Ransomware-Angriff trifft Sublieferanten der Armee
Cyberkriminelle veröffentlichen Daten eines Schweizer Logistikspezialisten, darunter ein Ordner "Armasuisse". Laut Armee enthält dieser aber keine kritischen Daten.
Das sind die meistgenutzten Lücken für Ransomware-Angriffe
11. Juli 2024 um 10:47
Eine Analyse von Talos gibt Einblicke in die Methoden von Cyberkriminellen. Drei Schwachstellen werden besonders häufig attackiert.
Security-Experten von Cisco Talos haben eine neue Analyse zu Tactics, Techniques & Protocols (TTPs) von Ransomware-Banden veröffentlicht. Im letzten Jahr habe man grosse Veränderungen im Bereich Ransomware erlebt, schreiben die Forscher. Neue Gruppen seien entstanden, "die jeweils einzigartige Ziele, operative Strukturen und Opferverhalten aufweisen". In einem Artikel hat auch inside-it.ch kürzlich einige dieser neuen Banden wie Akira, Qilin oder Rhysida und ihr Vorgehen beleuchtet.
Die Analyse von Talos listet die verschiedenen Schritte auf, welche die Cyberkriminellen nutzen, um Ransomware einzusetzen. Immer mehr würden dabei Systeme auf Schwachstellen oder Fehlkonfigurationen gescannt, die es ermöglichen könnten, ein System erfolgreich zu kompromittieren.
Talos nennt drei Schwachstellen, die besonders häufig von Ransomware-Banden ausgenutzt werden:
- CVE-2020-1472 – auch bekannt als Zerologon, nutzt einen Fehler im Netlogon Remote Protocol von Microsoft (MS-NRPC) aus, der es Angreifern ermöglicht, die Authentifizierung zu umgehen und Passwörter im Active Directory eines Domaincontrollers zu ändern. Dieser Exploit wird häufig von Ransomware-Akteuren verwendet, da er ihnen ermöglicht, ohne Authentifizierung Zugriff auf ein Netzwerk zu erhalten.
- CVE-2018-13379 – eine Schwachstelle im Fortinet FortiOS SSL VPN, ermöglicht Path Traversal. Angreifer können durch das Senden speziell gestalteter HTTP-Pakete auf Systemdateien zuzugreifen. Auf diese Weise kann auf VPN-Sitzungstoken zugegriffen werden, die verwendet werden können, um nicht authentifizierten Zugriff auf das Netzwerk zu erhalten.
- CVE-2023-0669 – eine Goanywhere-MFT-Sicherheitslücke, ermöglicht es Angreifern, beliebigen Code auf einem Zielserver auszuführen, der die Goanywhere Managed File Transfer Software verwendet.
Alle drei Lücken sind schon lange, zum Teil seit Jahren, bekannt. Dass sie nach wie vor ausgenutzt werden, zeigt ein oft fehlendes Patch-Management bei Unternehmen und Organisationen auf. So empfiehlt denn auch Talos: "Wenden Sie Patches und Updates konsequent auf alle Systeme und Software an, um Schwachstellen umgehend zu beheben und das Risiko einer Ausnutzung zu verringern."
Loading
Pensionskasse Stadt Zürich untersucht Datenabfluss
Die PKZH hat Testdaten an PK Softech weitergegeben. Auch die Pensionskasse Post ist weiterhin mit der Untersuchung der Folgen des Cyberangriffs beschäftigt.
Republik gesteht Datenleck
Seit August hatten Unbekannte Zugriff auf alle Nutzerdaten des Online-Magazins. Kreditkarteninformationen seien aber nicht betroffen.
China steckt möglicherweise hinter Cyberattacke auf Beyond Gravity
Hinweise deuten zudem auf einen Abfluss von Daten hin. Die genaue Herkunft des Angriffs und das Ausmass des Vorfalls sind bislang nicht offiziell bestätigt.