Cisco Talos Report: Angriffe über Web-Shells neuer Top-Einfallsvektor im 1. Quartal 2023

Gestärkte Ransomware-Abwehr vereitelte größere Erfolge – z.B. von Vice Society
Die Bedrohung durch Ransomware ist weiterhin hoch. Auch wenn Cisco Talos in Q1 einen generellen Rückgang erfolgreicher  Erpressungsfälle beobachten konnte, bleiben Ransomware-Aktivitäten insgesamt hoch. Sogenannten „Pre-Ransomware“-Aktivitäten machten circa ein Fünftel aller Attacken aus, sodass in den nächsten Monaten wieder mit einem Anstieg der erfolgreichen Angriffe gerechnet werden kann. Viele der vorbereitenden Angriffsmaßnahmen konnte Cisco Talos  bekannten Ransomware-Gruppen wie Vice Society zuordnen. Nach Einschätzung der Forscher:innen hat das schnelle Eingreifen der Security-Teams der betroffenen Unternehmen dazu beigetragen, Angriffe einzudämmen, bevor die Verschlüsselung stattfinden konnte.

Im ersten Quartal 2023 war vor allem das Gesundheitswesen Ziel der Kriminellen, dicht gefolgt vom Einzelhandel, der Immobilienbranche und dem Gastgewerbe. 

OneNote-Dokumente als Angriffsvektor
Bereits im letzten Jahr war sogenannte „Commodity Malware“ auf dem Vormarsch. Sie ist weit verbreitet und kann gekauft oder kostenlos heruntergeladen werden. Commodity Malware ist in der Regel nicht angepasst und wird von Bedrohungsakteuren in verschiedenen Stadien ihrer Aktivitäten genutzt. Im ersten Quartal 2023 traten nun die bereits zuvor gesichteten Commodity Loader wie Qakbot wieder verstärkt in Erscheinung. Qakbot nutzte dabei häufig bösartige OneNote-Dokumente. Der Einsatz bösartiger OneNote-Anhänge konnte auch bei anderen Angriffsversuchen beobachtet werden. Bedrohungsakteure, so die Analyse von Talos, experimentieren also weiterhin mit Dateitypen, die nicht auf Makros angewiesen sind. Microsoft hatte im Juli 2022 damit begonnen, Makros in seinen Anwendungen standardmäßig zu deaktivieren. Auch andere Applikationen, die andere Dateien in sich führen und verwalten, sind betroffen.

Weitere Ergebnisse
Zu den weiteren Erkenntnissen im ersten Quartal 2023 gehören:

• Bei dreißig Prozent der beobachteten Angriffsfälle war die Multi-Faktor-Authentifizierung (MFA) entweder gar nicht oder nur für einige wenige Konten und kritische Dienste aktiviert.
• Aktuelle Erfolge der Strafverfolgungsbehörden zur Zerschlagung großer Ransomware-Banden (z.B. Hive) zeigen Wirkung. Allerdings schafft dies Raum für neue Familien oder die Bildung neuer Partnerschaften. So trat mit Daixin Ransomware in Q1/2023 eine neue Ransomware-as-a-Service (RaaS)-Familie in Erscheinung.
• Das Open-Source-Toolkit Mimikatz kam in diesem Quartal bei fast 60 Prozent der Ransomware- und Pre-Ransomware-Einsätze zum Einsatz. Mimikatz ist ein weit verbreitetes Post-Exploitation-Tool, mit dem Anmelde-IDs, Kennwörter und Authentifizierungs-Token von kompromittierten Windows-Systemen gestohlen werden.

Weitere Details zu den Erkenntnissen von Cisco Talos aus dem ersten Quartal 2023 gibt es in diesem Blogbeitrag (englisch)

Weiterführende Informationen:  

• Infografiken zur Studie
• One-Pager zu den Ergebnissen