Erkennen von Ransomware: Das Gleiche wie das Erkennen jeglicher Art von Malware?

Ransomware trat mit aufsehenerregenden Angriffen gegen Krankenhäuser, Anwaltskanzleien und andere Organisationen auf den Plan. Was ist das und wie kann man es erkennen?

Ransomware verwendet zunächst dieselben Methoden, um einen Endpunkt zu infizieren, z. B. Drive-by-Downloads, Phishing-E-Mails usw. Anschließend generiert sie die erforderlichen Verschlüsselungsschlüssel, kommuniziert mit Befehls- und Kontrollservern und macht sich an die Arbeit, jede Datei auf dem gefährdeten Endpunkt zu verschlüsseln. Sobald dies erledigt ist, zeigt es die Lösegeldforderung an und wartet darauf, dass der Benutzer einen von den Kriminellen erworbenen Freischaltcode eingibt. In der Anfangsphase eines Angriffs ist der Versuch, Ransomware zu erkennen, wie bei jeder anderen endpunktbasierten Malware. Sie suchen nach neuen EXE- und DLL-Dateien sowie anderen ausführbaren inhaltsähnlichen Skripten. Schauen Sie sich für diese Erkennungsstufe meine früheren Webinare mit EventTracker an:

• 6 Schritte, um festzustellen, ob ein unbekanntes Programm sicher oder bösartig ist
• 5 Anzeichen von Unheil auf Windows-Hosts, die Endpoint Threat Detection and Response nutzen

Da Kriminelle beginnen, von Verbraucherangriffen auf das Unternehmen überzugehen, werden wir mehr Querbewegungen zwischen Systemen erleben, wenn die Angreifer versuchen, entweder genügend Endpunkte zu verschlüsseln oder sich über das Netzwerk zu einem oder mehreren kritischen Servern vorzuarbeiten. In beiden Fällen werden ihre Angriffe etwas länger dauern, bis sie den Abzug betätigen und die Lösegeldforderung anzeigen, da sie genügend Endbenutzer-Endpunkte oder mindestens einen kritischen Server verschlüsseln müssen, um das Unternehmen in die Knie zu zwingen. Diese Angriffe ähneln allmählich einem Angriff auf dauerhaften Datendiebstahl (auch bekannt als APT).

Um seitliche Bewegungen zu erkennen, muss auf ungewöhnliche Verbindungen zwischen Systemen geachtet werden, die normalerweise nicht miteinander kommunizieren. Sie sollten auch auf Benutzerkonten achten, die versuchen, sich bei Systemen anzumelden, auf die sie normalerweise nie zugreifen. Pass-the-Hash-Indikatoren stehen in engem Zusammenhang mit der späteren Bewegung und sind eines der Dinge, die in „Erkennung des Gegners mit Windows-Ereignisprotokollüberwachung: Eine Analyse der NSA-Anleitung“ besprochen werden.

Ein Großteil der Überwachung auf Ransomware wird durch die Überwachung auf jede Art von Malware sowie auf anhaltende Datendiebstahlangriffe abgedeckt. Aber was ist bei Ransomware anders?

1. Detonation: Die tatsächliche Detonation von Ransomware (Dateiverschlüsselung) ist ein sehr lautes und helles Signal. Es gibt keine Möglichkeit, es zu verpassen, wenn Sie zuschauen.
2. Geschwindigkeit: Ransomware-Angriffe auf Unternehmen können potenziell viel schneller ablaufen als Datendiebstahl-Angriffe.

Detonation

Wenn Ransomware mit der Verschlüsselung von Dateien beginnt, wird sie eine enorme Menge an Datei-E/A-Vorgängen generieren - sowohl beim Lesen als auch beim Schreiben. Es muss jede Datei lesen und jede Datei in verschlüsseltem Format zurückschreiben. Die Schreibaktivität kann für dieselbe Datei erfolgen, wenn sie direkt erneut geschrieben wird. Die Ransomware kann die Originaldatei löschen, nachdem sie eine verschlüsselte Kopie geschrieben hat. Wenn Sie außerdem beobachten, welche Dateien die Ransomware öffnet, werden Sie sehen, dass jede Datei in jedem Ordner nacheinander geöffnet wird, um zumindest Lesezugriff zu erhalten. Sie werden auch sehen, dass die Leseaktivität in Bytes mit der Schreibaktivität übereinstimmen sollte.

Natürlich gibt es Möglichkeiten, wie Ransomware diese Aktivität verschleiern könnte, indem sie entweder langsamer vorgeht und Dateien über viele Tage hinweg verschlüsselt oder indem sie den Dateizugriff auf viele verschiedene Ordner verteilt, anstatt einem geordneten Prozess aller Dateien in einem Ordner nach dem anderen zu folgen. Aber ich denke, es wird noch lange dauern, bis genügend Angriffe durch solche Erkennungstechniken vereitelt werden, dass die Angreifer diesen zusätzlichen Aufwand betreiben.

Wie anfällig für Fehlalarme ist diese Taktik? Welche anderen legitimen Anwendungen haben eine ähnliche Datei-E/A-Signatur? Sicherungs- und Indizierungsprogramme hätten eine nahezu identische Datei-Lese--Signatur, aber nicht die gleiche Menge an Schreibaktivitäten.

Der Nachteil der Ransomware-Detonation-Überwachung besteht darin, dass die Erkennung bedeutet, dass ein Ransomware-Angriff bereits im Gange ist. Dies ist eine späte Benachrichtigung.

Geschwindigkeit

Ransomware-Angriffe auf ein Unternehmen können viel schneller vonstatten gehen als andauernde Datendiebstahl-Angriffe, da Datendiebe nicht nur vertrauliche, sondern auch weiterverkaufbare oder anderweitig für den Angreifer wertvolle Daten finden und darauf zugreifen müssen. Das kann Monate dauern. Andererseits müssen Ransomware-Kriminelle lediglich einen der folgenden Schritte ausführen:

1. Sperren Sie mindestens einen kritischen Server - ohne den die Organisation nicht funktionieren kann. Der Server benötigt nicht unbedingt vertrauliche Daten und muss auch nicht weiterverkaufbar sein. In einem typischen Netzwerk gibt es viel mehr solcher kritischen Server als Server mit Daten, die für den Bösewicht wertvoll sind, um sie weiterzuverkaufen oder anderweitig auszunutzen.
2. Vergessen Sie Server und verbreiten Sie es einfach auf so viele Endbenutzer-Endpunkte wie möglich. Wenn Sie genügend Endpunkte verschlüsseln und sie unbrauchbar machen, können Sie die Organisation freikaufen, ohne die Server zu gefährden. Endpunkte sind in der Regel viel leichter zu kompromittieren, da sie unter anderem vertraulichen Inhalten ausgesetzt sind und nicht vertrauenswürdige Inhalte sowie deren Nutzung durch weniger sicherheitsbewusste Endbenutzer verarbeiten.

Wenn Sie also Ihre Ransomware-Überwachung verstärken, müssen Sie mit dem fortfahren, was Sie (hoffentlich) bereits tun: Ihr Netzwerk auf Anzeichen für jede Art von Malware überwachen und auf Anzeichen einer seitlichen Bewegung zwischen Systemen achten. Aber bei Ransomware können Sie möglicherweise auch Ransomware-Angriffe im Spätstadium erkennen, indem Sie auf Signaturdatei-E/A durch ungewöhnliche Prozesse achten. Sie müssen also schnell reagieren.

Und darin unterscheidet sich Ransomware auch von Datendiebstahl-Angriffen: das Bedürfnis nach Geschwindigkeit. Ransomware-Angriffe können möglicherweise viel schneller zum Erfolg führen, als Datendiebe stehlenswerter Daten finden, sich Zugang verschaffen und herausfiltern können. Auch wenn die Anzeichen einer Kompromittierung bei den meisten Ransomware-Angriffen oder anhaltenden Datendiebstahl-Angriffen gleich sein mögen, ist es bei Ransomware noch wichtiger, die Reaktionszeit zu verkürzen.