Startseite > Security > Sophos: Wenn die eigene Sicherheit nicht ausreicht

Cyberangriffe auf Lieferketten

Sophos: Wenn die eigene Sicherheit nicht ausreicht

21. März 2024, 12:00 Uhr | Jörg Schröper

Partnerschaften, Dienstleistungen, Kundenbeziehungen – niemand agiert autark. Verträge, Compliance und Gesetze regeln die Zusammenarbeit. Doch wie steht es um Sicherheitskriterien? Cyberangriffe auf Lieferketten treffen besonders KMUs, wie ein aktueller Threat-Report von Sophos zeigt.

Im Sophos-Threat-Report: „Cybercrime on Main Street“ berichten die Security-Experten, dass das Sophos-MDR-Team im Jahr 2023 vermehrt auf Fälle reagierte, in denen Unternehmen über die sogenannte Supply Chain, also die Lieferkette im Business und in der IT-Infrastruktur, attackiert wurden. In mehreren Fällen lagen die Schwachstellen in der Remote-Monitoring- und Management-Software (RMM) eines Dienstanbieters. Die Angreifer nutzen dafür den RMM-Agenten, der auf den Rechnern des anvisierten Opfers lief, um neue administrative Konten in dem angegriffenen Netzwerk zu erstellen und setzten dann kommerzielle Tools für Remote-Desktop, Netzwerkerkundung und Software-Einrichtung ein. Im Folgenden installierten sie erfolgreich die LockBit Ransomware.

Für KMUs ist es oft schon nicht leicht, die eigene Cybersicherheit aus wirtschaftlicher Perspektive und personell zu bewerkstelligen. Ist dies einmal geschafft, bleiben externe Risiken bestehen. Angriffe, die vertrauenswürdige Software ausnutzen und die Option der Endpoint-Schutz-Deaktivierung geben, sind besonders perfide und gern im kriminellen Einsatz. Dann heißt es: Man muss besonders sorgfältig und aufmerksam auf Warnungen der Systeme dazu achten, dass der Endpoint-Schutz manipuliert oder deaktiviert wurde!

Der Threat-Report dokumentiert für das vergangene Jahr neben RMM-Software eine Reihe von Fällen, in denen Angreifer anfällige Kernel-Treiber von älterer Software nutzten, die noch über gültige digitale Signaturen verfügten. Zudem registrierten die Experten immer wieder Einsätze von speziell erstellter Software, die betrügerisch erlangte digitale Signaturen verwendete – einschließlich bösartiger Kernel-Treiber, die über das Windows-Hardware-Compatibility-Publisher-Programm (WHCP) von Microsoft digital signiert wurden – um die Erkennung durch Sicherheitstools zu umgehen und Code auszuführen, der den Malware-Schutz deaktiviert.

Da Kernel-Treiber auf einer sehr niedrigen Ebene innerhalb des Betriebssystems arbeiten und normalerweise vor anderer Software beim Starten des PCs geladen werden, heißt dies: Sie werden in vielen Fällen ausgeführt, bevor die Sicherheitssoftware überhaupt starten kann. Die digitalen Signaturen fungieren gewissermaßen als Eintrittskarte. In allen Windows-Versionen seit Windows 10 Version 1607 müssen Kernel-Treiber eine gültige digitale Signatur haben, sonst werden sie von Windows-Betriebssystemen mit aktiviertem Secure Boot nicht geladen.

Nachdem Sophos Microsoft über die Entdeckung der schädlichen Kernel-Treiber im Dezember 2022 informiert hatte und Microsoft einen Sicherheitshinweis herausgab, widerrief das Unternehmen im Juli 2023 eine Reihe von Zertifikaten bösartiger Treiber, die über WHCP bezogen wurden.

Treiber müssen allerdings nicht zwangsläufig bösartig sein, um ausgenutzt zu werden. Die Sophos Security-Spezialisten haben mehrere Fälle gesehen, in denen Treiber und andere Bibliotheken aus älteren und sogar aktuellen Versionen von Softwareprodukten von Angreifern genutzt wurden, um Malware in den Systemspeicher einzuschleusen.

Ebenso waren Microsoft-eigene Treiber bei Angriffen im Einsatz. Eine anfällige Version eines Treibers für das Microsoft-Dienstprogramm Process Explorer wurde mehrfach von Ransomware-Betreibern verwendet, um Endpunktschutzprodukte zu deaktivieren. Im April 2023 berichtete Sophos über ein Tool namens „AuKill", das diesen Treiber in mehreren Angriffen verwendete, um die Ransomware Medusa Locker und LockBit zu installieren.

Manchmal gelingt es, anfällige Treiber zu identifizieren, bevor sie ausgenutzt werden können. Im Juli wurden die Verhaltensregeln von Sophos durch die Aktivität eines Treibers für ein Sicherheitsprodukt eines anderen Unternehmens ausgelöst. Der Alarm wurde durch einen kundeneigene Angriffssimulationstest ausgelöst. Die Untersuchung des Vorfalls deckte drei Schwachstellen auf, die an den Softwarehersteller gemeldet und daraufhin gepatcht wurden.

Kleiner und mittlere Betriebe sind genauso Cyberbedrohungen ausgesetzt wie weltweit agierende Unternehmen und Konzerne, verfügen jedoch nicht über die finanziellen und personellen Mittel wie diese. Sie können sich aber wappnen durch:

Konsequente Schulungen der Mitarbeiter,
Nutzung von Multi-Faktor-Authentifizierung auf allen nach außen gerichteten Anlagen,
konstante Server-und Netzwerkhygiene (regelmäßiges Patchen und Updaten),
Migration schwer zu verwaltender Ressourcen wie Microsoft Exchange-Server auf SaaS-E-Mail-Plattformen sowie
regelmäßige Schwachstellenbewertungen und Penetrationstests.