Busting The Bad – Wenn Cyber-Kriminelle an den Falschen geraten

Für Hacker ist die digitalisierte und vernetzte Welt ein reich gefüllter Supermarkt mit unzähligen Schnäppchen und Sonderangeboten. Projektpläne, Patente, Designs oder Kundendaten sind Grund genug, sich mittels Betrug, Erpressung, Spionage, Phishing-Mails, DDoS- sowie Man-in-the-Middle-Attacken Zugang in ein IT System zu verschaffen.

Für viele Unternehmen wurde dieses Worst-Case-Szenario im vergangenen Jahr bittere Realität, und jeder IT-Verantwortliche sollte sich die Frage stellen, welche Folgen ein Cyberangriff haben würde. Machen Sie den Schnelltest: Wenn Ihre unternehmensinternen Daten (Produkte, Prozesse, Kundendaten etc.) heute in falsche Hände geraten würden, dann

• Würde dies zum Verlust der Geschäftsgrundlage führen, weil geschützte Verfahren oder Rezepturen geleakt werden
• Würden Ihre Kunden weniger oder kein Vertrauen in Ihr Unternehmen haben
• Würde es zu einer Gefährdung Ihrer Mitarbeiter führen
• Hätte dies strafrechtliche Folgen (z.B. durch Verletzung der DSGVO)
• Würde dies Umsatzeinbußen infolge einer Unterbrechung Ihres Betriebes verursachen

[Mehrfachauswahl möglich]

Sollten Sie mehr als einmal mit Ja geantwortet haben, dann lesen Sie bitte weiter.

Neue Zeiten erfordern neue Strategien

Deception („Täuschung“) lautet jener Cyber-Security-Ansatz, der bisherige Konzepte umdreht und nicht mehr nur auf Hacker-Jagd geht (engl. Threat hunting).

Oft bilden Firewalls, Antivirus-Programme oder Instrusion-Detection-Syteme den einzigen Verteidigungsring rund um IT-Strukturen in Unternehmen. Diese müssen laufend aktualisiert und gewartet werden. Doch selbst wenn diese Systeme auf dem neusten Stand sind können sie oft mühelos unterwandert werden. Absolute Sicherheit ist eine Illusion. Etwaige unbekannte und unveröffentlichte Lücken oder Schwachstellen in der verwendeten Software können und werden von professionellen Angreifern ausgenutzt und ermöglichen so den Zugriff über die Hintertür. Hinzu kommt der Faktor Mensch. Angriffe mittels Phishing sind mit Abstand der häufigste Weg, um ein Unternehmensnetzwerk zu infizieren. Nicht zuletzt wissen viele Mitarbeiter gar nicht, dass Cyber-Kriminelle ihre IT-Infrastruktur bereits infiltriert haben oder über welche unscheinbare Weise dies tagtäglich geschehen könnte. Laut einer aktuellen Studie sind Cyberkriminelle bereits 100 Tage im System, bevor diese entdeckt werden, was sich auch mit den bisherigen Erfahrungen unseres SEC Defence Teams deckt.

Wir haben 5 Tipps und Tricks für mehr Sicherheit für Sie zusammengestellt, die Sie im Alltag leicht umsetzen können und Ihre Wahrnehmung für potenzielle Angriffsvektoren schärfen.

Busted #1 (Oder: Den kenne ich ja)

Der Mensch liest, was er lesen will und nicht immer das, was tatsächlich geschrieben steht. Das belegen Studien eindrucksvoll. Unser Gehirn ergänzt automatisch nicht vollständige Wörter. Und diesen Umstand machen sich Cyber-Kriminelle zunutze, etwa bei manipulierten E-Mail-Adressen.

Heißt der CEO eines Unternehmens Braunhuber, dann akzeptiert unser Gehirn unter Stress und in der Hektik auch Brauhuber oder Braunhubr. Verstärkt wird dieser Effekt durch Signalwörter wie etwa „Achtung“, „Dringend“ oder „Wichtig“ im Betreff. Denn unsere Wahrnehmung ist von Natur aus darauf ausgerichtet, die gebotenen Informationen möglichst schnell zu erfassen und uns auf das Wesentliche zu konzentrieren.

TIPP: Achten Sie öfter auf Ihr Bauchgefühl und öffnen Sie keine Nachrichten, die Ihnen schleierhaft vorkommen. Im Zweifelsfall wenden Sie sich an Ihre IT-Abteilung, damit diese Phishing- oder Scam-Mails gar nicht erst vom Firmen-Mailserver zu Ihnen gelangen. Wenn Ihnen eine E-Mail legitim aber der Absender unbekannt vorkommt, dann drücken Sie in ihrem Mail-Programm auf „Antworten“ (ohne das Mail tatsächlich abzuschicken) oder „Alle Kopfzeilen einblenden“ um eine Absenderadresse zu verifizieren.

Busted #2 (Oder: Kannst du das mal schnell machen)

Kurz vor Dienstschluss kommt vom Chef via Mail der Auftrag, eine Überweisung zu tätigen. Selbstverständlich unter Wahrung von höchster Verschwiegenheit. Just dann, wenn der Chef in seinem monatlichen Meeting mit dem Vorstand ist oder seinen seit langem geplanten Urlaubstag verbringt und somit nicht unmittelbar erreichbar ist. Und auch der Empfänger der Überweisung ist kein Unbekannter. Handelt es sich offensichtlich doch um einen neuen Partner in jener Anwaltskanzlei, die seit Jahren jeglichen Rechtsfall der Firma vertritt. Auch die Höhe des zu überweisenden Betrages irritiert kaum, wurde doch im letzten Quartal ein ähnlicher Zukauf getätigt. Zusammengenommen sind das die Zutaten für ein gefundenes Fressen hoch motivierter Cyber-Krimineller, die ihre Hausaufgaben entsprechend sorgfältig gemacht haben.

Viele vermeintlich interne Firmen-Informationen sind auch für Außenstehende nachvollziehbar! Insbesondere für Cyber-Kriminelle, die selbst private Accounts auf sozialen Netzwerken nach explizit diesen Informationen durchsuchen.

TIPP:  Seien Sie zurückhaltend mit den Informationen, die Sie öffentlich verbreiten (privat wie über Firmenaccounts). Sofern möglich, sehen Sie für Führungskräfte von automatischen Abwesenheits-Benachrichtigungen per Email ab, sondern lassen Sie diese im Falle längerer Abwesenheit an einen Vertreter intern weiterleiten.

Busted #3 (Oder: 12345 sollte genügen)

Man hört immer wieder von seiner Wichtigkeit, amüsiert sich noch über die Bestplatzierten #Fails des Jahres. Dennoch fällt es im Alltag ganz schnell der eigenen Bequemlichkeit oder schlichtweg Routine zum Opfer: das gute Passwort. Mitarbeitern ist oft gar nicht bewusst, wie gefährlich ein schlechtes Passwort beispielsweise für Socialmedia-Konten sein können, bis es zu spät ist.

TIPP: Ändern Sie Passwörter regelmäßig und verschicken Sie diese niemals per Email. Im unternehmerischen Umfeld sollte eine Passwort-Policy dafür Sorge tragen, dass diese  Sicherheitsstandards eingehalten werden.

Für Unternehmen als auch im privaten Umfeld eignen sich Passwort-Safe-Tools dazu, Passwörter auch bei verteilten Teams immer aktuell zu halten und sicheren Zugriff zu gewähren. Wie Sie ein ausreichend sicheres Passwort erstellen, können Sie bei Gelegenheit in dieser guten Zusammenfassung im Blog von Emsisoft nachlesen.

Busted #4 (Oder: Ich kann das nicht öffnen)

Sie erhalten ein PDF-Dokument von einem Kollegen zugesendet, weil dieser Probleme mit seinem Computer hat, und das Programm permanent beim Öffnen abstürzt. Dabei handelt es sich um ganz wichtige Unterlagen für das nächste Meeting, einen Vertrag oder ähnliches.

TIPP: Seien Sie vorsichtig! Von Cyberkriminellen gezielt präparierte Dokumente können beim Öffnen Ihren Computer infizieren und in manchen Fällen tatsächlich ein PDF-Programm zum Absturz bringen. Melden Sie dies umgehend Ihrer IT-Abteilung, bevor Sie das Dokument öffnen oder gar an die nächste Person weiterleiten (weil Ihr Computer sich ebenfalls aufhängt).

Busted #5 (Oder: Ein bitteres Ende)

Angesichts der Flut an Informationen, die tagtäglich auf uns niederprasseln, setzen Cyberkriminelle oft auf ganz einfache aber effektive Verschleierungstechniken, wie beispielsweise die Registrierung einer bekannten Webadresse mit einer anderen Endung oder einem Zusatz im Domainnamen, der durchaus nachvollziehbar und legitim erscheint.

TIPP: Verifizieren Sie bei Zahlungsaufforderungen, Dokumentenübermittlungen, Passwort-Emails und Internetseiten unbedingt die exakte URL bevor Sie einem Link folgen, Daten öffnen oder übertragen.

Hier ein kleiner Test – hätten Sie’s erkannt?

Hinweis: es handelt sich hierbei nicht um kriminelle Websites sondern lediglich Beispiele, wie unauffällig anders eine Webadresse sein kann, ohne aufzufallen:

• Sie wollen zu SEC Consult: secconsult.com   (statt sec-consult.com)
• Sie wollen zu Paypal: päypal.com (statt paypal.com)
• Sie wollen zu Google: google.swiss (statt google.ch)
• Sie wollen zu Adidas: adidas.net.au (statt adidas.net)
• Sie wollen zu McDonalds: mc-donalds.at (statt mcdonalds.at)
• Sie wollen zu Audi: audi-fahrzeuge.de (statt audi.de)

Phase 3: Das Geld wird angewiesen

Wenn sich Herr Mustermann nicht genau in diesem Moment telefonisch meldet, weil er Frau Huber um eine Änderung seiner Hotelbuchung für das Wochenende bittet, hätte bis zu seiner Rückkehr drei Wochen später niemand von dem Malheur erfahren und Herr Kriminell wäre mit dem Geld über alle Berge. Nun heißt es schnell handeln. Die Überweisung wird gerade noch rechtzeitig storniert und Herr Mustermann wendet sich an das SEC Defence Team, das ihn umgehend mit den Spezialisten von CyberTrap an einen Tisch bringt. Um eine Überweisung vorzutäuschen, werden entsprechende Überweisungsbelege generiert. Diese mit virtuellen Peilsendern ausgestatteten Belege („TrackDown-Dokumente“) schickt Frau Huber sodann mit einer kurzen Nachricht an Herrn Kriminell.

Phase 4: Das Geld ist (normalerweise) am Weg

und von CyberTrap so präpariert, dass jedes Öffnen des Dokumentes registriert wird. Außerdem werden wichtige Informationen übermittelt, die zu einer strafrechtlichen Verfolgung herangezogen werden können.[1] Knapp 20 Minuten später ist es bereits so weit. Herr Kriminell öffnet das manipulierte Dokument und gibt damit sein Versteck in Dubai preis.

Doch damit nicht genug: er leitet die Unterlagen umgehen an seinen Kollegen weiter, der es wenig später auf seinem Computer öffnet und somit seinen Standort in Nigeria preisgibt.