Kryptomining-Malware verdrängt Ransomware

Ransomware-Attacken haben das Jahr 2017 geprägt und nun liegt Kryptomining-Malware im Trend. Die unterschiedlichen Angriffstechniken erfordern auch ein Umdenken in Sachen IT-Sicherheit und neue Schutzmaßnahmen. 

Die Erinnerungen an WannaCry und NotPetya schwinden so langsam, immerhin liegen diese beiden großen Ransomware-Angriffe nun schon ein Jahr zurück. Müssen wir klassische Ransomware überhaupt noch fürchten? Und wohin entwickeln sich die Angriffe der Cyberkriminellen?

Das Ende von Ransomware ist noch lange nicht gekommen. Dies zeigt sich schon daran, dass nach wie vor Malware-Angriffe mit den „alten“ Erpressungstrojanern erfolgen, so erst im März 2018 auf den US-Flugzeugbauer Boeing. Generell sind viele IT-Systeme auf Unternehmens- und Behördenseite immer noch nicht auf aktuellem Patch-Stand und damit durch alte und neue Schwachstellen auch leicht angreifbar. Für eine Entspannung in Sachen Ransomware besteht also definitiv kein Anlass. Allerdings zeigt sich, dass Ransomware zunehmend von Kryptomining als Nummer-1-Malware abgelöst wird. 

Derzeit scheint es so, als würden zumindest keine größeren Ransomware-Attacken mehr gestartet. Stattdessen entwickeln viele Hacker nun sog. Kryptominer. Was genau versteht man darunter und wie kam es überhaupt zu dieser Entwicklung?

2017 hat die Malware-Landschaft einen signifikanten Wandel vollzogen: weg von Monetarisierungstaktiken wie Ransomware und Kreditkartendiebstahl hin zu Kryptomining-Malware. Kryptomining-Malware nutzt ohne Wissen der Angegriffenen die Ressourcen, um Kryptomining zu betreiben. Mit anderen Worten: Sie bezahlen dafür, dass der Angreifer Kryptowährungen schürft. Der Schaden ist dabei nicht zu unterschätzen, da der Angreifer unter Umständen über lange Zeit große Teile der Infrastruktur nutzt, bevorzugt in Cloud-Umgebungen. 2018 wird sich dieser Trend fortsetzen, wie das Beispiel der in großem Stil genutzten Mining-Malware für die Kryptowährung Monero zeigt.

Die Möglichkeit, fremde Rechenpower für die Monetarisierung zu nutzen, ist eine neue Dimension in der Welt der Cyber-Kriminalität. Für Unternehmen ergeben sich dadurch zwei Kernprobleme. Zum einen ist Kryptomining-Malware in der Regel relativ einfach zu nutzen und damit auch für weniger erfahrene Angreifer attraktiv; mit einer stärkeren Verbreitung der Malware ist damit zu rechnen. Zum anderen agieren bösartige Kryptominer etwa im Unterschied zu Ransomware völlig unerkannt im Hintergrund und erschweren damit das Aufspüren erheblich.

Bei klassischer Ransomware war die Prävention noch recht simpel – man durfte nicht auf Phishing-Versuche hereinfallen.

Von einer einfachen Prävention würde ich nicht sprechen. Einerseits ist Phishing nur ein Startpunkt, den moderne Ransomware nutzt, und andererseits können Endanwender professionelle Phishing-Versuche auch nicht immer erkennen. Eine hundertprozentige Sicherheit und Erkennung bei der Ransomware-Bekämpfung gibt es nicht. Aber durch eine Kombination von Least-Privilege-Richtlinien und Applikationskontrolle auf Endgeräten und Servern sowie Best-Practice-Maßnahmen wie einem regelmäßigen Patchen kann zumindest verhindert werden, dass sich Malware wie NotPetya vom ursprünglichen Infektionspunkt weiter im Netzwerk ausbreitet und großen Schaden anrichtet.

Vorsicht ist die Mutter der Porzellankiste. Doch manchmal reicht das leider nicht aus. Wie würde es sich äußern, wenn ein Unternehmen Opfer eines Kryptominers wird? Woran erkennt die unternehmenseigene IT die Hacker? 

„Miners“ arbeiten an der Lösung komplexer mathematischer Aufgaben, um Einkommen in Form digitaler Währungen wie Bitcoin, Ethereum oder Monero zu generieren. Der Mining-Prozess erfordert deshalb erhebliche Hardware- und CPU-Ressourcen. Ein Performance-Rückgang kann deshalb ein Malware-Indiz sein, allerdings ist er nicht immer erkennbar. Deshalb müssen weitere technische Indikatoren für eine Systemkompromittierung identifiziert werden, etwa durch die Überwachung von Speicherzugriff, Netzwerk-Traffic oder Kommandozeilen bei aktiven Prozessen.

Vielen herzlichen Dank für die spannenden Einblicke, Herr Kleist!

Einen Überblick zu aktuellen Kryptominer-Trends, der Technologie hinter Monero und Indikatoren für Kryptomining-Malware gibt CyberArk auch in einem eigenen Whitepaper.