[datensicherheit.de, 22.07.2019] Die Gefährdungslage für Schweizer Unternehmen und Behörden in Sachen Cybersicherheit gibt weiterhin Anlass zur Sorge. Das legen Untersuchungsergebnisse von Proofpoint nahe. Wenig überraschend: Vor allem der Finanzsektor in der Schweiz ist für Cyberkriminelle ein attraktives Angriffsziel. Darüber hinaus gibt es eine Vielzahl von Bedrohungen, die auch Eidgenossen nicht verschonen.

Hacker haben es in der Schweiz oftmals auf die Log-in-Daten von Bankkunden abgesehen

Im Verlauf der Untersuchungen zur derzeitigen Bedrohungssituation in der Schweiz, stellte das US-amerikanische IT-Sicherheitsunternehmen Proofpoint fest, dass es Hacker in der Schweiz oftmals auf die Log-in-Daten von Bankkunden abgesehen haben. Das beliebteste Werkzeug der Kriminellen dafür war in jüngster Zeit die Schadsoftware Retefe. Dabei handelt es sich um einen Banking-Trojaner, der zumeist über gezippte Datei-Anhänge verbreitet wird, die mit schadhaftem JavaScript versehen wurden oder aber über präparierte Word-Attachments. Nach einer Infektion leitet Retefe den Datenverkehr der betroffenen Banken über seinen eigenen Proxy um. Neben der Schweiz war Retefe in der Vergangenheit hauptsächlich in Österreich und Schweden aktiv – im Moment ist die Schweiz nach Datenlage jedoch offenbar das exklusive Ziel der Cyberkriminellen.

Emotet vermehrt unterwegs

Aber auch andere Varianten von Schadsoftware gefährden derzeit Unternehmer und Verbraucher in der Schweiz. So konnte festgestellt werden, dass auch in der Schweiz Emotet vermehrt sein Unwesen treibt. Emotet war zunächst eine sogenannte „General-Purpose-Malware“, also eine Schadsoftware, die sich mit vielerlei Modulen bestücken ließ, je nach gewünschtem Verwendungszweck der Kriminellen – sei es ein Banking-Trojaner, ein Information Stealer oder ein anderer Malware-Typ. In den letzten Jahren entwickelte sich Emotet allerdings von einem Banking-Trojaner hin zu einem eigenständigen Botnet, das vielen anderen Malware-Varianten den Rang abläuft. TA542 (Threat Actor 542), die Gruppe von Cyberkriminellen hinter Emotet, verbreitet die Schadsoftware seit Anfang 2019 in Abermillionen von E-Mails, die vor allem auf den Gesundheits- und Fertigungssektor abzielen.

Ein weiterer Schädling, der die Schweiz derzeit heimsucht ist der Loader Smoke. Smoke ist ein modularer Malware-Downloader, der erstmals 2011 beobachtet wurde und gewöhnlich von russischen Cyberkriminellen bei Angriffen auf Unternehmen wie auch einzelne Nutzer verwendet wird. Verkauft wird die Malware von einer Einzelperson, die sich hinter dem Decknamen „SmokeLdr“ verbirgt und angibt, nur an russische Akteure der Black-Hat-Szene zu verkaufen. Abhängig davon, welche Module erworben werden, bietet Smoke mannigfaltige Möglichkeiten für die Hacker. Zu diesen Möglichkeiten zählen beispielsweise optionale Fähigkeiten wie ein Password Stealer, DNS-Hijackings, Key-Logging sowie die Durchführung von DDoS-Attacken (Distributed Denial of Service). Bei Angriffen in der Schweiz lädt Smoke laut der Analysen von Proofpoint jedoch nach kurzer Zeit hauptsächlich den Banking-Trojaner Retefe nach.

 Top-Unternehmen schützen sich besser gegen Business Email Compromise

Doch es gibt auch erfreuliche Nachrichten: Wie Proofpoint feststellen konnte, unternahmen schweizerische Top-Unternehmen in den vergangenen sechs Monaten weitere Schritte, um sich besser gegen die sogenannte Chef-Masche beziehungsweise BEC (Business Email Compromise) zu schützen. Zu diesem Zweck implementierten insgesamt 17 der 20 im SMI gelisteten führenden Unternehmen der Schweiz den herstellerunabhängigen DMARC-Standard. Vor einem halben Jahr verfügten von den untersuchten Firmen lediglich 12 über einen DMARC-Eintrag. Dies entspricht einer Steigerungsrate von 25 Prozent und hilft den betreffenden Unternehmen dabei, sich, ihre Mitarbeiter, Partner und Kunden vor Cyberbetrug auf Basis von Domain Spoofing zu schützen – wenngleich nur vier Unternehmen auch aktiv betrügerische Mails blockieren und somit in Gänze DMARC-konform agieren.

Der öffentliche Sektor steht dem Betrug auf Basis von Domain Spoofing hingegen nahezu ungeschützt gegenüber. Nur zwei der von den 26 Kantonen genutzten Domains verfügen über einen DMARC-Eintrag. Dieses Versäumnis steigert natürlich die Gefahr, Opfer von Cyberattacken zu werden.

Weitere Informationen zum Thema:

Proofpoint
2019: The Return of Retefe

datensicherheit.de, 29.05.2019
Proofpoint: Emotet fast zwei Drittel aller bösartigen Payloads

datensicherheit.de, 13.05.2019
Proofpoint-Studie: Finanzdienstleister beliebtes Ziel für Cyberkriminelle

datensicherheit.de, 22.04.2019
Proofpoint: Kommentar zu Sicherheitsvorfällen bei Office 365

datensicherheit.de, 12.02.2019
proofpoint: Vierteljährlicher Report zur Bedrohungslage veröffentlicht

[datensicherheit.de, 23.09.2018] Das Unternehmen Check Point® Software Technologies Ltd. veröffentlichte kürzlich seinen neuen Global Threat Index für August 2018. Erkennbar ist ein signifikanter Anstieg von Angriffen des Banking-Trojaners Ramnit. Im August 2018 sprang Ramnit auf Platz 6 des Threat Index und ist der am öftesten genutzten Banking-Trojaner. Seit Juni 2018 hat sich der Einsatz von solchen Schädlingen mehr als verdoppelt.

„Dies ist der zweite Sommer in Folge, in dem Kriminelle in zunehmendem Maße Banking-Trojaner einsetzten, um Opfer anzugreifen und schnellen Profit zu machen“, sagt Maya Horowitz, Threat Intelligence Group Manager von Check Point. „Trends wie diese sollte man nicht ignorieren, denn Hacker sind sich sehr wohl bewusst, welche Angriffsvektoren zu einem bestimmten Zeitpunkt mit großer Wahrscheinlichkeit erfolgreich sind. Das lässt vermuten, dass Internet-Nutzer durch ihre Surf-Gewohnheiten in den Sommermonaten für Banking-Trojaner anfälliger sind, und verdeutlicht außerdem, dass böswillige Hacker bei ihren Versuchen, Geld zu erpressen, hartnäckig und raffiniert sind.“

Im August 2018 bleibt der Cryptominer Coinhive, von der 17 Prozent der Organisationen weltweit betroffen sind, die am häufigsten auftretende Malware. Dorkbot und Andromeda liegen auf Platz zwei bzw. drei, jeweils mit einem weltweiten Anteil von 6 Prozent.

Die Top 3 der „Most Wanted“ Malware im August 2018:

*Die Pfeile beziehen sich auf die Veränderung in der Rangliste verglichen mit dem Vormonat.

1. Coinhive: Cryptominer, der entwickelt wurde, um die Kryptowährung Monero zu schürfen, sobald ein Nutzer eine bestimmte Internetseite besucht. Das eingebettete JavaScript nutzt einen Großteil der Rechnerressourcen von Maschinen der Endnutzer, um Münzen zu schürfen und könnte für einen Systemausfall sorgen.
2. ↑ Dorkbot: IRC-basierter Wurm, der Remote-Code-Ausführung durch seinen Betreiber, sowie den Download zusätzlicher Malware auf das infizierte System zulassen soll. Es handelt sich um einen Banking-Trojaner, mit der primären Motivation sensible Daten zu stehlen und Denial-of-Service-Angriffe zu starten.
3. ↑ Andromeda: Modulares Botnetz, das hauptsächlich als Backdoor genutzt wird, um weitere Malware auf infizierten Hosts zu installieren. Andromeda kann modifiziert werden, um verschiedene Botnetz-Typen zu kreieren.

Check Point-Forscher analysierten auch die am häufigsten ausgenutzten Cybersicherheitslücken. An erster Stelle stand CVE-2017-7269, mit weltweiten Auswirkungen von 47 Prozent. An zweiter Stelle lag OpenSSL TLS DTLS Heartbeat Information Disclosure, von der weltweit 41 Prozent betroffen waren, gefolgt von CVE-2017-5638, die global 36 Prozent aller Organisationen kompromittierte.

Die Top 3 der „Most Exploited“ Schwachstellen im August: 

1.  Microsoft IIS WebDAV ScStoragePathFromUrl Buffer Overflow (CVE-2017-7269): Ein Angreifer könnte per Fernzugriff durch Versenden einer manuellen Anfrage über ein Netzwerk an den Microsoft Windows Server 2003 R2 mithilfe der Microsoft Internet Information Services 6.0 einen beliebigen Code ausführen oder auf dem Zielserver eine Denial-of-Service-Situation herbeiführen. Dies ist hauptsächlich auf eine Sicherheitslücke im Pufferüberlauf zurückzuführen, die durch ungenaue Validierung eines langen Headers in der http-Abfrage entstanden ist.
2. ↑ OpenSSL TLS DTLS Heartbeat Information Disclosure (CVE-2014-0160; CVE-2014-0346): In OpenSSL besteht eine Sicherheitslücke bei der Offenlegung von Informationen. Die Schwachstelle existiert aufgrund eines Fehlers im Umgang mit TLS/DTLS-Heartbeat-Paketen. Ein Angreifer kann diese Sicherheitslücke ausnutzen, um Speicherinhalte eines vernetzten Clients oder Servers offenzulegen.
3. ↑ D-Link DSL-2750B Remote Command Execution: In D-Link DSL-2750B Routern wurde eine Remote-Code-Execution-Lücke gemeldet. Die erfolgreiche Ausnutzung könnte auf dem betroffenen System zur Ausführung von beliebigem Code führen.

Check Points Global Threat Impact Index und seine ThreatCloud Map, werden von Check Points ThreatCloud Intelligence betrieben. Es ist das größte Kooperationsnetzwerk zur Bekämpfung von Cyber-Kriminalität, das Bedrohungsdaten und Angriffstrends aus einem weltumspannenden Netz von Bedrohungssensoren liefert. Die Threat-Cloud-Datenbank enthält über 250 Millionen auf Bot-Erkennung untersuchte Adressen, über 11 Millionen Malware-Signaturen und über 5,5 Millionen infizierte Webseiten. Täglich identifiziert sie Millionen Arten von Malware.

Weitere Informationen zum Thema:

Check Point Blog
Liste der Top-10 Malware-Familien im August 2018

datensicherheit.de, 21.09.2018
Banktrojaner DanaBot mit modularer Architektur in Europa aktiv

datensicherheit.de, 10.08.2018
Banking-Trojaner halten Spitzenplatz im zweiten Quartal 2018

datensicherheit.de, 19.07.2018
Im Juni 2018 50 Prozent mehr Banking-Trojaner unter Bedrohungsakteuren

datensicherheit.de, 11.06.2018
Wandel der Bedrohungslage: Bankentrojaner vor Ransomware

[datensicherheit.de, 10.08.2018] Proofpoint hat kürzlich den vierteljährlich erscheinenden Threat-Report veröffentlicht. Dieser analysiert die Cyberbedrohungen des vorangegangenen Quartals und gibt einenÜberblick über die aktuelle Bedrohungslage durch Malware und Co.

Wichtige Ergebnisse im Überblick:

• Nach einem zuvor beobachteten Rückgang von Ransomware-Attacken wuchs deren Volumen wieder merklich an.
• Ein Großteil aller Angriffe basierte auf Banking-Trojanern aber auch sogenannte Coin-Miner, also Software, die das vom Opfer unbemerkte Generieren von Krypto-Währung ermöglicht, gewannen an Bedeutung hinzu.
• Insbesondere im Social-Media-Bereich war eine Zunahme von Betrugs- und Spam-Attacken zu beobachten. Im Fall von E-Mails stellte Proofpoint ein unvermindert starkes Aufkommen dieser Angriffsform fest.

Weitere Informationen zum Thema:

proofpoint
Proofpoint Threat Report: Ransomware returns but banking Trojans keep the top spot in the second quarter of 2018

proofpoint
Quarterly Threat Report Q2 2018

datensicherheit.de, 19.07.2018
Im Juni 2018 50 Prozent mehr Banking-Trojaner unter Bedrohungsakteuren

datensicherheit.de, 11.06.2018
Wandel der Bedrohungslage: Bankentrojaner vor Ransomware

[datensicherheit.de, 06.09.2016] Laut einer aktuellen Meldung von KASPERSKY lab haben hauseigene Experten eine modifizierte Version des Banking-Trojaners „Gugi“ entdeckt, der die neuen Sicherheitsfunktionen von „Android 6“ zum Blockieren von Phishing und Ransomware-Angriffen umgehen kann. Dieser modifizierte Trojaner zwinge Nutzer dazu, ihm Rechte einzuräumen, um damit Apps zu überlagern (Display Overlay), SMS-Nachrichten zu verschicken und zu lesen oder Anrufe zu tätigen. „Gugi“ verbreite sich über Social-Engineering und die Nutzung durch Cyber-Kriminelle nehme zu – zwischen April und Anfang August 2016 sei die Anzahl der Opfer um das Zehnfache gestiegen.

Zugangsdaten für mobiles Banking und Kreditkartendetails im Visier

Das Ziel des „Gugi“-Trojaners seien Zugangsdaten für mobiles Banking und Kreditkartendetails, die durch Überlagern der eigentlichen Banking-App mit einer Phishing-App oder des „Google Play Stores“ entwendet würden.
Das neue „Android-6“-Betriebssystem mit neuen Sicherheitsfunktionen, die solche Angriffe blockieren sollten, sei Ende des Jahres 2015 vorgestellt worden. Unter anderem benötigten Apps nun eine Einwilligung der Nutzer, um andere Apps überlagern zu können, und Zustimmung, um das erste Mal eine SMS-Nachricht zu senden oder Anrufe zu tätigen. Die von KASPERSKY lab entdeckte modifizierte Version des „Gugi“-Trojaners könne diese Funktionen umgehen.

Nach Installation des Trojaners Einholung der Zugangsrechte

Die Infektion mit „Gugi“ erfolge zunächst durch Social-Engineering, meist mit der Aufforderung an den Nutzer, einen schadhaften Link in einer Spam-SMS anzuklicken.
Sobald der Trojaner auf dem Gerät installiert worden ist, hole er sich die Zugangsrechte, die er benötigt. Anschließend erscheine auf dem Display eine Nachricht, welche die Benötigung zusätzlicher Rechte anfordere; dieser könne der Nutzer nur zustimmen. Wenn der Nutzer dies tut, werde er gefragt, ob er der App erlauben möchte, andere Apps zu überlagern. Nach Einholung dieser Erlaubnis blockiere der Trojaner den Bildschirm mit der Frage nach „Trojan Device Administration“-Rechten und frage um Erlaubnis, SMS-Nachrichten senden und anzeigen sowie Anrufe tätigen zu dürfen.
Falls der Trojaner nicht alle eingeforderten Rechte erhält, blockiere er das infizierte Gerät gänzlich. Dann könne der Nutzer nur noch versuchen, das Gerät im Sicherheitsmodus zu rebooten und den Trojaner zu deinstallieren. Das werde jedoch weiter erschwert, sollte der Trojaner bereits „Trojan Device Administration“-Rechte erhalten haben.

Typischer Banking-Trojaner

„Gugi“ sei ein typischer Banking-Trojaner – er stehle Finanzzugangsdaten, SMS-Nachrichten und Kontakte, stelle USSD-Anfragen (Unstructured Supplementary Service Data) und verschicke SMS-Nachrichten auf Anweisung des Command-Servers.
Betriebssysteme wie „Android“ stellten regelmäßig Updates zur Verbesserung ihrer Sicherheitsfunktionen zur Verfügung, so Roman Unucheck, „Senior Malware-Analyst“ bei KASPERSKY lab. Gleichzeitig seien Cyber-Kriminelle schonungslos bei ihren Versuchen, die Sicherheitsfunktionen zu umgehen. Mit der Entdeckung von „Gugi“ könne man diese neue Gefahr neutralisieren und Menschen helfen, ihre Geräte und Daten zu schützen.
Die Trojaner-Familie „Trojan-Banker.AndroidOS.Gugi“ sei seit Dezember 2015 bekannt, wobei die modifizierte Form „Trojan-Banker.AndroidOS.Gugi.c“ erst im Juni 2016 entdeckt worden sei. Die betreffenden Produkte von KASPERSKY lab könnten „sämtliche Formen der Gugi-Trojaner-Malware erkennen“.

KASPERSKYs Sicherheitstipps

Um sich selbst vor „Gugi“ und weiteren mobilen Malware-Bedrohung zu schützen, empfiehlt KASSPERSKY lab den „Android“-Nutzern:

• nicht automatisch Rechte und Genehmigungen an anfragende Apps zu vergeben – man sollte sich Gedanken darüber machen, wofür und warum angefragt wird;
• eine Anti-Malware-Lösung (wie z.B. „Kaspersky Internet Security for Android“) auf allen mobilen Geräten zu installieren und das Betriebssystem regelmäßig zu aktualisieren;
• Klicks auf Links in unbekannten oder unerwarteten Nachrichten zu vermeiden;
• beim Besuch von Webseiten Vorsicht walten zu lassen – verdächtige Objekte sind meist nicht nur verdächtig.

[datensicherheit.de, 02.10.2015] Im September 2015 berichteten Medien über Festnahmen der mutmaßlichen Schlüsselfiguren einer Bande von Cyberkriminellen, die hinter der Entwicklung und Verbreitung des Banking-Trojaners Dridex steckt. Unit 42, das Forschungszentrum von Palo Alto Networks, beobachtete seitdem eine deutliche Abnahme der Aktivität im Zusammenhang mit diesem Banking-Trojaner – zumindest bis gestern (01.10.2015). So wurde entdeckt, dass Dridex mit einer großen E-Mail-Phishing-Kampagne erneut in der Bedrohungslandschaft in Aktion getreten ist. Mithilfe der AutoFocus-Plattform des Unternehmens wurden Malware-Proben identifiziert, die mit dem Wiederaufleben von Dridex in Zusammenhang stehen. Von Dridex waren in diesem Jahr auch Nutzer in Deutschland bereits betroffen.

Die Akteure, die aktuell hinter Dridex stehen, greifen auf Microsoft-Word-Dateien (.doc) mit eingebetteten Makros zurück, wie es bereits Anfang des Jahres der Fall war. Mit dem Bartalex-Kit, einer der Lieblingsbaukästen für viele Internetkriminelle, werden diese Makros erstellt, um bösartigen Inhalt zu transportieren. Wenn ein Benutzer das schädliche Dokument öffnet, greift der Makrocode auf eine URL zu und lädt die ausführbare Dridex-Datei herunter.

Derzeit erkennen nur 17 von 56 Virustotal-AV-Scannern die Doc-Dateien, die dem Wiederaufleben von Dridex zugerechnet werden, als bösartig. Nur zwei Anti-Virus-Scanner erkennen zudem den bösartigen Inhalt der Datei.

Die bösartigen Doc-Dateien, die identifiziert wurden, verwenden alle eine ähnliche Reihenfolge in ihrer Namenskonvention (z.B. „Order-SO00653333-1.doc“). Der Empfänger wir dazu aufgefordert, den Anhang auszudrucken. Obwohl diese Phishing-Ködertaktik nicht besonders anspruchsvoll ist, erweist sie sich nach wie vor als überraschend effektiv, um das Ziel der bösartigen Akteure zu erfüllen.

Cyberkriminelle, vor allem diejenigen, die es zu Wohlstand gebracht und sich langfristig etabliert haben, werden weiterhin Gefahren für Unternehmen und Heimanwender gleichermaßen darstellen. Dies wird sich so fortsetzen – trotz aller Rückschläge für die Cyberbanden als Folge von Verhaftungen oder operativen Herausforderungen. Auch wenn offenbar wichtige Akteure im Dridex-Team verhaftet worden sind, könnte die Organisation, die sie hinterlassen, sehr wohl in der Lage sein, vorerst aktiv zu bleiben. Anderenfalls warten andere kriminelle Gruppen ständig darauf, ein entstehendes Vakuum oder eine Gelegenheit zu nutzen. Das Wiederaufleben von Dridex im Oktober 2015 ist ein Beispiel dafür, wie Bedrohungen dieser Art sich anpassen und weiterentwickeln.

[datensicherheit.de, 27.11.2013] Kaspersky Lab gibt Details über einen aktuellen und gefährlichen Banking-Trojaner mit dem Namen „Neverquest“ (Trojan-Banker.Win32/64Neverquest) bekannt [1]. Der Trojaner hat bisher weltweit tausende Computer attackiert, die für Online-Banking genutzt werden. Er ist zudem in der Lage, sich selbst zu replizieren. Kaspersky Lab geht daher von einem Anstieg der „Neverquest“-Attacken weltweit aus. Die Hintermänner von „Neverquest“ attestieren ihrem Schadprogramm, jede Bank in jedem beliebigen Land angreifen zu können. Auf der Angriffsliste des Trojaners ist auch Deutschland vertreten. Der Banking-Trojaner unterstützt alle möglichen Tricks, um Sicherheitssysteme beim Online-Banking zu umgehen, wie beispielsweise Web Injection, System-Zugang per Fernzugriff oder Social Engineering.

Traditionell sind Cyberkriminelle in der Vorweihnachtszeit sehr aktiv. Bereits zu Beginn des Monats November 2013 gab es in Hacker-Foren einen regen Austausch über den Kauf und Verkauf von Datensätzen für den Zugang zu Bankkonten sowie weiteren Dokumenten, mit denen Konten geöffnet und verwaltet werden können, an die gestohlene Geldmittel versendet werden. „Neverquest“ erschien bereits zuvor auf dem Cyberschwarzmarkt – so wurde im Juli 2013 eine Anzeige veröffentlicht, über die die Cyberkriminellen einen Partner suchten, der mit dem Banking-Trojanern auf den Servern der Gruppe arbeiten sollte.

„Nachdem mehrere Fälle von Cyberkriminalität erfolgreich aufgeklärt wurden, die mit der Entwicklung und Verbreitung von Schadprogrammen für den Diebstahl von Bankdaten auf Webseiten genutzt wurden, gab es ein Vakuum auf dem Schwarzmarkt. Neue Cyberkriminelle versuchten dieses Vakuum mit neuen Technologien und Ideen zu füllen“, so Sergey Golovanov, Principal Security Researcher bei Kaspersky Lab. „,Neverquest‘ ist nur einer von mehreren Schädlingen, der die führende Position den Banking-Trojanern ZeuS und Carberp streitig machen möchte.“

28 Banken und Bezahldienste auf der Angriffsliste

„Neverquest“ stiehlt Nutzernamen und Passwörter von Bankkonten sowie Daten, die von Anwendern auf manipulierten Webseiten von Banken eingebeben werden. Spezielle Skripte für die Browser Internet Explorer und Firefox ermöglichen den Datendiebstahl, indem sie dem Schädling Kontrolle über die Browser-Verbindung mit den Steuerungs-Servern der Cyberkriminellen ermöglichen. Dies geschieht, sobald Seiten aufgerufen werden, die auf einer Liste mit 28 Webseiten stehen. Darunter sind große internationale Banken – unter anderem auch aus Deutschland – sowie Online-Bezahldienste. Mit einer weiteren Funktion können Cyberkriminelle ihre Liste mit neuen anvisierten Banken auffüllen und den Code auf neuen Webseiten platzieren, die zuvor nicht auf der Liste kompromittierter Websites standen.

Nach dem Zugriff auf ein Benutzerkonto eines Online-Banking-Systems, transferieren die Cyberkriminellen Geld der Opfer auf eigene Konten oder auf Konten anderer Opfer.

„Neverquest“ spekuliert an der Börse

Das Hauptziel von „Neverquest“ scheint bisher eine Plattform für die Verwaltung von Investmentfonds zu sein. Erlangen die Cyberkriminellen Zugang zu den gehackten Accounts, können sie mit dem Trojaner nicht nur Geldbeträge auf ihre eigenen Konten transferieren, sondern auch an der Börse spekulieren – und zwar mit den Accounts und dem Geld der „Neverquest“-Opfer.

[1] http://www.securelist.com/en/analysis/204792315/Online_banking_faces_a_new_threat