Wirtschaftskrise 2019+ und eure Berichte

Ausmaß und Details des massiven Kaseya Ransomware-Angriffs werden bekannt
Frank Bajak - Associated Press - Sun Jul 4, 10:10PM CDT
DATEI - Dieses Dateifoto vom 23. Februar 2019 zeigt das Innere eines Computers in Jersey City, N.J. Cybersecurity-Teams arbeiteten am Sonntag, den 4. Juli 2021, fieberhaft daran, die Auswirkungen des weltweit größten Ransomware-Angriffs in den Akten einzudämmen, wobei einige Details darüber auftauchten, wie die mit Russland verbundene Bande, die dafür verantwortlich ist, in das Unternehmen eindrang, dessen Software die Leitung war. Eine Tochtergesellschaft der berüchtigten REvil-Bande infizierte am Freitag Tausende von Opfern in mindestens 17 Ländern, größtenteils über Firmen, die IT-Infrastrukturen für mehrere Kunden aus der Ferne verwalten, so Cybersecurity-Forscher. (AP Photo/Jenny Kane, File)
BOSTON (AP) - Cybersecurity-Teams arbeiteten am Sonntag fieberhaft daran, die Auswirkungen des größten Ransomware-Angriffs aller Zeiten einzudämmen. Dabei wurden einige Details bekannt, wie die mit Russland verbundene Bande in das Unternehmen eindrang, dessen Software die Verbindung herstellte.

Eine Tochtergesellschaft der berüchtigten REvil-Bande, die vor allem für die Erpressung von 11 Millionen Dollar von dem Fleischverarbeiter JBS nach einem Angriff am Memorial Day bekannt ist, infizierte am Freitag Tausende von Opfern in mindestens 17 Ländern, größtenteils über Firmen, die IT-Infrastrukturen für mehrere Kunden aus der Ferne verwalten, so Cybersecurity-Forscher.

REvil forderte Lösegeld in Höhe von bis zu 5 Millionen Dollar, so die Forscher. Aber am späten Sonntag bot es in einem Posting auf seiner Dark-Web-Site einen universellen Entschlüsselungs-Software-Schlüssel an, der alle betroffenen Maschinen im Austausch für 70 Millionen Dollar in Kryptowährung entschlüsseln würde.

Zuvor hatte das FBI in einer Erklärung erklärt, dass es den Angriff zwar untersuche, aber aufgrund seines Ausmaßes "möglicherweise nicht in der Lage ist, auf jedes einzelne Opfer einzugehen." Die stellvertretende nationale Sicherheitsberaterin Anne Neuberger gab später eine Erklärung ab, in der sie sagte, dass Präsident Joe Biden "die gesamten Ressourcen der Regierung angewiesen hat, diesen Vorfall zu untersuchen" und forderte alle, die glaubten, dass sie kompromittiert wurden, auf, das FBI zu alarmieren.

Biden schlug Samstag die USA reagieren würde, wenn es festgestellt wurde, dass der Kreml überhaupt beteiligt ist.

Vor weniger als einem Monat drängte Biden den russischen Präsidenten Wladimir Putin, REvil und anderen Ransomware-Banden, deren unablässige erpresserische Angriffe die USA als Bedrohung der nationalen Sicherheit ansehen, keinen sicheren Hafen mehr zu bieten.

Ein breites Spektrum an Unternehmen und öffentlichen Einrichtungen war von der jüngsten Attacke betroffen, offenbar auf allen Kontinenten, unter anderem in den Bereichen Finanzdienstleistungen, Reisen und Freizeit sowie im öffentlichen Sektor - allerdings nur wenige Großunternehmen, berichtet die Cybersicherheitsfirma Sophos. Ransomware-Kriminelle infiltrieren Netzwerke und säen Malware, die sie lahmlegt, indem sie alle Daten verschlüsselt. Die Opfer erhalten einen Decoder-Schlüssel, wenn sie zahlen.

Die schwedische Lebensmittelkette Coop teilte mit, dass die meisten ihrer 800 Filialen am Sonntag einen zweiten Tag geschlossen bleiben würden, weil ihr Kassensoftware-Lieferant lahmgelegt wurde. Eine schwedische Apothekenkette, eine Tankstellenkette, die staatliche Eisenbahn und der öffentlich-rechtliche Sender SVT waren ebenfalls betroffen.

In Deutschland teilte ein ungenannter IT-Dienstleister den Behörden mit, dass mehrere tausend seiner Kunden kompromittiert worden seien, berichtete die Nachrichtenagentur dpa. Unter den gemeldeten Opfern waren auch zwei große niederländische IT-Dienstleistungsunternehmen - VelzArt und Hoppenbrouwer Techniek. Die meisten Ransomware-Opfer berichten nicht öffentlich über Angriffe oder geben bekannt, ob sie Lösegeld gezahlt haben.

Fred Voccola, CEO des betroffenen Softwareunternehmens Kaseya, schätzt die Zahl der Opfer auf wenige Tausend, meist kleine Unternehmen wie "Zahnarztpraxen, Architekturbüros, Zentren für plastische Chirurgie, Bibliotheken und dergleichen".

Voccola sagte in einem Interview, dass nur zwischen 50-60 der 37.000 Kunden des Unternehmens kompromittiert wurden. Aber 70% waren Managed Service Provider, die die gehackte VSA-Software des Unternehmens zur Verwaltung mehrerer Kunden nutzen. Sie automatisiert die Installation von Software und Sicherheitsupdates und verwaltet Backups und andere wichtige Aufgaben.

Experten sagen, dass es kein Zufall war, dass REvil den Angriff zu Beginn des Feiertagswochenendes am 4. Juli startete, da sie wussten, dass die US-Büros mit wenig Personal besetzt sein würden. Viele Opfer werden möglicherweise erst davon erfahren, wenn sie am Montag wieder bei der Arbeit sind. Die meisten Endbenutzer von Managed Service Providern "haben keine Ahnung", wessen Software ihre Netzwerke am Laufen hält, sagte Voccola,

Kaseya sagte, dass es am Samstagabend ein Erkennungstool an fast 900 Kunden geschickt hat.

Das Angebot von REvil, allen Opfern des Kaseya-Angriffs im Tausch gegen 70 Millionen Dollar eine flächendeckende Entschlüsselung anzubieten, deutet auf die Unfähigkeit des Unternehmens hin, mit der schieren Menge an infizierten Netzwerken fertig zu werden, sagte Allan Liska, Analyst bei der Cybersicherheitsfirma Recorded Future. Obwohl Analysten berichteten, dass sie Forderungen von 5 Millionen Dollar und 500.000 Dollar für größere Ziele gesehen haben, verlangte sie offenbar 45.000 Dollar für die meisten.

"Dieser Angriff ist viel größer, als sie erwartet haben, und er erregt viel Aufmerksamkeit. Es ist im Interesse von REvil, ihn schnell zu beenden", sagte Liska. "Das ist ein Alptraum, den man managen muss."

Der Analyst Brett Callow von Emsisoft vermutet, dass REvil darauf hofft, dass die Versicherer die Zahlen durchrechnen und feststellen, dass die 70 Millionen Dollar für sie billiger sind als eine längere Ausfallzeit.

Ausgefeilte Ransomware-Banden auf dem Niveau von REvil untersuchen in der Regel die Finanzdaten eines Opfers - und Versicherungspolicen, wenn sie diese finden können - anhand von Dateien, die sie stehlen, bevor sie die Ransomware aktivieren. Die Kriminellen drohen dann damit, die gestohlenen Daten online zu stellen, wenn sie nicht bezahlt werden. Bei diesem Angriff scheint das nicht passiert zu sein.

Die holländischen Forscher gaben an, dass sie das in Miami ansässige Unternehmen Kaseya über den Einbruch informiert haben und dass die Kriminellen einen "Zero Day" ausgenutzt haben, den Fachbegriff für eine bisher unbekannte Sicherheitslücke in Software. Voccola wollte dies nicht bestätigen und auch keine Details des Einbruchs nennen - außer, dass es sich nicht um Phishing handelte.

"Der Grad der Raffinesse hier war außergewöhnlich", sagte er.

Voccola ist zuversichtlich, dass die Untersuchungen der Cybersecurity-Firma Mandiant zeigen werden, dass die Kriminellen beim Einbruch in sein Netzwerk nicht nur den Kaseya-Code verletzten, sondern auch Schwachstellen in Software von Drittanbietern ausnutzten.

Es war nicht der erste Ransomware-Angriff, der Managed-Services-Anbieter ausnutzte. Im Jahr 2019 legten Kriminelle über einen solchen die Netzwerke von 22 texanischen Gemeinden lahm. Im selben Jahr wurden 400 US-Zahnarztpraxen durch einen separaten Angriff lahmgelegt.

Einer der niederländischen Schwachstellenforscher, Victor Gevers, sagte, sein Team sei besorgt über Produkte wie Kaseyas VSA wegen der totalen Kontrolle über riesige Computerressourcen, die sie bieten können. "Immer mehr der Produkte, die verwendet werden, um Netzwerke sicher zu halten, zeigen strukturelle Schwächen", schrieb er am Sonntag in einem Blog.

Die Cybersicherheitsfirma ESET identifizierte Opfer in mindestens 17 Ländern, darunter Großbritannien, Südafrika, Kanada, Argentinien, Mexiko, Indonesien, Neuseeland und Kenia.

Kaseya sagt, dass der Angriff nur "On-Premise"-Kunden betraf, also Unternehmen, die ihre eigenen Rechenzentren betreiben, im Gegensatz zu seinen Cloud-basierten Diensten, auf denen Software für Kunden läuft. Als Vorsichtsmaßnahme hat Kaseya jedoch auch diese Server heruntergefahren.

Kaseya, das seine Kunden am Freitag aufforderte, ihre VSA-Server sofort herunterzufahren, sagte am Sonntag, dass es hofft, in den nächsten Tagen einen Patch zu haben.

REvil ist seit April 2019 aktiv und bietet Ransomware-as-a-Service an, das heißt, es entwickelt die netzwerkparalysierende Software und vermietet sie an sogenannte Affiliates, die Ziele infizieren und den Löwenanteil des Lösegelds verdienen. US-Beamte sagen, dass die mächtigsten Ransomware-Banden in Russland und verbündeten Staaten ansässig sind und mit Duldung des Kremls operieren und manchmal mit russischen Sicherheitsdiensten zusammenarbeiten.

Der Cybersecurity-Experte Dmitri Alperovitch von der Denkfabrik Silverado Policy Accelerator sagte, er glaube zwar nicht, dass der Kaseya-Angriff vom Kreml gesteuert sei, aber er zeige, dass Putin sich "noch nicht bewegt" habe, um Cyberkriminelle auszuschalten.