[datensicherheit.de, 11.10.2022] „Das Bundeskriminalamt (BKA) hat im Zuge der Ermittlungen aufgrund eines verheerenden Cyber-Angriffs, der laut den Ermittlern mit Hilfe von Phishing-Techniken rund vier Millionen Euro von seinen Opfern erbeutet hat, drei Wohnungen durchsucht“, berichtet Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, in seiner aktuellen Stellungnahme. Zwei Verdächtige seien dabei festgenommen und angeklagt worden. Das Verfahren gegen die dritte Person hänge von den Ergebnissen der weiteren Ermittlungen ab.

Foto: KnowBe4

Jelle Wieringa rät, Aufmerksamkeit der Mitarbeiter mithilfe simulierter Phishing-Mails regelmäßig zu testen

Cyber-Kompromittierung durch fortgeschrittenes Phishing

Laut dem BKA habe der Erfolg des groß angelegten Betrugs auf ungewöhnlich detailgetreuen und überzeugenden Mitteilungen beruht, „deren Absender sich als die Banken der Opfer ausgaben“. In den E-Mails sei den getäuschten Kunden dann mitgeteilt worden, „dass sich nahende Änderungen am Sicherheitssystem der Bank auf ihre Konten auswirken würden und dass sie einem Link folgen sollten, um weiterhin auf ihre Konten zugreifen zu können“.

Dieser schadhafte Link habe dann zu einer täuschend echt wirkenden Phishing-Seite geführt. Dort seien die Phishing-Opfer aufgefordert worden, ihre Anmeldedaten und eine aktuelle TAN einzugeben, „was es den Betrügern wiederum ermöglichte, alle Daten auf dem Konto des jeweiligen Opfers einzusehen – einschließlich der Höhe und der Verfügbarkeit von Guthaben“. Die weitere Kontaktaufnahme mit den Opfern habe diese veranlasst, weitere TANs herauszugeben, welche „die Kriminellen dazu nutzten, die Gelder der Opfer abzuheben“.

Crime-as-a-Service: Verschiedene Tools für Cyber-Angriffe im DarkWeb

Die Vorgehensweise bei dieser Betrugsmethode sei auch in anderer Hinsicht interessant, so Wieringa: „Zum einen nutzten die Bedrohungsakteure DDoS-Angriffe (Distributed Denial of Service) gegen Banken-Websites als Ablenkungsmanöver für ihren Angriff. Die legitimen Websites waren infolgedessen nur eingeschränkt verfügbar, wohingegen die Phishing-Websites erreichbar blieben.“ Ein weiterer interessanter Aspekt dieses Vorfalls stelle die angebliche Zusammenarbeit der Angreifer mit anderen Cyber-Kriminellen dar, welche in diesem Fall, wie schon oft beobachtet, verschiedene Tools für Cyber-Angriffe als sogenanntes „Crime-as-a-Service“ im DarkWeb weiterverkauft hätten.

Diese Betrugsmethode zeige zudem, wie weit Cyber-Kriminelle gingen, um einen Angriff erfolgreich zu gestalten. Wieringa erläutert: „Sie erstellen nicht nur falsche Websites, sondern versuchen auch, die ursprüngliche Website zu zerstören, um die Nutzer auf ihre gefälschten schadhaften Websites zu drängen.“ Der Betrag, den die Kriminellen laut Angaben der Behörden gestohlen haben sollen, sei beachtlich. Dieses besonders raffinierte Verbrechen scheine vor allem Einzelpersonen betroffen zu haben, jedoch ließen das Ausmaß und die Vorgehensweise vermuten, „dass auch Organisationen dafür anfällig sind“.

Nicht nur im Cyberspace: Umfassender Schutz gegen Phishing-Angriffe jeder Art

Die effektivste und kostengünstigste Maßnahme zur Vorbeugung solcher Angriffe stelle ein umfassendes „Security Awareness Training“ dar. Die Aufmerksamkeit der Mitarbeiter werde mithilfe von simulierten Phishing-Mails getestet. Das Ziel dieser Trainings sei es, „eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen verschiedener Angriffstechniken zu erreichen“.

Dabei sollten die internen Schulungen monatlich wiederholt und auf einer Plattform gespeichert und analysiert werden, um die Inhalte zu vertiefen und den künftigen Lernprozess erfolgreich fortzusetzen. „Organisationen können dadurch sehr effektiv vor Phishing-Angriffen geschützt werden, indem die Mitarbeiter in die Lage versetzt werden als ,menschliche Firewall’ zu agieren“, betont Wieringa abschließend.

Weitere Informationen zum Thema:

datensicherheit.de, 29.09.2022
Cybercrime: Beschuldigte sollen laut BKA Bankkunden um mindestens vier Millionen Euro betrogen haben / BKA meldet Durchsuchungen, Festnahme und laufende Ermittlungen

[datensicherheit.de, 22.09.2022] „Die jüngste Kompromittierung des international erfolgreichen US-Fahrdienstleisters Uber dominiert nicht nur in Deutschland die Nachrichten in den IT-Medien“, kommentiert Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, eine aktuelle, aufsehenerregende Hacker-Attacke. Es werde vermutet, dass es einem Hacker durch den Einsatz von Social-Engineering-Methoden gelungen sei, sich Zugriff auf das gesamte Netzwerk von Uber zu verschaffen.

Foto: KnowBe4

Jelle Wieringa rät abermals zu umfassendem Training des Sicherheitsbewusstseins der Mitarbeiter

Hacker behauptet, vollständige Kompromittierung von Uber erreicht zu haben

Der Angreifer soll bei diesem Vorfall in mehrere interne Systeme eingedrungen sein und sich administrativen Zugriff auf die „Cloud“-Dienste von Uber verschafft haben – unter anderem auf „Amazon Web Services“ (AWS) und „Google Cloud“ (GCP).
„Er selbst behauptet, eine vollständige Kompromittierung von Uber erreicht zu haben und hat Screenshots veröffentlicht, auf denen er volle Administratorrechte auf AWS und GCP besitzt“, berichtet Wieringa und führt aus: „Ein Sicherheitsingenieur bei Yuga Labs, der mit dem Hacker korrespondierte, hat diese Behauptungen bereits bestätigt, wobei das tatsächliche Ausmaß des Angriffs immer noch unklar ist.“

Angriff durch Textnachricht an Uber-Mitarbeiter initiiert

Der Hacker, laut eigenen Angaben erst 18 Jahre alt, habe zudem gegenüber der „New York Times“ erklärt, dass der Angriff durch eine Textnachricht an einen Uber-Mitarbeiter initiiert worden sei. Im Zuge dessen habe er sich als Mitarbeiter der IT-Abteilung des Unternehmens ausgegeben und den Angestellten zur Preisgabe eines Passworts überredet. Wieringa: „So gelang es ihm, mit dem Einsatz dieser klassischen und simplen Social-Engineering-Technik, tief in die Systeme von Uber einzudringen.“ Er solle laut neuesten Angaben auch ein Mitglied der bekannten und äußerst erfolgreichen Hacker-Gruppe „Lapsus$“ sein.
Mit Hilfe des Passworts habe sich der Angreifer schließlich leicht Zugang zum internen VPN verschaffen können. „Im Unternehmensnetzwerk fand er hochprivilegierte Anmeldeinformationen auf Netzwerkdateifreigaben und nutzte diese, um auf alles zuzugreifen, einschließlich der Produktionssysteme, der EDR (Endpoint Detection and Response)-Konsole und der Slack-Verwaltungsoberfläche von Uber.“

Vorfall bei Uber zeigt, wie anfällig bisherige Ansätze für Sicherheitslücken sind

„Die Kombination aus ,Zero Trust’ und der Multi-Faktor-Authentifizierung scheint in der Sicherheitsbranche zu einem leeren Versprechen für totale Sicherheit geworden zu sein, aber der Vorfall bei Uber zeigt deutlich, wie anfällig auch dieser Ansatz für Sicherheitslücken ist“, so Wieringa.
Umso wichtiger seien effektive Maßnahmen zur Vorbeugung solcher raffinierter Social-Engineering-Angriffe. „Beim ,Social Engineering’ geht es darum, eine Person so zu manipulieren, dass sie tut, was der Bedrohungsakteur möchte“, erläutert Wieringa. Das Fundament der Sicherheitsstrategie sollte deshalb ein umfassendes Training des Sicherheitsbewusstseins der Mitarbeiter bilden.

Weitere Informationen zum Thema:

TAGESSPIEGEL BACKGROUND, Haya Shulman und Michael Waidner, 21.09.2022
Der Uber-Hack und was wir aus ihm lernen können

The New York Times, Kate Conger und Kevin Roose, 15.09.2022
Uber Investigating Breach of Its Computer Systems / The company said on Thursday that it was looking into the scope of the apparent hack

[datensicherheit.de, 13.09.2022] Eine neue „Instagram“-Phishing-Kampagne treibe derzeit weltweit ihr Unwesen. Bei dieser neuen Betrugsmasche versuchten Cyber-Kriminelle, die Konten von Nutzern der beliebten Social-Media-Plattform zu kompromittieren. Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, erläutert: „Hierbei werden die potenziellen Opfer mit einem Angebot für einen blauen Haken geködert, welche extrem begehrt sind: Sie werden nur an Accounts vergeben, die als authentisch verifiziert wurden und eine öffentliche Person, einen Prominenten oder eine Marke repräsentieren.“

Foto: KnowBe4

Jelle Wieringa: Umfassendes Security Awareness Training für die Mitarbeiter als effektivste Maßnahme zur Vorbeugung solcher Angriffe…

Köder: Instagram hat angeblich Konto überprüft und stellt blaue Plakette in Aussicht

Die sogenannten Spearphishing-E-Mails der kürzlich beobachteten Kampagne informierten die Empfänger darüber, dass „Instagram“ ihre Konten überprüft habe und sie für eine blaue Plakette in Frage kämen. Der Bedrohungsakteur setzt bei dieser Kampagne auf die Sorglosigkeit und den Enthusiasmus von Instagram-Nutzern, wenn sie mit der Möglichkeit konfrontiert werden, den Status ihres sozialen Kontos zu verbessern.

„Der Betrug wurde erstmals Ende Juli entdeckt und nutzt das begehrte Verifizierungsprogramm von ,Instagram’ aus, um die Opfer dazu zu bringen, persönliche Informationen und Kontodaten preiszugeben“, führt Vadesecure im aktuellen Blog-Artikel „Instagram Phishing Campaign: Hackers Exploit Social Verification“ aus. Die Angriffe zielen demnach auf bestimmte Nutzer der Social-Media-Plattform und seien damit raffinierter als andere Phishing-Kampagnen, welche dagegen zumeist wahllos Attacken auf eine Vielzahl von Opfern verübten.

Hintergrund der Phishing-Kampagne mit Instagram als Aufhänger

Die Phishing-E-Mails verwendeten bei dieser raffinierten Angriffsmethode die Betreffzeile „ig bluebadge info“ und den Namen „ig-badges“. Im Text werde anschließend erläutert, dass das „Instagram“-Profil des Opfers überprüft worden sei und für eine Verifizierung in Frage komme.

Die „Instagram“- und „facebook“-Logos in der Kopf- und Fußzeile der E-Mail erweckten dabei den Anschein von Legitimität. Tatsächlich könnten aufmerksame Nutzer trotzdem einige Unstimmigkeiten und Merkmale von Social-Engineering-Techniken in diesen E-Mails erkennen: Diverse Anzeichen deuteten klar auf einen klassischen Fall von Phishing hin: Wieringa benennt beispielhaft „vermehrt grammatikalische Fehler und Tippfehler im Text“ – die üblichen Flüchtigkeitsfehler von Betrügern.

Effektive Sicherheitsmaßnahmen nicht nur bei Social-Engineering mit Instagram

Wieringa führt weiter aus: „Um die eigene Organisation vor derartigen Gefahren zu schützen, empfehlen die Sicherheitsexperten von KnowBe4, Schulungen zum Sicherheitsbewusstsein anzubieten, damit die Nutzer lernen, die typischen Anzeichen von Social-Engineering-Angriffen zu erkennen.“ Die effektivste Maßnahme zur Vorbeugung solcher Angriffe sei, ein umfassendes „Security Awareness Training“ für die Mitarbeiter zu etablieren.

Grundsätzlich werde damit versucht, mithilfe von simulierten Phishing-Mails zu testen, wie aufmerksam die Mitarbeiter sind. Das Ziel der Trainings sei es, eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen solcher Attacken zu erreichen. „Die Anzahl der erfolgreichen Phishing-Angriffe auf das Unternehmen kann durch ein solches Training sehr stark reduziert werden“, sagt Wieringa abschließend.

Weitere Informationen zum Thema:

vade, Todd Stansfield, 01.09.2022
Instagram Phishing Campaign: Hackers Exploit Social Verification

[datensicherheit.de, 19.08.2022] Mit einer Mischung aus kompromittierten Social-Media-Konten, „Social Engineering“, Call-Center-Agenten und einigen überzeugend echt wirkenden Fake-Websites versucht derzeit eine neue Betrugsmasche, Opfer dazu zu bringen, wiederholt in scheinbar seriöse Angebote zu investieren. Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, kommentiert diese Kampagnen Cyber-Krimineller in seiner aktuellen Stellungnahme:

Foto: KnowBe4

Jelle Wieringa unterstreicht Bedeutung der „menschlichen Firewall“

KnowBe4 warnt vor groß angelegtem Betrug

Es gebe heutzutage sehr viele gefälschte Websites und Marken, die dem Original sehr gut nachempfunden seien und eine Reihe von Webseiten enthielten auch raffinierte Phishing-Kits. Ein solches Ausmaß an Fake-Seiten eines Typus stelle jedoch ein neues Phänomen in der Bedrohungslandschaft dar.

Dieser groß angelegte Betrug, – zuerst vom Sicherheitsteam der Group-IB entdeckt – ziele auf potenzielle Investoren in Großbritannien, Belgien, Deutschland, den Niederlanden, Portugal, Polen, Norwegen, Schweden und Tschechien ab.

Die Basis dieser perfiden Methode bildeten erfundene Empfehlungen von Prominenten in gefälschten Artikeln, „in denen behauptet wird, dass der Investor in nur drei Tagen aus 250 Euro 700 Euro generieren konnte“.

Laut KnowBe4 Bombardement mit angeblichen Erfolgsgeschichten

Zudem kämen kompromittierte „facebook“- und „YouTube“-Konten zum Einsatz, um die Glaubwürdigkeit zu erhöhen und die Opfer auf gefälschte Investitionsseiten zu leiten:
Dort würden sie mit angeblichen Erfolgsgeschichten geradezu bombardiert werden, um sie dazu zu bringen, die 250 Euro Startgebühr nicht nur einmal, sondern immer wieder zu zahlen.

Sobald sich die Opfer registriert haben, werden sie demnach von einem Callcenter kontaktiert, welches sie durch den Prozess der Zahlung ihrer ersten „Investition“ führt.

Wenn sie investiert haben, erhielten die Opfer Zugang zu einem gefälschten Investitions-Dashboard, welches sie über den vermeintlich großartigen Erfolg ihrer Fake-Investition auf dem Laufenden halte – um sie dazu zu bringen, ständig weitere Einzahlungen vorzunehmen.

Der Cyber-Bedrohungslage begegnen – KnowBe4 plädiert für regelmäßige interaktive Schulung

Wieringas Empfehlung: „Regelmäßige Security-Awareness-Trainings unterstützen IT-Abteilungen bei der Abwehr von Cyber-Gefahren.“ Die weltweite Cyber-Bedrohungslage entwickelt sich rasant und verheerend, doch die Anzahl der erfolgreichen Phishing-Angriffe auf ein Unternehmen könne durch ein umfassendes Security-Awareness-Training sehr stark reduziert werden.

„Hierbei ist elementar, dass eine regelmäßige und interaktive Schulung durchgeführt wird, damit die Botschaft wirklich verinnerlicht wird.“

Das Ergebnis der Trainings sei eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen solcher Attacken. Wieringas Fazit: „Neben den technischen Sicherheitsoptionen können die Mitarbeiter somit als menschliche Firewall geschult und eingesetzt werden.“

Weitere Informationen zum Thema:

GROUP-IB, 29.07.2022
Fake investment scams in Europe / How we almost got rich

datensicherheit.de, 04.08.2022
Krypto-Scams: Neue Attacken unter dem Deckmantel der Popularität Prominenter / Krypto-Scam-Opfer im Durchschnitt um über 15.000 Euro betrogen

[datensicherheit.de, 04.07.2022] Berlins Regierende Bürgermeisterin, Franziska Giffey, soll laut Medienberichten ein Video-Telefonat mit dem Bürgermeister von Kiew, Vitali Klitschko, geführt haben – während des Gesprächs hat sich demnach für Giffey herausgestellt, dass es sich um einen „Fake“-Anruf handelte. Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, geht in seiner aktuellen Stellungnahme auf diesen Vorfall ein. Seiner Ansicht nach handelt es sich beim falschen Klitschko wohl um eine kriminelle Nachahmung – aber möglicherweise eher um ein „Shallowfake“.

Foto: KnowBe4

Jelle Wieringa: In technologischer Hinsicht wohl eher ein weniger anspruchsvoller Shallowfake-Vorfall…

Bürgermeister mehrerer europäischer Hauptstädte im Gespräch mit Fake-Klitschko

Neben den Bürgermeistern mehrerer europäischer Hauptstädte sei auch die Regierende Bürgermeisterin von Berlin, Franziska Giffey, Opfer eines Fake-Anrufs geworden: Hierbei habe sich jemand als Vitali Klitschko, in seiner Eigenschaft als Bürgermeister von Kiew, ausgegeben und erst nach etwa 15 Minuten sei Giffey misstrauisch geworden.

Wieringa berichtet: „Als die Verbindung kurz unterbrochen wurde, kontaktierte das Büro den ukrainischen Botschafter in Deutschland, der über die Behörden in Kiew bestätigte, dass es sich bei der Person in dem Video-Anruf nicht um den echten Klitschko handelte.“

Die Berliner Senatskanzlei selbst habe den ungewöhnlichen Vorgang noch am selben Tag öffentlich gemacht. Auf „Twitter“ sei erklärt worden, dass es sich wohl um einen „Deepfake“-Vorfall gehandelt habe – also um ein mittels Künstlicher Intelligenz (KI) generierte Simulation des Politikers.

Keine Bestätigung für Verwendung einer Deepfake-Manipulation bei Telefonat Giffey-Klitschko zu finden

„Eine Untersuchung des Bildmaterials durch des Politikmagazins ,Kontraste‘ weckt nun jedoch Zweifel daran, dass tatsächlich diese fortschrittliche Technologie zum Einsatz kam“, so Wieringa. Grundsätzlich könne mit einer Software wie beispielsweise „DeepFaceLive“ heute jeder Nutzer, welcher über „adäquate technische Ressourcen“ verfügt, eine überzeugende „Deepfake“-Darstellung erstellen.

„Sie sind als eine echte und ernstzunehmende Bedrohung anzusehen“, betont Wieringa und führt indes weiter aus: „Jedoch ist in diesem Fall nirgends eine Bestätigung für die Verwendung eines ,Deepfake‘ zu finden. Tatsächlich wird auch für ein ,Deepfake‘ eine Vorlage benötigt – am besten viel Video-Material. In Echtzeit erzeugte Ergebnisse waren bislang wenig überzeugend, da früher oder später meist verräterische Bildfehler auftreten.“

Basierend auf existierenden Gesichtsaufnahmen würden Daten gesammelt, anhand derer ein Programm die Mimik und Gestik der Person lernen solle. Schließlich versuche die KI, die Realität selbst zu simulieren und eigene Bilder zu erstellen – passend zu einem neuen Sprechertext. Es handele sich dann nicht um eine einfache Kopie der Vorlage, sondern um eine „anspruchsvolle Neukreation“.

Falscher Klitschko in jedem Fall kriminelle Nachahmung

„Mit dieser zusätzlichen Waffe im Arsenal, können Cyber-Kriminelle nun Privatpersonen, politische Entscheidungsträger und große Organisationen angreifen“, erläutert Wieringa.

Das Erstellen einer guten digitalen Simulation einer Person werde immer unkomplizierter und die Ergebnisse würden von Tag zu Tag besser. In Kombination mit anderen KI-Technologien könnten realistische Gespräche geführt werden, bei denen die meisten Menschen ohne tiefgreifende technische Kenntnisse getäuscht werden könnten. Aus diesen Gründen müssten alle Unternehmen dieses enorme Bedrohungspotenzial in ihren Sicherheitsstrategien berücksichtigen.

Im aktuellen Fall meint Wieringa allerdings: „Bisher konnten keine definitiven Belege gefunden werden, die den Einsatz eines der Klitschko-,Deepfakes‘ ausschließen. Jedoch deutet das vorhandene Bildmaterial darauf hin, dass es sich eher um ein neues Arrangement von alten Interview-Aufnahmen handeln könnte. Es scheint gut möglich, dass die in den ersten Minuten der Anrufe bei Video-Anrufen üblichen Ruckler, kleinere Fehler bei diesem Kopiervorgang kaschiert haben.“ Der falsche Klitschko wäre dann zwar immer noch eine kriminelle Nachahmung – aber ein in technologischer Hinsicht weniger anspruchsvolles „Shallowfake“.

Weitere Informationen zum Thema:

tagesschau, Daniel Laufer (rbb), 28.06.2022
Falscher Klitschko Was gegen ein Deepfake spricht

[datensicherheit.de, 22.06.2022] Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, geht in seiner aktuellen Stellungnahme auf eine Meldung von CloudSEK ein, wonach in den USA ein neuer Ransomware-Stamm namens „GoodWill“ entdeckt wurde – dieser zwinge seine Opfer, für soziale Zwecke zu spenden und Menschen in Not finanzielle Unterstützung zukommen zu lassen.

Foto: KnowBe4

Jelle Wieringa: Natürlich bleibt die Essenz von Ransomware die Erpressung von Unternehmen…

GoodWill-Ransomware-Angreifer verlangen von Opfern soziale Handlungen vorzunehmen

„GoodWill“ verlange von seinen Opfern, statt „Bitcoins“ zu überweisen, soziale Handlungen vorzunehmen, um die verschlüsselten Daten zurückzubekommen: Die Opfer müssten zum Beispiel Obdachlosen Kleidung spenden und Kranken ihre Rechnungen bezahlen.

Wieringa stellt indes klar: „Natürlich bleibt die Essenz von Ransomware die Erpressung von Unternehmen, und sie kann den Betroffenen großen Schaden zufügen, während sich die Hacker-Gruppe als eine Art moderner Robin Hood stilisiert.“

Opfer sollen publizieren, zu einem freundlichen Menschen dank der Ransomware GoodWill geworden zu sein

„Sobald die Opfer alle Handlungen vorgenommen haben, sollten sie auch noch einen Post in den Sozialen Medien (,facebook‘ oder ,Instagram‘) dazu veröffentlichen, wie sie sich in einen freundlichen Menschen verwandelt haben, indem sie Opfer einer Ransomware namens ,GoodWill‘ wurden“, berichtet Wieringa.

Bislang seien keine konkreten Opfer bekannt, und die genauen Taktiken, Techniken und Verfahren (TTPs) zur Durchführung der Angriffe seien noch unklar.

Einsatz von Ransomware letztlich immer, um jemandem fremden Willen aufzuzwingen

Das öffentliche Interesse an solchen scheinbar selbstlosen Taten gegen wohlhabende Personen und Organisationen sei verständlicherweise groß. Die Grundlage dieser Angriffe bilde jedoch der Einsatz von Ransomware, um jemandem seinen Willen aufzuzwingen – „und dies stellt niemals eine ehrenwerte Geste dar“. Auch wenn die Absicht, Gutes für Benachteiligte zu tun, auf den ersten Blick diesen Eindruck erwecke.

Diese neue Art von Ransomware sei eine interessante Entwicklung. Wahrscheinlich stecke dahinter jedoch immer noch eine kriminelle Organisation, „die damit letztlich Geld verdienen will“. Ransomware könne eine kostspielige Angelegenheit sein, die den Angreifern viel Zeit abverlange. Da sie dies momentan wohl tun, ohne finanziellen Profit generieren zu wollen, erwecke das Ganze eher den Anschein einer kurzfristigen Werbe-Aktion mit geringer Halbwertszeit.

Kompromittierung von Organisationen mit Ransomware nicht zu dulden

„Es handelt sich in jedem Falle um eine unkonventionelle Methode, bei der die Angreifer Ransomware für soziale Gerechtigkeit und zum Nutzen der Unterprivilegierten einsetzen“, kommentiert Wieringa und führt weiter aus: „Was die Vorgehensweise angeht, so kann die Kompromittierung von Organisationen mit Ransomware jedoch nicht geduldet werden, auch wenn das Ziel edel zu sein scheint.“

Ransomware habe weitreichende Auswirkungen auf Unternehmen, ihre Mitarbeiter, Kunden, Partner und ein potenziell umfangreiches „Ökosystem von Drittanbietern“. Abschließend stellt Wieringa deutlich klar: „Wenn diese Systeme durch Ransomware außer Betrieb gesetzt werden, kann dies allen Beteiligten schaden und sogar den zukünftigen Geschäftsbetrieb gefährden.“

Weitere Informationen zum Thema:

CloudSEK, 24.05.2022
GoodWill ransomware forces victims to donate to the poor and provides financial assistance to patients in need

[datensicherheit.de, 08.12.2021] Forscher von Avanan haben offensichtlich eine neue Phishing-Kampagne entdeckt, die sich demnach mit gefälschten Versandbenachrichtigungen als DHL ausgibt. E-Mails informierten Empfänger, dass sie ihre Lieferadresse aktualisieren müssten, um ein Paket zu erhalten.

Foto: KnowBe4

Jelle Wieringa: Betrüger benutzen bei Angriff Imitation einer Marke

Betrüger versuchen, mit Phishing-Mails Endnutzer dazu zu bringen, auf einen Link zu klicken

Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, berichtet: „Die Betrüger benutzen bei diesem Angriff die Imitation einer Marke. Durch die Anzeige einer Seite, die aussieht, als käme sie von einer vertrauenswürdigen Marke, hoffen sie, die Endnutzer dazu zu bringen, auf einen Link zu klicken.“
Bei diesem Link handele es sich jedoch um einen klassischen Link zum Abfangen von Anmeldeinformationen, mit dem Daten und andere Informationen gestohlen werden sollten.

Phishing bevorzugt in der Advents- und Weihnachtszeit: Mit vorgetäuschter DHL-Identität Menschen weltweit im Visier

Die E-Mail beginne mit dem Hinweis, dass ein „nicht zugestelltes“ Paket von DHL vorliege. „Wenn der Nutzer nun auf den Link klickt, könne er seine Adresse und andere Informationen angeben, um die Lieferung rechtzeitig und am richtigen Ort zu erhalten. Das ist jedoch nur eine Masche der Betrüger, um sich sensible Daten zu beschaffen“, erläutert Wieringa.
Die Forscher hätten festgestellt, dass die Angreifer mit der Identität von DHL Menschen auf der ganzen Welt ins Visier nehmen könnten, insbesondere während der Weihnachtszeit.

DHL-Paket-Lieferung als wahrscheinliches Szenario – Phishing-Mail erscheint sehr glaubwürdig

„Besonders raffiniert ist die Fälschung von DHL“, so Avanan. Laut Check Point Research „ist DHL nicht nur die am dritthäufigsten nachgeahmte Marke, sondern liefert auch Pakete in die ganze Welt“. In dieser Weihnachtszeit möchten viele Kunden ihren Einkaufshorizont erweitern und müssten dies aufgrund der Lieferengpässe auch teilweise – deshalb sei ein DHL-Paket ein noch wahrscheinlicheres Szenario, was die Fälschung sehr glaubwürdig mache.
Die Hacker nutzten hierzu die klassische Social-Engineering-Taktik der Dringlichkeit, um Endbenutzer zum Klicken auf die schadhaften Links zu bewegen. Sie hofften, dass diese in Panik gerieten, „wenn sie sehen, dass ihr Paket nicht rechtzeitig ankommt und schließlich ihre Daten eingeben, ohne groß nachzudenken“.

Avanan-Ratschläge, damit Benutzer Phishing-Angriffe erkennen können:

Überprüfung der URL!
Vor dem Klicken auf den Harvesting-Link URL prüfen.

Genau auf Fehler in der E-Mail achten!
„DHL Office“ sei kein echter Ort – die naheliegendste Annahme wäre ein „DHL Express ServicePoint“.

Besonders auf E-Mails von Markenunternehmen achten!
Vor allem um die Feiertage herum – Check Point Research habe herausgefunden, dass zwei der fünf am häufigsten gefälschten Marken Waren versendeten (z.B. DHL, amazon).

Sicherstellen, dass bestelltes Paket tatsächlich mit DHL versendet wird!
Die bei der ursprünglichen Bestellung angegebene Tracking-Nummer zeige, „ob das Paket mit DHL geliefert wird und wie der tatsächliche Lieferstatus ist“.

Verwendung einer E-Mail-Sicherheitslösung!
Diese sollte mehrere Faktoren berücksichtigen, um festzustellen, „ob es sich bei einer E-Mail um Phishing handelt“.

Mit Sicherheitstrainings könnten Unternehmen vermeiden, dass Mitarbeiter auf Phishing-Angriffe hereinfallen

Einerseits stelle das momentane Geschehen einen saisonalen Trend dar, aber es sei gleichzeitig auch eine immerwährende Bedrohung. Mit einem neuen Sicherheitstraining könnten gerade Unternehmen vermeiden, „dass ihre Mitarbeiter auf Phishing-Angriffe hereinfallen“. Die effektivste Maßnahme zur Vorbeugung solcher Angriffe sei, ein umfassendes „Security Awareness Training“ für die Mitarbeiter anzubieten und umzusetzen. Grundsätzlich werde hierbei versucht, „mithilfe von simulierten Phishing-Mails zu testen, wie aufmerksam die Mitarbeiter sind“. Das Ziel dieser Trainings sei, eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen solcher Attacken zu erreichen.
Zunächst würden sogenannte Baseline-Tests durchgeführt, die es ermöglichten, den Anteil der für Phishing anfälligen Benutzer zu ermitteln. „Zudem sollte man herausfinden, auf welche Art von Angriffen sie hereinfallen und auf welche nicht, um entsprechende Daten zur Messung des eintretenden Trainingserfolgs zu generieren.“ Die Anzahl der erfolgreichen Phishing-Angriffe auf das Unternehmen könne durch ein solches Training sehr stark reduziert werden und neben den technischen Sicherheitsoptionen könnten die Mitarbeiter somit als „menschliche Firewall“ geschult und eingesetzt werden, rät Wieringa.

Weitere Informationen zum Thema:

AVANAN – A Check Point Company, Jeremy Fuchs, 02.12.2021
Missed Delivery: New Phish Spoofs DHL

KnowBe4
The Ultimate Guide to Security Awareness Training / Old-school awareness training never really hacked it. Learn about why you need new-school security awareness training.

datensicherheit.de, 10.11.2021
Köder-Angriffe: Hacker werfen ihre Phishing-Netze aus / Dr. Klaus Gheri benennt Best Practices zum Schutz vor Köder-Angriffen

datensicherheit.de, 22.01.2021
Check Point: Microsoft und DHL führen im Brand Phishing Report Q4 2020 / Berichte der Sicherheitsforscher des Unternehmens zeigen, dass Cyber-Kriminelle aktuell für Phishing am häufigsten den Tech-Riesen Microsoft und die Spedition DHL imitieren / Geschuldet ist dies der Zunahme von Fernzugriffen im Homeoffice und Online-Shopping.

[datensicherheit.de, 16.11.2021] KnowBe4 warnt aktuell vor Betrugsmaschen im Vorfeld des „Black Friday“ am 26. November 2021. Forschern des Anbieters zufolge berichteten 30 Prozent der Menschen in den USA, eine Phishing-Nachricht rund um den „Black Friday“ im Jahr 2020 erhalten zu haben. Da dieser Sonderverkaufstag auch hierzulande immer bekannter werde, setzten viele Einzel- und Online-Händler auf Angebote, um ihr Weihnachtsgeschäft anzukurbeln.

Posteingänge voller als normalerweise – das erleichtert es Cyber-Kriminellen, Betrugsversuche zu platzieren

„Ein Drittel der US-Verbraucher (30%) gab an, letztes Jahr rund um den ,Black Friday‘ eine Phishing-Nachricht erhalten zu haben, entweder per E-Mail oder SMS“, so TESSIAN-Forscher. Verbraucher rechneten damit, in dieser Zeit mehr Marketing- und Werbe-E-Mails von Einzelhändlern zu erhalten, in denen diese ihre Angebote anpriesen, sowie Updates zu ihren Bestellungen und Benachrichtigungen über Lieferungen. Die Posteingänge seien voller als normalerweise – und das mache es Cyber-Kriminellen leichter, ihre bösartigen Nachrichten unter die vielen Nachrichten zu mischen.
Zudem könnten Angreifer ihre als spezielle Sonderangebote getarnten Nachrichten ideal als Köder nutzen, denn die Empfänger rechneten in dieser Zeit ja mit derartigen Nachrichten. „Wenn die E-Mail den Anschein erweckt, als käme sie von einem herkömmlichen Anbieter, und wenn auch die E-Mail-Adresse seriös wirkt, dann ist die Wahrscheinlichkeit groß, dass der Leser auf bösartige Links klickt. Diese Links führen umgehend zu gefälschten Websites oder laden schädliche Anhänge herunter.“

TESSIAN rät Einzelhändlern, in der geschäftigsten Zeit des Jahres besonders auf Betrugs zu achten

TESSIAN weise auch darauf hin, dass die Mitarbeiter von Einzelhändlern in der geschäftigsten Zeit des Jahres besonders auf Phishing-Angriffe achten sollten: „Es sind nicht nur die Verbraucher, die vorsichtig sein müssen!“ Die Angestellten im Einzelhandel seien in dieser Zeit beschäftigter und abgelenkter denn je, denn sie müssten Hunderte von Bestellungen bearbeiten, Tausende von Kundenanfragen beantworten und überwältigende Verkaufsziele erreichen.
Cyber-Kriminelle nutzten dies zu ihrem Vorteil und verfassten ausgeklügelte Phishing-E-Mails und geschickt formulierte Social-Engineering-Nachrichten. „Sie gehen davon aus, dass gestresste Mitarbeiter Anzeichen eines Betrugsversuchs nicht wahrnehmen und der Aufforderung der kriminellen Akteure nachkommen.“

Sensibilisierung für Betrugsversuche und Bereitstellung fundierter Handlungsratschläge

TESSIAN rate Arbeitgebern dafür zu sorgen, dass ihre Mitarbeiter diese Art von Angriffen erkennen könnten. „Sicherheitsverantwortliche im Einzelhandel teilten uns mit, sie seien nicht zu 100 Prozent davon überzeugt, dass ihre Mitarbeiter die Betrugsversuche erkennen können, die während dieser geschäftigen Zeit in ihrem Posteingang landen“, schrieben die Forscher.
Die Sensibilisierung für diese Betrugsversuche und die Bereitstellung von fundierten Handlungsratschlägen für den Umgang mit Phishing-E-Mails entschieden darüber, „ob ein Mitarbeiter auf den Link klickt und seine Anmeldedaten weitergibt oder ob er angemessen reagiert“.

Foto: KnowBe4

Jelle Wieringa empfiehlt umfassendes Security Awareness Training für die Mitarbeiter

Security Awareness zur Verteidigung gegen Betrug per Phishing-Kampagnen

„Die effektivste Maßnahme zur Vorbeugung solcher Angriffe ist, ein umfassendes ,Security Awareness Training‘ für die Mitarbeiter anzubieten. Grundsätzlich wird hierbei versucht, mithilfe von simulierten Phishing-Mails zu testen, wie aufmerksam die Mitarbeiter sind“, erläutert Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, in seiner Stellungnahme.
Das Ziel solcher Trainings sei es, eine gesteigerte Sensibilisierung bezüglich der Gefahren und dem Erkennen solcher Attacken zu erreichen. Zunächst würden sogenannte Baseline-Tests durchgeführt, die es ermöglichten, den Anteil der für Phishing anfälligen Benutzer zu ermitteln. „Zudem sollte man herausfinden, auf welche Art von Angriffen die Benutzer hereinfallen und auf welche nicht, um entsprechende Daten zur Messung des eintretenden Trainingserfolgs zu generieren“, so Wieringa.

Mitarbeiter als menschliche Firewall gegen Cyber-Betrug schulen

Die Schulung der Benutzer mit interaktivem und ansprechendem On-Demand-Material sei notwendig, damit die Botschaft verinnerlicht und nicht nur oberflächlich behandelt und schnell vergessen werde. Weiterhin sollten die internen Schulungen monatlich wiederholt und auf einer Plattform gespeichert und analysiert werden, um die Inhalte zu vertiefen und den künftigen Lernprozess erfolgreich fortzusetzen. Die Anzahl der geglückten Phishing-Angriffe auf das Unternehmen könne durch ein solches Training sehr stark reduziert werden – und neben den technischen Sicherheitsoptionen könnten die Mitarbeiter somit als „menschliche Firewall“ geschult und eingesetzt werden.
Wieringa: „Benutzer, die ein Sicherheitstraining absolvieren, fallen weitaus seltener auf Phishing-Angriffe herein, ganz gleich, wie treffsicher die Nachahmung ist. Indem sie ganz bewusst unerwartete E-Mails auf Absenderangaben, Inhalt, Art der Anfrage und Branding prüfen, ist es ihnen möglich, nahezu jeden Phishing-Angriff einfach zu identifizieren.“

Weitere Informationen zum Thema:

TESSIAN, Charles Brook, 04.11.2021
Spear Phishing / Cybercriminals To Impersonate Delivery Firms in Black Friday Phishing Scams

datensicherheit.de, 15.11.2021
Black Friday, Cyber Monday und Weihnachten: 5 Tipps für sicheres Online-Shopping / Viele Verbraucher machen sich bereit, große Schnäppchen und Weihnachtsgeschenke online zu kaufen – dabei sollten sie Tipps zur Sicherheit beachten

[datensicherheit.de, 26.08.2021] Einige Security-Anbieter sorgten derzeit für Schlagzeilen, da sie die Ransomware-Infektionen als „Double“, „Triple“ und „Quadruple Extortion“ bezeichneten. „Die Begriffe weichen inhaltlich davon ab, wie die unterschiedlichen Vorgehensweisen der Erpresser bewertet werden“, erläutert Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4. Letztlich scheine es aber so zu sein, „dass Cyber-Kriminellen nicht mehr nur die Daten per Ransomware verschlüsseln, stehlen und mit Veröffentlichung drohen“, sondern auch noch per „Denial of Service“ (DoS) den Opfern drohten, sollten sie den Lösegeldforderungen nicht nachkommen. Darüber hinaus würden auch noch im Falle von „Supply Chain“-Attacken die weiteren Betroffenen Lieferanten, Partner, Kunden und Mitarbeiter von den Kriminellen informiert, um eine weitere Drohkulisse aufzubauen. Zuletzt würden die Informationen noch an die Medien gespielt, so dass über eine Berichterstattung der Fall publik werde.

Foto: KnowBe4

Jelle Wieringa: Neue Ransomware-Varianten im Umlauf…

Massiver Rückgang durchschnittliche Lösegeldzahlungen nach Ransomwaare-Infektionen

Wieringa kommentiert: „Dies alles zeigt, dass Erpresser zunehmend professioneller vorgehen und der ,Business Case Ransomware‘ so lukrativ ist, dass ganze Strategien ringsherum erarbeitet und die nötigen Personen beschäftigt werden, die den ,Business Case‘ dann umsetzen.“
Die Ransomware-Welt könnte aus Sicht der Cyber-Kriminellen also nicht rosiger sein, doch es gebe auch Moll-Töne, und der aktuelle Report von Coveware deute den Grund dafür an: „In dem Report wurde ein massiver Rückgang der durchschnittlichen Lösegeldzahlungen festgestellt – etwas mehr als 136.000 US-Dollar, ein Rückgang um 38 Prozent gegenüber dem ersten Quartal dieses Jahres.“

Anzahl der Ransomware-Angriffe gestiegen

Dennoch sei der Prozentsatz der Ransomware-Angriffe gestiegen, bei denen die Gefahr bestehe, dass exfiltrierte Daten durchsickerten – „in diesem Quartal um fünf auf 81 Prozent“. Die Summe des erpressten Geldes werde also geringer, die Anzahl der Angriffe steige jedoch – und das rasant. Jedoch immer weniger Opfer wollten das Lösegeld zahlen: „Der IT-Hersteller Kaseya will kein Geld gezahlt haben und die Kreisverwaltung Anhalt-Bitterfeld weigert sich beharrlich und hat sogar die Bundeswehr eingeschaltet“, berichtet Wieringa.
Neben der Verweigerung einer Lösegeldzahlung, die auch die oben beschriebenen neuen Methoden der zwei-, drei- und vierfachen Erpressung rechtfertigen würde, könnte es aber auch andere Faktoren geben. Der Report von Coveware gebe an, dass es neue Ransomware-Varianten gebe, die andere verdrängt hätten. Das könne Insidern zufolge mit neuen Gruppen zusammenhängen, die weniger Lösegeld forderten als etablierte Gruppen.

Unternehmen jeder Größe werden nach wie vor Opfer von Ransomware

Nachdem zum Jahreswechsel die „Emotet“-Erpresser von den Strafverfolgungsbehörden festgesetzt wurden, scheine nun die Ransomware-Gruppe „REvil“ durch politisch-polizeilichen Druck verschwunden zu sein. Auch wenn es Spekulationen über den Verbleib der Betreiber gebe, „die von Urlaub über Gefängnis bis zu neuerlichen Aktivitäten unter dem Deckmantel einer neuen Ransomware reichen“, nehme die Strafverfolgung im Netz Fahrt auf. Ein weiterer Grund – „und hier schwingt viel Hoffnung mit“ – sei, dass Unternehmensleiter weltweit erkannt hätten, dass sie ihre Maßnahmen für mehr IT-Sicherheit und Informationssicherheit erhöhen müssten.
„Was auch immer der Grund für die gesunkenen Lösegeldzahlungen ist, die Coveware-Analyse zeigt, dass Unternehmen jeder Größe nach wie vor angegriffen werden und Opfer von Ransomware werden können“, unterstreicht Wieringa. Unternehmen sollten daher Maßnahmen ergreifen, um sich vor den drei primären Angriffsvektoren zu schützen. Häufigste Ansatzpunkte sollten Schwachstellen in Netzwerk und Software, Fernzugriff über RDP und Schutz gegen Phishing sein. „Dafür müssen Unternehmen ihre Mitarbeiter mit einem ,New School Security Awareness Training‘ schulen, damit diese nicht auf bösartige E-Mail-Inhalte hereinfallen“, empfiehlt Wieringa abschließend.

Weitere Informationen zum Thema:

COVEWARE, 23.07.2021
Q2 Ransom Payment Amounts Decline as Ransomware becomes a National Security Priority

datensicherheit.de, 26.08.2021
Ransomware Groups to Watch: Emerging Threats / Aktuelle Analyse von Palo Alto Networks zu Ransomware-Gruppen

datensicherheit.de, 24.08.2021
Sophos: Ransomware-Report 2021 mit Fakten, Auswirkungen und Trends / Unternehmen, öffentliche Einrichtungen und andere Organisationen weiterhin fest im Griff der Ransomware

datensicherheit.de, 14.08.2021
Accenture von LockBit-Ransomware-Angriff betroffen / LockBit-Ransomware seit September 2019 beobachtet

datensicherheit.de, 10.08.2021
Für Varonis steht Ransomware exemplarisch für Bedrohung der Datensicherheit / Varonis positioniert sich beim Schutz der Daten vor Ransomware, Exfiltration und anderen Attacken

[datensicherheit.de, 10.07.2021] „Nachdem die Aufräumarbeiten im Fall Kaseya andauern, nutzen Cyber-Kriminelle die Unsicherheit aus, um ihre Phishing-Aktivitäten darauf auszurichten das Probleme mit angeblichen Updates zu lösen“, warnt Jelle Wieringa, „Security Awareness Advocate“ bei KnowBe4, in einer ergänzenden Stellungnahme und erläutert: „Betreffzeilen, die zum Update von ,Kaseya VSA‘ auffordern und Links zu infizierten Webseiten mit bösartiger Malware enthalten, wurden bereits von einigen Security-Anbietern aufgefunden.“

Foto: KnowBe4

Jelle Wieringa: Phisher könnten Kaseya-Ankündigung ausnutzten, über Updates per E-Mail zu benachrichtigen

Security Awareness hilft, die wichtigsten Hinweise auf Phishing zu erkennen

Die Phisher nutzten aus, „dass das US-amerikanische IT-Unternehmen angekündigt hatte, über Updates per E-Mail zu benachrichtigen“. Die Verunsicherung führe zu manchem verirrtem Klick, so dass weitere Ransomware-Infektionen folgen dürften. Die Phishing-Kampagne dürfte weitergehen, „bis der Kaseya-Patch fertig und vollständig ausgerollt wurde“.
Bis dahin sollten Unternehmen besondere Vorsicht walten lassen und alle E-Mails im Zusammenhang mit dieser Thematik genau unter die Lupe nehmen. Hierzu helfe „Security Awareness“-Training, die wichtigsten Hinweise auf Phishing, beispielsweise beim Absender oder aber bei der Betreffzeile zu erkennen.

Ständig wird neuer Phishing-Betrug entwickelt

Schulungen im Bereich „Security Awareness“ könnten Mitarbeitern helfen, Phishing zu erkennen – „bevor sie darauf klicken“. Ständig werde neuer Phishing-Betrug entwickelt. Wieringa unterstreicht: „Je weniger Mitarbeiter darüber informiert sind, desto leichter fallen sie auf die Betreffzeilen herein.“
Deshalb sollten Trainings immer aktuelle Beispiele enthalten und anhand der „roten Flaggen“ aufzeigen, wie Phishing E-Mails von regulären E-Mails unterschieden werden könnten. Das Risiko auf eine solche E-Mail hereinzufallen, werde dadurch pro Mitarbeiter deutlich minimiert, wie nicht zuletzt der PPP, der „Phish Prone Percentage“ anzeige. Der PPP einer Phishing-Kampagne werde anhand der Anzahl der gesamten Fehlversuche (Klicks, Öffnen von Anhängen, Dateneingabe, Aktivieren von Makros für Anhänge, Antworten) geteilt durch die Gesamtzahl der in dieser Kampagne zugestellten E-Mails berechnet.

Trainings sollten echte – entschärfte – Phishing-Vorlagen verwenden

Wieringa erläutert: „Wenn beispielsweise 100 Personen E-Mails erhalten haben und 52 von ihnen auf einen Link in der E-Mail geklickt haben und acht dieser Benutzer auch Daten in die gefälschte ,Landing Page‘ eingegeben haben, würde der PPP für diese Kampagne 60 Prozent betragen.“
Trainings sollten außerdem echte Phishing-Vorlagen über eine Technologie wie „PhishRIP“ verwenden. Diese Plattform ermögliche es, echte Phishing-E-Mails zu nehmen und sie in eine Vorlage zu verwandeln. Dabei werde der gesamte gefährliche Inhalt entfernt und könne ohne negative Nebeneffekte verwendet werden. „Letztlich hat sich gezeigt, dass das ,Security Awareness‘-Training auf Basis von realen Beispielen effektiver ist, als wenn mit nachgebauten Vorlagen geschult wird“, berichtet Wieringa.

Weitere Informationen zum Thema:

datensicherheit.de, 08.07.2021
Social Engineering Scams: Warnung vor Zunahme und Tipps zur Abwehr / Bei drei Vierteln der erfolgreichen Social Engineering Scams verwenden Angreifer Informationen über das Opfer, um Glaubwürdigkeit vorzutäuschen

datensicherheit.de, 16.06.2021
Rückkehr aus dem Home-Office: Fax- und Scan-Phishing-Attacken nehmen zu / Untersuchung von Avanan zeigt auf, dass vermehrt Phishing-Versuche via Fax und Scan auftreten

datensicherheit.de, 15.03.2021
Phishing bleibt Hackers Liebling: Einem der ältesten Hacker-Tricks endlich einen Riegel vorschieben / Wenn Cyberkriminelle Zugang zu legitimen Anmeldedaten erhalten, kann dies für Unternehmen verheerende Folgen haben