|
Business im Fokus von Hackern - Referat
Allgemeine Darstellung
Zusätzlich zu Ransomware und Co. gibt es noch viele andere, seit vielen Jahren angewendete Techniken des Hackens auf krimineller Basis, die sich in der Welt der Black-Hats durchgesetzt haben. Abgesehen von Trojanern, Viren und Würmern existieren auch besondere Methoden, die auf die Leichtgläubigkeit und Unwissenheit von Betroffenen ausgerichtet sind, um sich den Zugriff auf fremde Daten zu sichern. Sie werden sehr gerne gegen Organisationen und verschiedene Firmen angewendet, denn aus solchen Angriffen lässt sich ebenfalls sehr gut Kapital schlagen. Dazu zählen insbesondere Phishing-Methoden bzw. das speziellere Spear-Phishing oder Techniken basierend auf Social Engineering. Das Gefahrenpotential, welches von solchen Techniken ausgeht, ist schier unüberschaubar. Wenn auch nur ein einziger Mitarbeiter eines Unternehmens beispielsweise auf eine Spear-Phishing Kampagne hereinfällt, kann der Angreifer geheime Daten abgreifen und sich in Zukunft mittels auf dem PC dieses Mitarbeiters installiertem Schadcode als dieser ausgeben.
Phishing
Phishing zielt im Allgemeinen immer auf ein großes Spektrum von Privatpersonen, jedoch auch auf Unternehmen ab. Cybergangster gehen so vor, dass sie sich als bekannte Website ausgeben und täuschend echt wirkende E-Mails mit Firmenlogos, Klarnamen und authentischen Informationen an die Zielpersonen versenden. Oft enthalten solche E-Mails dann einen präparierten Link, der vermeintlich auf die angeführte Website führt. In Wirklichkeit leitet der Link die Betroffenen jedoch auf eine gefälschte, gleich aussehende Website um. Dort wird das Opfer angewiesen, das in der E-Mail angeführte Problem durch die Eingabe persönlicher Daten wie Nutzername oder Passwort, zu lösen. Die auf diese Weise abgegriffenen Daten können dann genutzt werden, um die Identität der Opfer anzunehmen und damit weitere Ziele zu verfolgen.
Spear-Phishing
Da beim konventionellen Phishing der Ausgang einer solchen E-Mail-Kampagne immer sehr ungewiss ist, da Nutzer nicht immer auf scheinbar echt wirkende E-Mails hereinfallen, ist das Spear-Phishing entstanden. Dieses konzentriert sich mehr auf Firmen und unterschiedliche Organisationen. Es werden zwar ebenfalls E-Mails an Zielpersonen, in diesem Fall die Mitarbeiter einer Firma, gesendet, wobei sich die Absender aber oftmals als Vorgesetzte oder Kollegen im eigenen Unternehmen ausgeben. Durch die Bekanntheit des Absenders entsteht ein anderes Verhältnis der Vertrauenswürdigkeit zwischen Angreifer und Opfer. Auch scheint es den Ausführungen in der E-Mail nach einen logischen Grund zur Ausführung der geforderten Tätigkeit, die wiederum mittels eines präparierten Links auf einer Website durchzuführen ist, zu geben. Spear-Phishing ist für Kriminelle um ein Vielfaches erfolgreicher und hat somit einen viel größeren Einfluss auf die Sicherheit eines Unternehmens. Eine Spear-Phishing Attacke könnte etwa nach diesem Schema ablaufen: Ein Mitarbeiter eines Unternehmens erhält eine harmlos wirkende E-Mail, dessen Verfasser sich zum Beispiel als der Vorgesetzte des Empfängers ausgibt. Die hierfür benötigten Informationen können vom Angreifer aus der Webpräsenz des Unternehmens entnommen werden. In der E-Mail fordert der Absender den Mitarbeiter dazu auf, interne, vertrauenswürdige Informationen preiszugeben, indem etwa wieder ein gefälschter Link mit einem Anmeldeformular eingefügt ist. Ebenfalls kann auch durch die Aufforderung zum Aufrufen einer Internetseite Malware durch den Browser oder durch das Öffnen eines virenverseuchten Anhangs Schadcode auf den Firmencomputer geladen werden.
Durch die so erhaltenen Informationen kann sich der Angreifer im Endeffekt als Mitarbeiter der Firma ausgeben oder durch den mittels Malware infizierten PC des Mitarbeiters vertrauliche Dokumente entwenden.
Social Engineering
Ein weiterhin sehr hohes Sicherheitsproblem für Organisationen und Unternehmen stellt Social Engineering dar. Hierbei werden nicht etwa Sicherheitslücken und andere Schwachstellen in den Netzwerken von Firmen ausgenutzt, sondern der Mensch selbst und seine Angriffspunkte durch soziales Verhalten. Der Kriminelle versucht auf verschiedenste Art und Weise das Vertrauen eines Mitarbeiters oder eines Nutzers zu gewinnen, damit dieser vertrauliche Informationen preisgibt. Dies kann durch einen Telefonanruf geschehen, bei dem auf ein angeblich dringendes Problem aufmerksam gemacht wird. Ganz simpel könnte sich ein Social Engineer auch die Zugangsinformationen eines Mitarbeiters merken, indem bei der Eingabe unauffällig zugesehen wird. Viele Angestellte sind sich überhaupt nicht bewusst, wie wertvoll die Daten, die ihnen anvertraut wurden, im Besitz von anderen Personen sind.
Logische Schlüsse
Wenn man also das Geschäftswesen betrachtet, wird man feststellen, dass im letzten Jahr über 60 % aller Angriffe auf kleine und mittelständige Unternehmen geführt wurden. Noch aktuellere Zahlen vom August 2015 belegen, dass sogar über 78 % aller Spear-Phishing Attacken auf kleinere Unternehmen (max. 250 Mitarbeiter) geführt wurden. Je kleiner die Größe eines Unternehmens, umso weniger kann in die Sicherheit der Firma investiert werden. Zugleich besitzen kleinere Unternehmen oftmals veraltete Computertechniken, da regelmäßige Neuanschaffungen schlichtweg finanziell nicht tragbar wären. Ein Beispiel hierfür ist etwa das veraltete Betriebssystem Windows XP, für das schon seit dem 8. April 2014 keine Sicherheitsupdates mehr verfügbar sind, und welches noch auf einer Großzahl der Firmenrechner läuft. Bei näherer Beleuchtung der letzten zwei Jahre wird wieder einmal besonders deutlich, dass Angreifer immer raffinierter vorgehen, um mittels Phishing bzw. Spear-Phishing Zugriff auf vertrauenswürdige Informationen zu bekommen. Im ersten Moment verwunderlich erscheint zwar, dass die Anzahl aller Phishing Kampagnen um mehr als die Hälfte gesunken ist. Wenn man sich dann aber bewusst wird, dass der Anteil von Spear-Phishing Attacken an der Gesamtsumme beträchtlich gestiegen ist, wird einem klar werden, dass Absender solcher E-Mails ein immer klügeres, taktischeres Vorgehen entwickeln, als in den Jahren zuvor. Durch eine geringere Anzahl an Empfängern von Phishing-E-Mails wird die Gefahr minimiert, von Sicherheitsexperten entdeckt zu werden. Die Fokussierung auf den Großhandel und Produktionsbetriebe maximiert gleichzeitig die Gewinne der Angreifer.
Zusammenfassung
In Zukunft müssen Firmen aller Größen ihre Mitarbeiter gezielt schulen lassen und auf dieses hohe Gefahrenpotential aufmerksam machen, damit gezielte Datendiebstähle etwa durch Phishing nicht mehr so einfach durchführbar sind. Auch die Implementierung von stets aktueller Sicherheitstechnik im Software-, genauso wie im Hardwarebereich ist von absoluter Wichtigkeit.
Kommentare zum Referat Business im Fokus von Hackern:
|
