DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE 1.1.2 Emotet: Neue Qualität fortschrittlicher Angriffe Emotet dominierte im Berichtszeitraum die ITSicherheitsbedrohungen durch Schadprogramme. Der ehemalige Banking-Trojaner vereint vielfältige Schadfunktionen. So sind beispielsweise verschiedene Software-Module zum Ausspähen von Informationen (vgl. Kapitel Diebstahl und Missbrauch von Identitätsdaten, Seite 18), zum Spamversand (vgl. Kapitel Spam und Malware-Spam, Seite 15) sowie zum Nachladen weiterer Schadprogramme enthalten. Zudem besitzt Emotet Wurm- und Bot-Funktionalitäten (vgl. Kapitel Botnetze, Seite 16). Das Schadprogramm kann sich demnach nicht nur automatisiert in einem Netzwerk verbreiten, sondern auch Kontakt zu einem Command-and-ControlServer aufnehmen, um von dort Befehle der Angreifer entgegenzunehmen und im infizierten Netzwerk auszuführen. Diese vielfältigen Schadfunktionen bieten den Angreifern zahlreiche neue und fortschrittliche Angriffsvektoren. Dabei kommen Methoden in massenhafter Weise zum Einsatz, die zuvor nur bei gezielten, aufwändigen und fachlich anspruchsvollen Angriffen auf herausgehobene Ziele beobachtet wurden (z. B. bei einem APT-Angriff auf ein einzelnes Unternehmen, vgl. Kapitel Advanced Persistent Threats, Seite 28). Dies illustriert die dreistufige Angriffsstrategie mit Emotet, der Schadsoftware Trickbot und der Ransomware Ryuk: 1. Emotet-Infektion durch Social Engineering im Schneeballprinzip: Emotet wird per E-Mail verbreitet. Als E-Mail-Anhang wird es zum Beispiel als Bewerbungsschreiben oder in manipulierten Bilddateien getarnt. Als Link in E-Mails wird es auf Webseiten verborgen und nach dem Klick auf den Link installiert. Um Nutzerinnen und Nutzer zum Klick zu verleiten, kommen fortschrittliche Social-Engineering-Techniken zum Einsatz. Nach einer erfolgreichen Infektion späht Emotet die E-Mail-Kommunikation des Opfers aus (sogenanntes Outlook-Harvesting) und nutzt diese, um Kommunikationspartner wie beispielsweise Geschäftspartner des Opfers anzugreifen. Die Kommunikationspartner erhalten dann ihrerseits E-Mails mit schädlichen Anhängen, die beim Klick Emotet installieren. Mit Hilfe der zuvor erbeuteten E-Mail-Kommunikationsverläufe generiert Emotet automatisiert täuschend echt wirkende Antworten auf vermeintlich vom Opfer stammende E-Mails und verbreitet diese massenhaft weiter. Aufgrund der bekannten Betreffzeilen und zitierten E-Mail-Inhalte werden Empfänger häufig erfolgreich zum Klicken verleitet. Diese Angriffsmethode kann praktisch ohne weiteres Zutun der Angreifer automatisiert durch die Schadsoftware ausgeführt werden. 2. Spionage und Persistenz durch Trickbot: Nach erfolgreicher Infektion eines Systems lädt Emotet weitere Schadsoftware nach; im Berichtszeitraum handelte es sich häufig um Trickbot. Trickbot besitzt Spionage- und Sabotagekomponenten und kann automatisiert das Netzwerk des Betroffenen vollständig kompromittieren – bis hin zu zentralen Systemen wie dem Domain-ControlServer im Active Directory, der für die zentrale Authentifizierung von Nutzerinnen und Nutzern sowie die Zuweisung von Rechten und Rollen zuständig ist. Der Angreifer verfügt dadurch über alle Rechte, um beispielsweise Benutzerkonten mit Administratorrechten anzulegen, Daten einzusehen und abfließen zu lassen oder Hintertüren (sogenannte Backdoors) für einen längerfristigen Verbleib im infizierten System einzurichten. Zudem sammelt Trickbot eigenständig Informationen über Systeme, Benutzer und installierte Software des Opfers und übermittelt diese an die Angreifer. 3. Monetarisierung durch die Ryuk-Ransomware: Es ist davon auszugehen, dass die Angreifer auf Basis der von Trickbot beschafften Informationen entscheiden, ob sie anschließend über den Fernzugriff von Trickbot auch noch manuell auf das Netzwerk des Opfers zugreifen. Erscheint ihnen das Ziel zahlungsfähig, wird die Ransomware Ryuk gleichzeitig auf allen erreichbaren Servern und Systemen des Opfers verteilt. Aufgrund der von Trickbot beschafften weitreichenden Rechte werden oft auch Backups verschlüsselt. Anschließend erfolgt häufig eine Lösegeldforderung. Die Schadwirkung dieser Vorgehensweise ist immens. Betroffene Unternehmen, Behörden, wissenschaftliche Einrichtungen und andere Institutionen müssen unter Umständen hohe Kosten für die Wiederherstellung von Systemen, für Produktionsausfälle und ausbleibende Umsätze in Kauf nehmen. Im Berichtszeitraum wurden zudem Lösegeldforderungen bis in den achtstelligen Bereich beobachtet. 1.1.3 Ransomware Ransomware stellt bereits seit einigen Jahren eine der größten Bedrohungen für Nutzerinnen und Nutzer von IT-Systemen dar, denn der erfolgreiche Einsatz dieser Art von Schadsoftware verhindert den Zugriff auf lokale oder im Netzwerk erreichbare Daten und Systeme. Am häufigsten wird hierzu eine Verschlüsselung von Nutzerdaten (wie Office-, Bild-, Ton- und Videodateien) oder ganzer Datenbanken durchgeführt. Die Opfer erhalten anschließend eine Nachricht, dass die Beschränkung bei Zahlung eines Lösegelds (Ransom) wieder aufgehoben werde. Dabei werden häufig sehr kurze Fristen gesetzt und mit der sukzessiven Löschung oder Veröffentlichung der 11