Tag Archives: Consulting

Einfache und sichere Backups mit Strato HiDrive und Iperius Backup/Duplicati – Teil 1

Mit schöner Regelmäßigkeit werde ich von Kunden auf das Thema Backup angesprochen, meist in Zusammenhang mit Ransomware. Wer einmal erlebt hat, wie Ransomware innerhalb kurzer Zeit wichtige Daten verschlüsselt und dann feststellen muss, dass sein Backup bzw. die Rücksicherung nicht funktioniert, wird mit mit Sicherheit kein zweites Mal vor dieser sehr unangenehmen (und bei KMUs vielleicht sogar existenzbedrohenden!) Situation stehen wollen. Ich möchte mich an dieser Stelle primär dem Thema Cloud Backup widmen, weil es dazu einige wichtige Aspekte zu beachten gilt – einfach nur drauslossichern sollte man weder als Privatanwender noch als Unternehmen. Da sich Strato HiDrive als Online-Speicher nach meinen Erfahrungen als sehr zuverlässig herausgestellt hat, spreche ich unseren Kunden auch eine klare Empfehlung dafür aus; auf die Gründe dafür gehe ich noch näher ein.

Last but not least möchte ich mit diesem Artikel hauptsächlich KMUs (Kleine und mittlere Unternehmen) sowie Privatanwender im Home-Bereich ansprechen, da es in diesen Bereichen oftmals an funktionierenden und praxiserprobten Backupkonzepten mangelt oder diese im schlimmsten Fall gar nicht vorhanden sind. Größere Unternehmen verfügen üblicherweise über eine dedizierte Backup-Infrastruktur mit entsprechender Soft- und Hardware (Tape Libraries o.ä.) für den Einsatz im Enterprise-Bereich.

Rechtliche Aspekte beim Cloud Backup mit Strato HiDrive

Ich möchte an dieser Stelle gleich vorweg nehmen, dass ich nicht in allen Punkten ein großer Verfechter von Cloud-Strategien bin. Es gibt mit Sicherheit Situationen bzw. Anwendungsbereiche, in denen eine Datenspeicherung in der Cloud Sinn macht, aber genauso wenig sinnvoll ist es, krampfhaft die komplette IT-Infrastruktur in die Cloud auslagern zu wollen. Das ist aber ein anderes Thema, deshalb werde ich das an dieser Stelle auch nicht weiter vertiefen.

Sinn macht auf jeden Fall das Thema Cloud Backup, allerdings nur unter folgenden Rahmenbedingungen:

  • Zu sichernde Daten müssen sicher verschlüsselt sein, bevor sie in die Cloud gelangen
  • Die Verschlüsselung sollte auf als sicher geltenden Standards wie AES basieren, obskuren selbstprogrammierten Algorithmen in Backup-Software sollte man besser aus dem Weg gehen
  • Sowohl Unternehmensdaten als auch private Datenbestände wie Urlaubsbilder, Dokumente, Mailarchive usw. sollten unbedingt bei einem Cloud Provider gespeichert werden, der seinen Unternehmenssitz in Deutschland hat und – noch wichtiger – seine Rechenzentren ausschließlich in Deutschland betreibt, denn dann kommt das strenge deutsche Datenschutzgesetz zur Anwendung
  • Wer seine Daten bei einem ausländischen Anbieter oder in einem Rechenzentrum im Ausland speichert, muss damit rechnen, dass ausländische Nachrichtendienste wie die NSA auf diese Daten zugreifen können. Es ist ein offenes Geheimnis, dass speziell amerikanische Nachrichtendienste sich nicht an bestehende Gesetze halten, sondern sich einfach darüber hinweg setzen
  • Nach Möglichkeit TÜV-Zertifizierung nach ISO 27001

Technische Aspekte beim Cloud Backup mit Strato HiDrive

Neben den rechtlichen Aspekten gibt es auch noch technische, die nicht ganz unwichtig sind. An erster Stelle stehen hier die unterstützten Protokolle, die für Cloud Backups verwendet werden können. Grundsätzlich gilt hier: Je mehr, desto besser, und hier kann Strato HiDrive ganz klar punkten. Obwohl der Protokollstack nur optional gegen Aufpreis erhältlich ist, sollte diese Option unbedingt hinzu gebucht werden. Der Grund dafür liegt auf der Hand: Je mehr Endgeräte gesichert werden sollen, desto größer ist die Vielzahl der Protokolle, die unterstützt werden müssen. Im Strato HiDrive-Protokollpaket sind folgende Zugriffsmöglichkeiten enthalten:

  • FTP
  • FTPS
  • WebDav
  • SFTP
  • rsync (auch SSH-verschlüsselt)
  • SMB/CIFS
  • GIT-Versionsmanagement

Ohne das optionale Protokollpaket ist nur der Zugriff über die Weboberfläche sowie die von Strato bereitgestellte Windows-Software zur Synchronisierung von Daten möglich, was vielleicht noch für den Privatanwender brauchbar, aber spätestens im Unternehmenseinsatz unzureichend ist. Hinzu kommt, dass automatisierte Backups damit ebenfalls nicht möglich sind, sondern immer von Hand angestoßen werden müssen. Als Workaround kann man beispielsweise auf ein NAS im lokalen Netzwerk sichern und die Daten von dort über das Webinterface in die Cloud kopieren, doch komfortabel ist was anderes.

Selbstverständlich muss auch die verwendete Backup-Software in der Lage sein, Cloud Backups zu erstellen und das Protokollpaket von Strato HiDrive zu unterstützen. Zu einem vernünftigen Backup-Konzept gehört u.a. auch die Frage nach Art und Umfang der zu sichernden Daten sowie Endgeräte, die unterstützt werden müssen. Ich konzentriere mich an dieser Stelle auf Clients mit Windows-Betriebssystem und werde in zweiten Teil dieses Beitrags zwei Backup-Lösungen für Windows vorstellen, die sich in der Praxis hervorragend bewährt haben.

DoubleAgent: 0-day code injection unter Ausnutzung eines 15 Jahre alten undokumentierten Windows Features

Als Security Analyst kommt man nicht umhin, regelmäßig seine Quellen anzuzapfen, um auf dem laufenden zu bleiben, was neue Bedrohungen angeht. Diese hier hatte heute sofort meine ungeteilte Aufmerksamkeit, denn was sich hinter DoubleAgent verbirgt, ist eine knallharte Sicherheitslücke in jeder Windows-Version, die zumindest zum jetzigen Zeitpunkt auch nicht gepatcht werden kann. Ich fasse die wichtigsten Punkte zusammen, der Rest lässt sich im Blog-Beitrag des Sicherheitsforschers nachlesen, der diese Lücke entdeckt hat.

Was macht DoubleAgent als 0-day-Sicherheitslücke nun so gefährlich? An dieser Stelle möchte ich gerne zwei Videos verlinken, dann wird sofort klar, was ich meine:

Avira AntiVirus morphs into Ransomware…

 

Norton Antivirus morphs into Ransomware…

 

Das sind nur zwei Beispiele, laut dem originären Blogbeitrag sind noch deutlich mehr AV-Hersteller von diesem Problem betroffen:

 

Vulnerable Antiviruses
The list of vendors that have been tested and found to be vulnerable to DoubleAgent.
The tests were done on the latest version of the vendor on Windows 10 x64 using our POC code.

Avast (CVE-2017-5567)
AVG (CVE-2017-5566)
Avira (CVE-2017-6417)
Bitdefender (CVE-2017-6186)
Trend Micro (CVE-2017-5565)
Comodo
ESET
F-Secure
Kaspersky
Malwarebytes
McAfee
Panda
Quick Heal
Norton

Antivirus Attack Vectors
During a normal cyber attack, the attacker would invest a lot of effort hiding and running away from the antivirus. By using DoubleAgent, the attack can take full control over the antivirus and do as he wish without the fear of being caught or blocked. He could:

  1. Turn the Antivirus into a malware – Perform malicious operations on behalf of the attacker. Because the antivirus is considered a trusted entity, any malicious operation done by it would be considered legitimate, giving the attacker the ability to bypass all the security products in the organization.
  2. Modify the Antivirus internal behaviour – Changing the antivirus whitelists/blacklists, internal logic and even installing backdoors. The antivirus would still appear to work normally but would actually be completely useless, giving the attacker the ability to execute malware that would normally be blocked without any interference.
  3. Abusing the Antivirus trusted nature – The antivirus is considered one of the most trusted entities in an organization. The attacker can use the antivirus to perform operations that would normally raise “red flags” like exfiltrating data, C&C communication, lateral movement, stealing and decrypting sensitive data, etc. All of these operations would seem legit because they are done by the antivirus.
  4. Destroy the Machine – The antivirus has complete power over the machine, which can allow it to easily encrypt all your files or even format your hard drives.
  5. Denial of Service – An antivirus software is responsible for signing software to act maliciously based on a set of heuristic rules. This means that the attacker can sign a totally legit and critical software such as browser applications, document viewers, or even some key components that are deep within the operating system. Once the signature has spread across the organization, it would then cause a total denial of services for the entire company. Once an antivirus decides a file is malicious, it would create a signature for it and share it globally around the world. Because the attacker controls the antivirus, he may sign totally legit and critical applications such as browsers, document viewers, or even some key components that are deep within the operating system. Once the new signature has spread across the organization, all the other instances of the antivirus would remove/delete the critical application causing total denial of services for the entire organization.

Unter Ausnutzung dieser Sicherheitslücke ist es möglich, Code in laufende Prozesse zu injizieren, ohne dass ein Prozess sich davor schützen könnte. Die Technik, die hinter der code injection steht, ist so einzigartig, dass sie offensichtlich von keinem traditionellen AV-Programm erkannt wird:

DoubleAgent gives the attacker the ability to inject any DLL into any process. The code injection occurs extremely early during the victim’s process boot, giving the attacker full control over the process and no way for the process to protect itself. The code injection technique is so unique that it’s not detected or blocked by any antivirus.

Wie in den Videos auf drastische Art und Weise dargestellt wurde, kann sich auf diese Art und Weise eine eigentlich für die Abwehr von Bedrohungen gedachte Software – nämlich der Virenscanner – im Handumdrehen selbst in Malware bzw. Ransomware verwandeln. Ein AV-Programm läuft üblicherweise im SYSTEM-Kontext des Betriebssystems und hat damit alle Rechte und Möglichkeiten, die es benötigt, um Angriffe und Bedrohungen abzuwehren. Wenn man das ganze weiterspinnt, dann entstehen zumindest in der Theorie Schreckensszenarien, an die man als Verantwortlicher gar nicht denken möchte:

  • Breitflächige Verteilung in Firmennetzwerken, wenn der Proof-of-Concept-Programmcode weiterentwickelt, verbessert und mit anderen Infektionsvektoren gekoppelt wird
  • Aushebeln des Virenschutzes zum Einschleusen weiterer Malware oder Ransomware
  • Vollständige Übernahme von Endgeräten

Die Möglichkeiten werden meines Erachtens nur durch die Vorstellungskraft begrenzt, und davon besitzen Cyberkriminelle eine Menge. Ich wage jetzt schon zu behaupten, dass DoubleAgent als 0-day exploit in den nächsten Wochen und Monaten noch für viel Aufregung sorgen wird.

SAMAS RansomWorm: Next-Generation Ransomware

Wer glaubt, dass Cyberkriminellen die Ideen ausgehen, der irrt gewaltig. Neben der Tatsache, dass es mittlerweile täglich über 4000 neue Ransomware Samples gibt, geht auch die technologische Entwicklung bei den Cryptolockern weiter. Die neueste Errungenschaft ist der SAMAS RansomWorm; wie der Name schon sagt, handelt es sich dabei um eine Mischung aus Ransomware und Wurm. Das heimtückische daran ist, dass sich dieses Exemplar in einem Netzwerk mit Hilfe von lateral movement und Windows-Bordmitteln fortpflanzen kann, indem beispielsweise das Active Directory zur Informationsgewinnung genutzt wird.

SAMAS RansomWorm

Obwohl das momentan nur Firmennetzwerke betrifft, dürfte es wohl nur eine Frage der Zeit sein, bis eine Version erscheint, die auch kleinere Heimnetzwerke infiltrieren kann. Was es bedeutet, wenn nicht nur ein Endgerät in einem Netzwerk infiziert wird, sondern gleich mehrere, muss ich an dieser Stelle nicht weiter ausführen – für kleine und mittelständische Unternehmen ohne funktionierendes Backup-Konzept und einem wirkungsvollen Endgeräteschutz auf Basis von effektiven Technologien wie Application Whitelisting kann das eine echte Katastrophe bedeuten.

Ab 25. Mai 2018 kommt noch erschwerend hinzu, dass nach der bisherigen Übergangsfrist die Europäische Datenschutz-Grundverordnung (EU-DS-GVO) voll greift. Diese sieht u.a. vor, dass Unternehmen Breaches, also sicherheitsrelevante Vorfälle im Bereich der Informations- und IT-Sicherheit innerhalb von 72 Stunden der zuständigen Behörde melden müssen. Wird dies versäumt, dann können drastische Geldbußen verhängt werden. Eine Ransomware, die im schlimmsten Fall Dokumente mit Kundendaten ins Internet überträgt, um damit der Forderung nach Lösegeld mehr Nachdruck zu verleihen, muss auf jeden Fall gemeldet werden.

Aus technischer Sicht ist es deshalb schon jetzt sehr ratsam, zu effizienten Schutzmaßnahmen zu greifen. Bislang ist eine der sichersten Möglichkeiten zum Schutz vor Ransomware der Einsatz einer Application Whitelisting Lösung wie SecureAPlus, die eine Infektion mit Ransomware und Malware deutlich wirkungsvoller verhindern kann, wie es bei traditioneller AV-Software der Fall ist. Als IT Security Analyst und Incident Responder bin ich bestens mit dem täglich wachsenden Bedrohungspotential durch Ransomware und Malware vertraut und berate Sie gerne beim Thema Endpoint Security.

Überzeugen Sie sich anhand des nachfolgenden Videos selbst von der Wirksamkeit von Application Whitelisting:

SecureAPlus vs. Ransomware

Next-Generation Endpoint Protection solutions: Hype vs. Realität

Wie jedes Jahr gibt es in der IT auch in 2017 von Marketing-Strategen ersonnene Buzzwords, die in keinem Repertoire fehlen dürfen. Schon letztes Jahr war regelmäßig von von “machine based learning”, “artificial intelligence”,“math models” oder auch von “deep learning” die Rede. Üblicherweise werden diese Begriffe mit der nächsten Generation von AV-Software in Verbindung gebracht und signalisieren schon deutlich, dass hier keine veraltete (signaturbasierte) Technologie zum Einsatz kommt, sondern etwas weitaus leistungsfähigeres.

Hier stellt sich natürlich die Frage, ob das wirklich nur reine Buzzwords sind oder ob tatsächlich mehr dahintersteckt? Ich versuche die Frage einmal aus meiner Sicht zu beantworten: Zunächst muss man hier ganz klar die Spreu vom Weizen trennen, denn es gibt natürlich auch zunehmend Trittbrettfahrer, die sich gerne dieser Attribute bemächtigen, aber in Wahrheit nur ansatzweise oder gar keinen Gebrauch davon machen. Es gibt Hersteller wie Cylance, die ich als Pionier auf diesem Gebiet betrachte, denn bereits Ende 2015/Anfang 2016 hatte Cylance mit CylancePROTECT ein Produkt am Start, das wirklich anders war als Produkte der Mitbewerber aus dem klassischen AV-Umfeld wie Bitdefender, Kaspersky, Avira, Avast usw.

Im Jahr 2016 gesellten sich dann weitere Anbieter wie Invincea (inzwischen von Sophos akquiriert), Endgame, SparkCognition, Heilig Defense und andere dazu, die ebenfalls damit werben, Next-Gen-Techniken zu verwenden. Im Enterprise-Umfeld hat schon vor geraumer Zeit ein Paradigmenwechsel eingesetzt, der dazu geführt hat, dass man heute nicht mehr krampfhaft den Perimeter mit Firewalls, Proxies, Mailgateways oder IDS zu schützen versucht, sondern sich auf das schwächste Glied in der ganzen Kette konzentriert, und das ist nun mal das klassische Endgerät wie ein Desktop oder ein Laptop. Genau diesem Umstand wird mit Hilfe von Next-Gen-Lösungen auch Rechnung getragen, denn auf Signaturen und verhaltensbasierte Erkennung sollte man sich heutzutage nicht mehr verlassen – das mag noch bei simpel gestrickter (und bekannter!) Malware helfen, aber nicht mehr bei fortgeschrittenen Angriffen wie spear phishing oder targeted attacks, also zielgerichteten Angriffen gegen Unternehmen oder einzelne Personen.

Kurzum: Das Jahr 2017 wird mit Sicherheit weitere interessante Entwicklungen bringen. Während einige Hersteller von Next-Gen-Lösungen offensichtlich kein Interesse am Small Office- und Home-Bereich haben, weiß ich von anderen, dass sie auch an Versionen für den Heimbereich arbeiten. Vor Mitte des Jahres wird aber vermutlich nichts kommen, da wie gesagt der Enterprise-Markt im Fokus steht und nicht der Home-Bereich. Diese Entwicklung wird aus meiner Sicht dazu führen, dass die Hersteller von traditionellen AV-Lösungen nicht umhin kommen werden, ebenfalls auf neue Technologie zu setzen – andernfalls könnte es gut passieren, dass sie eines Tages mit dem Rücken an der Wand stehen.

Diese Behauptung möchte ich mit einem Beispiel untermauern: Wer schon mal Malware- und Ransomware-Tests durchgeführt hat, weiß, dass die cloudbasierte Erkennung bei vielen Herstellern von klassischer AV-Software zu einem Großteil für die Erkennung von Schadcode zuständig ist. Das setzt aber wiederum voraus, dass eine permanente Internetanbindung besteht, was normalerweise auch kein Problem darstellt. Was aber, wenn es um mobile Anwender geht, die nicht permanent mit dem Internet verbunden sind und demnach auch mit einer deutlich reduzierten Schutzwirkung leben müssen, solange kein cloudbasierter Scan möglich ist? Es gibt Firmen, deren Techniker oder Kundendienstmonteure tage- oder gar wochenlang in Regionen mit schlechter oder keiner Internetverbindung unterwegs sind – wie gut ist diese Zielgruppe wohl ohne aktuelle Signaturen und cloudbasierten Scans geschützt?

Das sieht mit Next-Gen AV-Lösungen ganz anders aus, denn diese funktionieren übicherweise auch im Offline-Betrieb genau gleich, da sie nicht von Signaturen oder cloud based scans abhängig sind. Für mich gehört die Zukunft ganz klar diesen Lösungen, und ich hoffe, dass ich noch ausreichend Gelegenheit haben werde, das ein oder andere Produkt in diesem Bereich gründlich zu testen und die Ergebnisse in meinem Youtube-Kanal zu präsentieren. Wie es der Zufall so möchte, habe ich dazu gerade im Blog von Cylance noch diesen recht interessanten Artikel entdeckt: https://www.cylance.com/en_us/blog/antivirus-testing-for-real-world-failure.html

Wer sich übrigens etwas genauer in das Thema machine based learning einlesen möchte, findet im Blog von Endgame eine sehr umfangreiche Schilderung der bekannten Modelle auf englisch: https://www.endgame.com/blog/its-bake-navigating-evolving-world-machine-learning-models

Bedrohungen durch Ransomware reißen auch in 2017 nicht ab

2017 fängt aus IT Security-Sicht nicht anders an, wie das alte Jahr aufgehört hat. Nachdem sich Ransomware nach wie vor als sehr profitables Geschäftsmodell etabliert, kann von einem nachlassenden Bedrohungspotential nicht die Rede sein, ganz im Gegenteil: Es wird aus meiner Sicht deutlich schlimmer.

Dass der Einfallsreichtum von Cyberkriminellen keine Grenzen kennt, zeigt die neue Ransomware Doxware. Diese verschlüsselt nämlich nicht nur Dokumente oder Bilder, sondern droht zusätzlich noch damit, private Daten wie Chatprotokolle, Dokumente oder sonstige sensible Daten öffentlich zu machen, um damit den Druck auf das Opfer der Ransomware-Attacke noch zu erhöhen:

With doxware, hackers hold computers hostage until the victim pays the ransom, similar to ransomware. But doxware takes the attack further by compromising the privacy of conversations, photos, and sensitive files, and threatening to release them publicly unless the ransom is paid. Because of the threatened release, it’s harder to avoid paying the ransom, making the attack more profitable for hackers.

Ich möchte an dieser Stelle noch einmal deutlich auf die von mir in einem anderen Beitrag erwähnten Mitigationsmaßnahmen zur Risikoreduzierung aufmerksam machen, denn auf eine traditionelle Virenschutzlösung sollte man sich heutzutage nicht mehr verlassen. Moderne Ransomware arbeitet aus technischer Sicht auf einem meistens sehr hochen Niveau (von einzelnen Ausnahmen abgesehen), und es werden alle Möglichkeiten seitens der Ransomware-Entwickler ausgeschöpft, um vor allem AV-Software zu unterlaufen. 

Produktvorstellung: Next-Generation Antivirus X by Invincea

Einleitung

Ich hatte in meinem Artikel Next-generation AV-Software vs. traditionelle AV-Software schon kurz das Thema Next-Generation AV angeschnitten und möchte heute etwas mehr in die Tiefe gehen. Seit kurzem teste ich X by Invincea ausführlich und kann an dieser Stelle bereits vorweg nehmen, dass ich ziemlich beeindruckt bin, aber dazu nachher noch mehr. X by Invincea gibt es in drei Geschmacksrichtungen, wobei die umfangreichste Variante noch zusätzliche Funktionen wie eine isolierte Umgebung zum sicheren Öffnen von Dateien bzw. Attachments (Spear Phishing Attacks) mitbringt; mein Fokus beim Test liegt aber auf der Variante X by Invincea Prevent.. X by Invincea kann entweder zusätzlich zu einer schon vorhandenen AV-Lösung oder als Ablösung für eine bestehende AV-Lösung eingesetzt werden, wobei ich für meinen Teil die zweite Variante empfehlen würde.

Da ich bereits in meinem vorhergehenden Artikel auf die wesentlichen Unterschiede zwischen traditionellen AV- und Next-Gen-Lösungen eingegangen bin, möchte ich das an dieser Stelle nicht wiederholen und empfehle zum besseren Verständnis, den bereits erwähnten Artikel durchzulesen.

Bekannte und unbekannte Malware ohne Signaturen erkennen

Invincea setzt auf maschinenbasiertes Lernen, um verdächtige Dateien zu identifizieren und zu verhindern, dass sie gestartet werden. Jedes ausführbare Programm auf einem Endgerät wird dazu automatisch analysiert. X by Invincea extrahiert dazu eindeutige Merkmale aus dem Programmcode. Anschließend werden die extrahierten Attribute von einem mehrstufigen “Deep Learning“-Algorithmus hinsichtlich ihrer Ähnlichkeit zu anderen Malware-Familien untersucht. Als Ergebnis wird eine Bewertung (Score) zurückgeliefert; je höher der Score, desto höher ist die Wahrscheinlichkeit, dass es sich um Malware bzw. bösartigen Code handelt.

Wenn der Score für ein Programm einen gewissen Schwellwert (risk threshold) überschreitet, dann wird es als bösartig eingestuft und entweder in die Quarantäne verschoben oder gelöscht. X by Invincea kann sogar die Malware-Familie (z.B. Ransomware) erkennen, zu der die Datei gehört. Für den kompletten Prozess, der mit der Extraktion der Merkmale beginnt und mit dem Verschieben einer bösartigen Datei in die Quarantäne endet, werden gerade einmal 20 Millisekunden(!) benötigt. Diesen Wert kann ich bestätigen, denn ausführbare Dateien werden sehr schnell gescannt. Ich werde dazu auch noch Beispiele in Form eines Reviews oder Videos liefern.

Deep learning ahmt die Funktionsweise des menschlichen Gehirns nach

Unter machine (based) learning – oder wie es bei Invincea heißt – deep learning wird die Funktionsweise des menschlichen Gehirns nachgeahmt. Zusätzlich findet man bei Next-Generation Antivirus-Lösungen auch noch den Begriff  AI (artifical intelligence), also künstliche Intelligenz. Vereinfacht gesagt, geht es aber bei allen Methoden in die gleiche Richtung, und die Resultate sind in der Tat sehr beeindruckend. X by Invincea setzt auf deep learning, um Malware von gutartigen Programmen zu unterscheiden. Dadurch können auch unbekannte Malware oder polymorphe Varianten erkannt werden, mit deren Erkennung traditionelle signaturbasierte Lösungen oftmals Probleme haben.

Zusammengefasst lässt sich sagen, dass X by Invincea Malware stoppt, bevor sie auf einem Endgerät ausgeführt wird. Dabei bleibt die Systemauslastung im Vergleich mit anderen traditionellen AV-Lösungen minimal. Die Erkennung umfasst neben bekannter und unbekannter Malware auch Ransomware, Office-Dokumente mit Schadcode und weitere Bedrohungen, denen ein Endgerät tagtäglich ausgesetzt ist.     

Dateilose Angriffe

Die Anzahl der Angriffsvektoren bei Endgeräten ist groß, und so ist es auch nicht weiter verwunderlich, dass sog. “File-less Attacks” (Dateilose Angriffe) immer mehr zunehmen. Diese Art von Angriff ist teilweise nur sehr schwer zu erkennen, da keine Spuren in Form von Dateien mehr hinterlassen werden, d.h. auf dem Endgerät werden keine Dateien mehr erzeugt, sondern Schadcode wird direkt in den Speicher geschrieben und dort ausgeführt. Bekannte Vertreter von dateilosen Angriffen sind Office-Dokumente, die bösartigen Schadcode in Form eine Makros enthalten.

X by Invincea nutzt neben deep learning auch noch behavioral monitoring. Dahinter verbirgt sich die verhaltensbasierte Kontrolle/Überwachung von gutartigen bzw. als sicher geltenden Programmen, bei denen eine Abweichung vom normalen Verhalten als verdächtig eingestuft wird. Wird eine derartige Abweichung erkannt (z.B. beim Versuch, Malware oder Ransomware aus einem manipulierten Office-Dokument nachzuladen oder auszuführen), dann wird der entsprechende Prozess (z.B. word.exe) in Echtzeit automatisch beendet und die Ausführung von Schadcode verhindert.

Deep learning und behavioral monitoring ergänzen sich hervorragend und erhöhen den Schutz vor Bedrohungen auf Endgeräten drastisch.

Need to know

Die wichtigsten Punkte rund um X by Invicea möchte ich stichwortartig zusammenfassen:

  • Verhindert die Ausführung von bekannter und unbekannter Malware ohne Signaturen
  • Funktioniert auch offline, d.h. ohne Internetverbindung
  • Bietet effektiven Schutz vor Malware und Ransomware
  • Kombiniert mehrere fortschrittliche Erkennungsmethoden in einem schlanken Agent (200 MB RAM, <1% CPU)
  • Analysiert Dateien und entscheidet in 20 Millisekunden, ob eine Datei bösartig ist, bevor sie ausgeführt wird
  • Unterstützte Betriebssysteme: Windows 7, Windows 8.1, Windows 10, Windows Server 2008 R2, Windows Server 2012 R2

More to come

Da man bekanntlich viel erzählen kann, wenn der Tag lang ist, werde ich noch das eine oder andere Video folgen lassen. Mir geht es dabei nicht um Produktbashing, sondern um den direkten Vergleich zwischen Next-Gen- und traditioneller AV-Lösung. Besonderen Wert lege ich auf die Erkennung von Ransomware und speziell präparierten Samples, die eine Backdoor-Funktion beinhalten und üblicherweise so lange “behandelt” werden, bis sie kein Virenscanner mehr erkennt. Hier kann ich vorab schon sagen, dass X by Invincea überzeugende Resultate liefert, aber dazu in einem anderen Artikel bzw. Video mehr.

Erpressungs-Trojaner Locky: Die unendliche Geschichte

Der hinterhältige Erpressungs-Trojaner Locky hat es im Gegensatz zu vielen anderen schon lange existierenden Ransomware-Varianten nun auch in die Mainstream-Medien geschafft. Grundsätzlich funktioniert Locky auch nicht viel anders als andere Cryptolocker- oder Teslacrypt-Versionen, allerdings gibt es schon einige Besonderheiten, die dieses Stück Schadsoftware zu einem besonders widerlichen Vertreter seiner Gattung machen; eine davon ist die Tatsache, dass sich Locky offensichtlich schon vor längerem auf Opfer-PCs eingenistet hat und erst zu einem bestimmten Zeitpunkt zum Leben erwacht ist.

Wer sich nun die berechtigte Frage stellt, warum Virenscanner sich mit der Erkennung von moderner Malware und insbesondere Ransomware sehr schwer tun und die Erkennungsraten zumindest in den ersten Tagen nach einer neuen Ransomware-Welle unterirdisch sind (oftmals auch noch Wochen danach!), sollte folgendes wissen:

  • Die Zeiten, in denen Script Kiddies Viren aus Spaß an der Freude programmiert haben, sind schon lange vorbei. Damit ist heute kein Blumentopf mehr zu gewinnen
  • Mit Ransomware und Lösegeld lässt sich verdammt viel Geld verdienen. Aktuelle Schätzungen gehen davon aus, dass Cyberkriminelle allein im letzten Jahr damit über 360 Millionen USD(!) verdient haben. Es ist kein Problem, in einem Untergrundforum entsprechende Botnetze für einen relativ geringen Betrag (ca. 500-1000 Euro pro Woche, abhängig von der Größe des Botnetzes) anzumieten und sich mit Hilfe fertiger Baukästen bzw. Exploit Kits maßgeschneiderte Cryptolocker zu erstellen. Über das Botnetz werden dann phishing mails mit entsprechenden Anhängen versendet; Stand heute (Februar 2016) sind das nach wie vor Office-Dokumente mit maliziösen Makros, die dann wiederum von gehackten Webseiten im Internet Schadcode nachladen und diesen ausführen
  • Spätestens zu diesem Zeitpunkt hat man schon so gut wie verloren, denn die wenigsten Virenscanner sind in der Lage, Cryptolocker effizient zu erkennen und abzuwehren. Der Vollständigkeit halber möchte ich auch erwähnen, warum: Wenn man sich die Zahl von 360 Millionen USD vor Augen hält, dann kann man sich vorstellen, dass Cyberkriminelle mit Ransomware sehr viel Geld bei einem überschaubaren Invest verdienen können. Ergo werden auch alle Register gezogen, um Ransomware so gut wie möglich zu tarnen; hinzu kommt, dass fertige Baukästen innerhalb kurzer Zeit diverse Cryptolocker-Mutationen mit polymorphem Code produzieren können, die alleine schon deshalb von primär signaturbasieren Virenscannern nicht mehr erkannt werden können – da helfen auch stündliche Updates nicht mehr weiter. Selbst cloudbasierte Virenscanner haben nach wie vor massive Probleme, “frische” Cryptolocker bzw. Ransomware zu erkennen und abzuwehren

Und nein, das habe ich mir nicht alles aus den Fingern gesaugt. Als IT Security Analyst beschäftige ich mich täglich mit diesen Themen und weiß daher sehr gut, von was ich rede. Ich kann deshalb nur empfehlen, folgende Maßnahmen primär im privaten Umfeld in Betracht zu ziehen:

  • Niemals – und damit meine ich auch niemals! – Office-Dokumente (Word, Excel usw.) öffnen, die man per Mail erhält. Selbst dann nicht, wenn sie von vertrauenswürdigen Personen stammen, denn möglicherweise wurde deren Endgerät gehackt und versendet nun vom Besitzer unbemerkt entsprechende phishing mails mit infizierten Anhängen
  • PDF-Dokumente bieten zwar auch Platz für Malware, aber ich halte sie zum gegenwärtigen Zeitpunkt noch für das kleinere Übel. Lassen Sie sich statt eines Word-Dokuments eine PDF-Datei zuschicken, denn damit ist sichergestellt, dass keine Office VBA-Makros ausgeführt werden können, die möglicherweise Schadcode nachladen und ausführen
  • Regelmäßige Backups sind unabdingbar. Dazu gehört allerdings auch, den Restore-Prozess zu testen, um sicherzustellen, dass im Ernstfall die gesicherten Daten auch wiederhergestellt werden können. Backup-Strategien und entsprechende Software gibt es wie Sand am Meer, meine Empfehlung heißt Iperius Backup
  • Wenn sich der Versand bzw. der Austausch von Office-Dokumenten aufgrund von entsprechenden Business-Prozessen nicht vermeiden lässt, dann vereinbaren Sie mit dem Sender ein Passwort, mit dem Office-Dokumente dann in einem verschlüsselten ZIP-Archiv versendet werden. Damit ist sichergestellt, dass ein Attachment tatsächlich auch vom Sender wissentlich auf den Weg gebracht wurde. Office-Dokumente, die nicht in Form eines ZIP-Archivs in Ihrem Posteingang landen, können Sie dann unverzüglich löschen
  • Grundsätzlich sollten Sie sicherstellen, dass sich Ihr Endgerät auf einem aktuellen Patchlevel befindet. Das betrifft sowohl Betriebssystem-Updates als auch Anwendungen wie den Flash Player oder den Adobe Reader, bei denen nach wie vor regelmäßig schwerwiegende Sicherheitslücken auftreten
  • Verwenden Sie Firefox oder alternativ auch Google Chrome zum Surfen. Wichtig ist, dass Erweiterungen wie NoScript oder auch AdBlock Plus vom Browser unterstützt werden, denn damit kann man nach dem Whitelisting-Prinzip legitimen Webseiten die Ausführung von Javascript erlauben, während es hingegen auf anderen Webseiten deaktiviert ist
  • Stellen Sie sicher, dass Ihr Virenscanner sich signaturenmäßig immer auf dem aktuellen Stand befindet, aber verlassen Sie sich keinesfalls ausschließlich auf Ihren Virenscanner! Die Chancen, dass Ransomware oder generell Malware nicht erkannt werden, sind sehr gut.

Natürlich sind das noch längst nicht alle Präventivmaßnahmen, die man ergreifen kann. Es sind aber auf jeden Fall jene, die auch ein durchschnittlich IT-affiner Anwender zum Einsatz bringen kann, ohne ein Informatikstudium absolviert zu haben.

 

 

 

 

Owncloud: Damit Ihre Daten auch wirklich Ihnen gehören!

Die Anzahl an mobilen Endgeräten wie Smartphones und Tablets wächst von Tag zu Tag, und damit verbunden steigt auch die Notwendigkeit, Termine, Kontakte oder sonstige Daten zwischen diversen Endgeräten auf sichere Art und Weise auszutauschen.

Sie nutzen den Cloud-Dienst eines US-amerikanischen Anbieters und speichern dort Ihre persönlichen Daten wie Termine, Kontakte, Dateien, Bilder usw. und sind der Meinung, dass Ihre Daten dort sicher sind? Dann sollten Sie diesen Artikel aufmerksam durchlesen. Selbst in einem europäischen Rechenzentrum sind Ihre Daten vor dem Zugriff durch amerikanische Nachrichtendiensten nicht sicher.

Zum Glück gibt es eine einfache und komfortable Möglichkeit, Herr über Ihre persönlichen und privaten Daten zu bleiben: Owncloud. Owncloud ist eine freie Software (Open Source) und kann kostenlos heruntergeladen und verwendet werden.

image

Mit Owncloud können Sie Ihre eigene und private Cloudlösung aufbauen. Ausschließlich Sie selbst bestimmen, wer Zugriff auf Ihre persönlichen Daten erhält – Owncloud bietet hierfür ein abgestuftes Berechtigungskonzept.

Doch das ist noch längst nicht alles, denn was Owncloud für die private Cloud perfekt macht, ist der Ausstattungsumfang, der sich stark erweitern und den eigenen Bedürfnissen anpassen lässt. So bietet Owncloud unter anderem Apps für die Verwaltung von Kontakten sowie Terminen und Kalendern sowie das Erstellen von Notizen – eine Synchronisierung dieser Daten auf diverse Endgeräte wie Smartphones, Tablets, Laptops oder PCs ist selbstverständlich auch möglich. Ein konsistenter Datenbestand ist damit jederzeit gewährleistet.

 

Wir helfen Ihnen gerne beim Umzug Ihrer Daten auf die eigene und sichere Cloud und unterstützen beim Thema Owncloud-Installation. Sie haben noch Fragen oder benötigen Beratung zum Thema Owncloud? Kein Problem: Über unser Shop-Kontaktformular erreichen Sie uns jederzeit.