Cyberkriminelle nutzen Advanced Malware, um in Netzwerke einzudringen und sich dort möglichst lange unentdeckt aufzuhalten. Ziel ist in der Regel Spionage und Datendiebstahl. Opfer sind diejenigen, bei denen es möglichst wertvolle Informationen zu holen gibt, beispielsweise Industrieunternehmen, die Finanzbranche oder Regierungsbehörden.
Advanced Malware, auch als Advanced Persistent Threats (APT) bezeichnet, sind Malware-Stämme, die mit erweiterten Funktionen für die Infektion, Kommunikation, Steuerung, Bewegung im Netzwerk oder Datenexfiltration- und Payload-Exekution ausgestattet sind. Dabei ist die Schadware darauf ausgelegt, möglichst unentdeckt und hartnäckig zu sein, und entgeht der Erkennung durch herkömmliche Antivirenlösungen. Aufgrund der ausgeklügelten Angriffsmöglichkeiten und der Geschwindigkeit, mit der Cyberkriminelle immer neue Malware-Versionen entwickeln, sind in den letzten Jahren die APT-Attacken deutlich gestiegen.
Das Vorgehen der Cyberkriminellen: Wie Advanced Malware funktioniert
Advanced Malware-Angriffe folgen in der Regel einer gemeinsamen Angriffsabfolge:
1. Planung
In dieser Phase wählen Cyberkriminelle ein Ziel aus und untersuchen dessen Infrastruktur, um festzustellen, wie die Malware eingeführt wird, welche Kommunikationsmethoden während des Angriffs verwendet und wie und wo Daten extrahiert werden sollen. Bei Advanced Malware-Attacken beinhaltet diese Phase typischerweise die Planung gezielter Social-Engineering-Angriffe.
2. Malware-Einführung
In diesem Stadium wird Malware zur Erstinfektion an die Opfer abgegeben. Dies geschieht häufig über Spear-Phishing-E-Mails mit infizierten Anhängen oder über Drive-by-Angriffe durch eine verseuchte Website.
3. Command and Control
Advanced Malware kommuniziert mit dem Angreifer, um ihm erkannte Informationen zu senden und zusätzliche Befehle von ihm zu erhalten. Die Schadware sendet Benutzer-, Netzwerk- und Maschineninformationen an den Hacker und erhält von ihm neue Anweisungen, welche Identitäten oder Maschinen als nächstes infiziert werden sollen, wie man die Ziele identifiziert sowie Anweisungen zur Datenexfiltration.
4. Ausweitung der Infizierung
Advanced Malware verfügt oft über robuste Selbstvermehrungsfunktionen, um Ziele schnell zu identifizieren und zu infizieren. Angreifer werden solange wie möglich das Netzwerk erforschen und Malware verbreiten, bis sie diejenigen Computer oder Systeme infizieren, die Zugriff auf wertvolle Daten haben.
5. Zielerkennung
Sobald der Angreifer Fuß gefasst und das Netzwerk erkundet hat, werden die Ziele für die Endphase der Malware-Ausbreitung identifiziert. In diesem Stadium wird die Malware auf Computer oder Systeme verbreitet, die die gewünschten Daten enthalten.
6. Exfiltration
Nun wird die Malware-Payload ausgeführt. Bei einem Angriff, der sich auf Datendiebstahl konzentriert, ist dies die Phase, in der gezielte Daten gesammelt und an einen vom Angreifer kontrollierten Ort übertragen werden. Advanced Malware verwendet Verschleierungstechniken, um diese Exfiltration sowie andere Aktivitäten zu verbergen, zum Beispiel die Verschlüsselung oder Komprimierung von Dateien mit Hilfe von Krypto- und Packer-Tools.
7. Rückzug
Nachdem ein Advanced Malware-Angriff abgeschlossen ist, zieht sich die Malware oft zurück und versteckt sich in einem Computernetzwerk oder zerstört sich selbst, je nach Zielorganisation und der Wahrscheinlichkeit einer Entdeckung durch Sicherheitssysteme.
Best Practices zum Schutz vor Advanced Malware-Angriffen
1. Kontext- und verhaltensbasierte Erkennung von Anomalien
Die von Advanced Malware eingesetzten Verschleierungstechniken machen viele traditionelle Sicherheitslösungen unwirksam, um Angriffe zu erkennen oder abzuwehren. Deshalb wenden sich Unternehmen Lösungen zu, die kontext- und verhaltensbasierte Erkennung einsetzen, um Malware anhand ihrer Aktivität, statt durch Signaturen zu identifizieren und zu stoppen. Um die Erkennung von Advanced Malware-Angriffen zu verbessern, sollten IT-Teams auf erhöhte Bedrohungsaktivitäten oder anderes anomales Verhalten in Systemen achten. Sie sollten zudem Endpunkte auf Warnzeichen für einen Advanced Malware-Angriff überwachen, einschließlich Netzwerkerkundung, verdächtige Dateiübertragungen und Kommunikation mit verdächtigen Befehls- und Steuerservern.
2. Sandboxing
Advanced Threat Detection-Lösungen bieten Sandboxing und die Überwachung zur Erkennung von Advanced Malware-Angriffen. Sandboxing ermöglicht es, die verdächtige Datei in einer isolierten Umgebung auszuführen und zu beobachten, bevor sie im Netzwerk zugelassen wird. Dies ermöglicht eine Entdeckung der Malware, bevor sie die Systeme infiltrieren und Schäden verursachen kann.
3. Kontrolle aller Infiltrations- und Exfiltrationspunkte
Advanced Malware-Präventions- und Schutzmaßnahmen sollten sich auf die Sicherung von Bedrohungsvektoren – sowohl Infiltrations- als auch Exfiltrationspunkte – konzentrieren, um das Potenzial für Infektionen und Datendiebstahl zu minimieren. Die Anwendung von Kontrollen auf Vektoren wie E-Mail, Internetverbindungen, Dateitransfer und USB bietet Schutz vor Advanced Malware-Infektionen für Angriffe im Frühstadium sowie die Datenexfiltration im Falle einer erfolgreichen Advanced Malware-Infektion.
4. Verschlüsselung sensibler Daten
Alle sensiblen Datenbestände sollten verschlüsselt sein und alle Schlüssel als letzte Verteidigungslinie sicher gespeichert werden. Dies trägt dazu bei, dass der Schaden so gering wie möglich bleibt, auch wenn das Netzwerk infiltriert wird und das Ereignis nicht erkannt wird.
5. Sicherheitsschulungen
Schließlich ist es angesichts der immer ausgefeilteren Social Engineering-Angriffe auch wichtig, den Mitarbeitern umfassende und kontinuierliche Cybersicherheitsschulungen zu bieten. Phishing-Angriffe sind eine beliebte Methode für Advanced Malware-Angriffe, weshalb es wichtig ist, dass die Mitarbeiter mit den Taktiken der Cyberkriminellen vertraut sind.
Die Bedrohung durch Advanced Malware wird auch zukünftig weiter steigen. Um sensible Daten wie Geschäftsgeheimnisse, geistiges Eigentum, Finanz- und Kundendaten zu schützen, benötigen Unternehmen deshalb einen mehrschichten Security-Ansatz aus Mitarbeitertrainings und Technologien. Advanced Threat Detection-Tools sowie Sicherheitslösungen, die Data Loss Prevention (DLP), Endpoint Detection and Response (EDR) und die Überwachung von Anomalien im Nutzer- und Entitätsverhalten auf Basis von Machine Learning gewährleisten, können das Risiko von Datenexfiltration und Spionage durch Advanced Malware-Angriffe erheblich reduzieren.
Christoph M. Kumpa, Director DACH & EE bei Digital Guardian
