die TCP Ports 137, 139 und 445 und UDP Ports 137 und 138 blockieren, über welchen die Kommunikation mit den Backend Services des Schadcodes läuft.

3. Server Message Block (SMB) Deaktivieren: Folgen Sie den Anleitungen von Microsoft um SMB zu deaktivieren.
https://support.microsoft.com/en-in/help/2696547/how-to-enable-and-disable-smbv1,-smbv2,-and-smbv3-in-windows-vista,-windows-server-2008,-windows-7,-windows-server-2008-r2,-windows-8,-and-windows-server-2012
4. Der Schadcode in der aktuellen Version hat einen Kill-Switch und lässt sich beenden durch eine URL-Abfrage auf: www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. Eine neuere Version benutzt jedoch auch die URL www[.]ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. Wer einen Proxy im Unternehmen einsetzt, muss sicherstellen, dass diese URLs erreichbar sind oder ein Redirect auf ein eigenes Sink-Hole mit einer validen Antwort auf eine Webanfrage einrichten. (Trittbrettfahrer haben mittlerweile auch Versionen ohne diesen Kill-Switch gehackt, so dass dies alleine nicht ausreichend ist.)

5. Der Schadcode kommuniziert mit seinen Command & Control Servern über das Tor Protokoll, welches deshalb am Perimeter unbedingt geblockt werden muss. Bisher bekannte C&C Server sind

a. cwwnhwhlz52ma.onion

b. gx7ekbenv2riucmf.onion

c. xxlvbrloxvriy2c5.onion

d. 57g7spgrzlojinas.onion

e. 76jdd2ir2embyv47.onion

Dass unbedingt die jeweiligen Updates für Anti-Virus und Anti-Ransomware Software eingespielt werden müssen, sollte nicht erwähnt werden müssen, sondern selbstverständlich sein. Auch eine funktionierende Backup-Strategie ist immer eine gute Sache.

Erkennungsmethoden für "WannaCry"
Prozesse des Schadcodes lassen sich durch geeignete Tools am Endpunkt erkennen, indem die folgenden vier Erkennungsmerkmale aktiviert werden:

a. Shadow Copy: delete
b. Persistence: File created in roaming startup folder.
c. Behavior: Process executed by cmd.exe /c start
d. Behavior: Filename with one character

Ebenso erstellt der Schadcode auf dem Endpunkt Registry Einträge, über welche er erkennbar ist:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = "\tasksche.exe”
HKLM\SOFTWARE\WanaCrypt0r\\wd = "”
HKCU\Control Panel\Desktop\Wallpaper: "\@WanaDecryptor@.bmp”

Es ist jedoch zu beachten, dass die Empfehlung die Ports zu blockieren nur vor dem SMB-Wurm schützen. Sollten Sie den Schadcode via E-Mail, einem böswilligen Torrent oder andere Angriffsvektoren außerhalb des SMB-Protokolls erhalten haben, so gilt zumindest die Aufforderung des Patches von Microsoft weiterhin und unbedingt.

Fidelis hat für Unternehmen entsprechende Yara-Regeln zur Erkennung verfügbar gemacht, welche unter der URL https://raw.githubusercontent.com/felmoltor/rules/5be0f43f2fca0b5ff0e385534da9a94c273c172f/malware/malw_ms17-010_wannacrypt.yar geladen werden können.

Der Angriff ist jedoch noch nicht ausgestanden oder gar beendet, da zwar diese Welle durch den Kill-Switch beendet wurde, aber jederzeit eine neue Angriffswelle denselben Exploit ausnutzen kann. Ohne die Umsetzung dieser Empfehlungen ist die Gefahr hoch, weiterhin für diese Sicherheitslücke verwundbar zu sein. (Fidelis Cybersecurity: ra)

eingetragen: 15.05.17

Fidelis Cybersecurity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Vorsicht vor Phishing-Betrug

    Mehr als 3 Milliarden Menschen auf der ganzen Welt benutzen mindestens einmal im Monat soziale Medien. Und diese Zahl wächst weiterhin rasant: Der 2018 Global Digital Berichtsreihe zufolge ist die Anzahl der Benutzer der Top-Plattform in allen Ländern um fast 1 Mio. pro Tag gestiegen. Obwohl soziale Medien in unserem alltäglichen Leben eine außergewöhnliche Rolle spielen, warnen Sicherheitsexperten vor den weiterhin oft unterschätzten Gefahren. Das letzte Jahr hat einige eklatante Sicherheitslücken der sozialen Plattformen im Hinblick auf Privatsphäre und Datenschutz offenbart. Man denke an den Facebook und Cambridge Analytica Skandal, Quora oder auch die vorangegangenen Pannen bei LinkedIn und Snapchat.

  • Hacker auf Schatzsuche

    Mittlerweile lautet die Frage nicht mehr, ob ein Unternehmen einen Sicherheitsverstoß erleidet, sondern wann. Durch Sabotage, Datendiebstahl und Spionage ist der deutschen Industrie in den vergangenen beiden Jahren ein Gesamtschaden von insgesamt 43,4 Milliarden Euro entstanden, so eine aktuelle Studie des Digitalverbandes Bitkom. Datendiebstahl bleibt eine der größten Bedrohungen für die Unternehmenssicherheit. Der Schwarzmarkt mit gestohlenen Datensätzen floriert, im Darknet sind Exploit-Kits für Datendiebe laut des Underground Hacker Marketplace Reports schon ab 100 US-Dollar zu haben und Cyberkriminelle mit Fortbildungsbedarf bekommen Schulungen zu den unterschiedlichsten Angriffstechniken bereits ab 20 Dollar feilgeboten.

  • In 5 Schritten zum ganzheitlichen Risikomanagement

    Controlware hat einen kompakten Leitfaden für die Durchführung von Risikoanalysen entwickelt. Unternehmen schaffen so in fünf einfachen Schritten die Voraussetzungen für ein nachhaltiges Informationssicherheitsmanagement und stellen die Weichen für eine bereichsübergreifende Risikominimierung. Cyberattacken auf Daten und Systeme der Unternehmen nehmen rasant zu - und bedeuten in Zeiten strenger Compliance-Vorgaben und hoher Bußgelder ein erhebliches finanzielles Risiko. Hinzu kommt, dass ein erfolgreicher Angriff oder Datendiebstahl auch den Ruf des betroffenen Unternehmens nachhaltig schädigt. IT-Abteilungen sind daher mehr denn je auf ganzheitliche Sicherheitskonzepte angewiesen. Voraussetzung dafür ist aber zunächst ein unternehmensweites Risikomanagement.

  • Trotz hoher Risiken sicher mobil arbeiten

    Egal, ob BYOD oder klassische Firmenhandys, der Einsatz von Smartphones und Tablets ist mittlerweile auch in Unternehmen üblich. Unternehmen ist es durchaus bewusst, dass es Risiken beim Einsatz von mobilen Geräten gibt, doch mit der richtigen Lösung kann sicheres mobiles Arbeiten gewährleistet werden. Virtual Solution erklärt, worauf Anwender unbedingt achten müssen. Mobile Endgeräte stehen ganz oben auf der Beliebtheitsskala und kommen deshalb auch vermehrt für betriebliche Aufgaben zum Einsatz. Dabei geraten oft die Risiken aus dem Blickfeld. Letztlich haben bei dieser Geräte-Kooperation beide Partner, also sowohl die Unternehmens-IT als auch der Anwender, eine Verantwortung, wenn es um die Sicherheit geht. Virtual Solution zeigt, worauf sie achten müssen.

  • Fünf Tipps für sicheres Onlineshopping

    Eine Studie des Digitalverbands Bitkom ergab, dass im Jahr 2017 insgesamt 96 Prozent aller Internetnutzer ab 14 Jahren online eingekauft haben. Dieses Potenzial haben jedoch auch Cyber-Betrüger erkannt. Für sie sind Onlineeinkäufe eine wahre Goldgrube und dementsprechend nutzen sie alle möglichen Tricks, um unvorsichtige Käufer zu betrügen. Bereits im Jahr 2014 lag nach Angaben des Handelsverbandes Deutschland (HDE) e.V. die Gesamtschadenssumme durch Betrug im Onlinehandel bei 2,4 Milliarden Euro. Inzwischen dürfte diese Zahl noch einmal deutlich gestiegen sein. Wer jedoch einige einfache Sicherheitstipps befolgt, gibt Betrügern keine Chance und kauft sicher online ein. BullGuard hat fünf Tipps zusammengestellt, die für Schutz beim Online-Shopping sorgen.