Was ist die Ransomware-Kill-Chain?

Die Ransomware-Kill-Chain ist eine spezifische Version der Cyber-Kill-Chain, die die verschiedenen Phasen einer typischen Ransomware-Infektion beschreibt. Diese Sichtweise kann für Cyber-Verteidiger nützlich sein, da sie dabei helfen kann, potenzielle Punkte zu identifizieren, an denen die Bedrohung erkannt und beseitigt werden kann, bevor Daten gestohlen und verschlüsselt werden.

Die verschiedenen Ransomware-Gruppen haben unterschiedliche Taktiken, Techniken und Verfahren (TTPs), die sie verwenden, was bedeutet, dass die Ransomware-Kill-Chain nicht „für alle gleich“ ist. Die Zuordnung von Angriffskampagnen zu Rahmenwerken wie der Lockheed Martin Cyber Kill Chain oder dem MITRE ATT&CK-Rahmenwerk kann jedoch wertvolle Einblicke bieten.

Wichtige Highlights

• Die Ransomware-Kill-Chain zerlegt einen Angriff in Phasen, sodass Verteidiger ihn unterbrechen können, bevor die Verschlüsselung erfolgt.
• Viele moderne Ransomware-Kampagnen umfassen Entdeckung, Privilegieneskalation und laterale Bewegung, bevor der endgültige Einfluss eintritt.
• Doppelte Erpressung fügt eine ausgeprägte Phase der Datenexfiltration hinzu, die vor der Verschlüsselung stattfinden kann.
• Netzwerk- und Zugriffskontrollen können das Risiko von Ransomware verringern, indem sie bekannte bösartige Ziele blockieren, Exploits erkennen, den Zugriff einschränken und die Übertragung sensibler Daten verhindern.
• Das Brechen einer beliebigen Phase kann den Explosionsradius, die Reaktionskosten und die Ausfallzeiten des Unternehmens verringern.

Wie sich die Ransomware-Kill-Chain von der traditionellen Cyber-Kill-Chain unterscheidet

Lockheed Martin definierte die Cyber-Kill-Chain als ein allgemeines Modell für Cyberangriffe. Die Ransomware-Kill-Chain konzentriert sich auf die Besonderheiten von Ransomware-Angriffen und betont oft die Eindringmechanismen sowie die Auswirkungen von Datenexfiltration und Verschlüsselung.

Infolgedessen können diese Ransomware-Kill-Chains zusätzliche malware-spezifische Phasen in den Prozess einführen. Zum Beispiel umfasst die Ransomware-Kill-Chain von Cisco die folgenden Phasen:

• Recon
• Stufe 4
• Launch
• Exploiteren
• Installieren
• Rückruf
• Beharren

Obwohl dies ein hochrangiges Modell ist, variieren die tatsächlichen Ransomware-Angriffsketten. Zum Beispiel können einige Angreifer zusätzliche Aktionen zwischen dem Erlangen eines ersten Zugriffs und dem Verfolgen von Auswirkungen durchführen.

Warum verwenden Verteidiger gestufte Modelle?

Verteidiger verwenden häufig gestufte Modelle, da sie es einfacher machen, über einen Angriff nachzudenken und potenzielle Möglichkeiten zur Unterbrechung und Eindämmung eines Angriffs zu identifizieren. Idealerweise beinhaltet dies, die Bedrohung frühzeitig in ihrem Lebenszyklus zu erfassen und zu beseitigen, da dies die Kosten und die Komplexität der Behebung reduziert. Darüber hinaus erleichtern gestufte Modelle die Entwicklung wiederholbarer SOC- und Incident-Response-(IR)-Playbooks, die allgemein auf mehrere Ransomware-Betreiber anwendbar sind, anstatt auf eine spezifische Kampagne.

Die Kernphasen der Ransomware-Kill-Chain

Ransomware-Angriffe können von einem Bedrohungsakteur zum anderen und sogar über Kampagnen hinweg dramatisch variieren. Darüber hinaus haben verschiedene Cybersecurity-Anbieter unterschiedliche Modelle der Ransomware-Kill-Chain. Ob das Modell nun vier Schritte oder neun enthält, die Aufschlüsselung des Prozesses hat ihre Vorteile.

In diesem Artikel verwenden wir die folgenden Phasen für die Ransomware-Kill-Chain:

1. Erster Zugriff und Infektion: Malware wird auf einem Zielsystem installiert und ausgeführt
2. Laterale Bewegung und Verbreitung: Ransomware breitet sich über das Netzwerk auf wertvolle Systeme aus
3. Befehls- und Kontrollkommunikation: Malware stellt eine Kommunikation mit dem Angreifer für Anweisungen und Datenexfiltration her
4. Datenexfiltration: Sensible Daten werden in Doppel-Erpressungsangriffen aus dem Netzwerk exfiltriert
5. Verschlüsselung Daten werden verschlüsselt, um die Opfer zur Zahlung eines Lösegelds zu bewegen.

Wie Angreifer typischerweise ersten Zugang zu Ransomware-Kampagnen erhalten.

Angreifer können eine Vielzahl von Methoden nutzen, um ersten Zugang zu einer Zielumgebung zu erhalten. Zu den häufigsten Techniken gehören Phishing-Angriffe, bösartige Websites, die Ausnutzung exponierter Dienste und gestohlene Anmeldeinformationen.

Obwohl Ransomware-Kampagnen stark variieren können, verwenden die meisten Angreifer eine dieser Techniken. Der Grund dafür ist, dass diese oft leicht zu erlangende Ziele sind, die Vertrauen, schwache Authentifizierung oder nicht gepatchte Systeme ausnutzen, um ersten Zugang zu erhalten.

Wie ein erster Kompromiss in der Sicherheitstelemtrie aussieht.

Nachdem ein erster Fuß in die Tür gesetzt wurde, ist das Ziel des Angreifers, ihre Malware auf dem infizierten System auszuführen. Außerdem stellt die Malware häufig eine Verbindung zur Command-and-Control-Infrastruktur her, um Anweisungen zu erhalten und gestohlene Daten zu exfiltrieren. Diese Kombination von Aktionen führt oft zu den folgenden Indikatoren für Kompromittierungen (IoCs):

• DNS-Abfragen nach verdächtigen oder bekannten schädlichen Domains.
• Ungewöhnliche ausgehende Verbindungen.
• Neue, unbekannte Prozesse.
• Unerwartete Ausführung verschiedener Werkzeuge.

Obwohl dies Warnzeichen für eine Ransomware-Infektion sein können, sind sie kein absoluter Beweis. Ein neuer unbekannter Prozess könnte beispielsweise ein neues Stück legitimer Software sein, das ein Benutzer auf seinem System installiert und ausgeführt hat.

Was nach einem Fuß in die Tür passiert und warum Ransomware-Betreiber sich auf Entdeckung und laterale Bewegung konzentrieren.

Ransomware-Betreiber erhalten selten sofortigen Zugang zu ihren Zielsystemen. Ein Phishing-Angriff könnte beispielsweise die Arbeitsstation eines Benutzers kompromittieren, während Ransomware am effektivsten auf einem wertvollen System wie einer wichtigen Datenbank oder einem Dateiserver ist.

Aus diesem Grund versuchen Angreifer oft, lateral durch das Netzwerk zu bewegen, indem sie Netzwerkscans und Erkundungen durchführen, um potenzielle Ziele zu identifizieren und zu ihnen zu gelangen. Ein Angreifer könnte beispielsweise versuchen, zusätzliche Benutzeranmeldeinformationen zu stehlen, die es ihm ermöglichen, sich bei einem neuen System zu authentifizieren.

Häufige Ziele von Angreifern in der Mitte der Ransomware-Kill-Chain

In der Mitte der Ransomware-Kill-Chain besteht das Ziel der Angreifer darin, sich von ihrem ursprünglichen Einstiegspunkt zu wertvollen Zielen zu bewegen. Häufige Maßnahmen, die sie ergreifen könnten, um dies zu erreichen, sind:

• Erfassung von Anmeldeinformationen und Eskalation von Berechtigungen
• Kartierung von Netzwerkpfaden und kritischen Vermögenswerten
• Deaktivierung von Abwehrmaßnahmen und Vorbereitung der Verschlüsselung im großen Maßstab

Wo die Datenexfiltration in die Ransomware-Kill-Chain passt und wie doppelte Erpressung sie verändert

Traditionelle Ransomware, die sich auf die Datei-Verschlüsselung konzentriert, ist weniger effektiv, wenn das Opfer über Sicherungen verfügt, von denen es wiederherstellen kann. Aus diesem Grund haben viele Ransomware-Betreiber doppelte Erpressungstechniken übernommen, indem sie Daten stehlen, bevor sie diese verschlüsseln, und drohen, sie zu veröffentlichen, wenn das Lösegeld nicht gezahlt wird. Einige Bedrohungsakteure integrieren zusätzliche Erpressungstaktiken, wie beispielsweise Distributed Denial-of-Service (DDoS)-Angriffe.

Indikatoren und Abwehrmaßnahmen, die während der Exfiltration am wichtigsten sind

Bei der Datenexfiltration haben Organisationen die Möglichkeit, einen Angriff zu identifizieren und zu blockieren, bevor er in die Phase der Datenverschlüsselung übergeht. Dies erfordert Überwachung und Durchsetzung von Richtlinien, die darauf ausgelegt sind, die Exfiltration sensibler Daten und anomales Verhalten, wie z.B. Massen-Downloads und Exfiltration, zu identifizieren und zu blockieren.

Wie können Sicherheitskontrollen die Ransomware-Kill-Chain in mehreren Phasen stören?

Die Kartierung von Ransomware-Infektionen auf ein mehrstufiges Modell ermöglicht eine Störung in verschiedenen Phasen des Prozesses. Einige Möglichkeiten, wie Sicherheitskontrollen helfen können, Ransomware-Angriffe zu mildern, sind:

• DNS-Filterung: Identifiziert und blockiert Zugriffsversuche auf bösartige Domains und Phishing-Ziele.
• Intrusion Prevention System (IPS) Erkennt und blockiert Exploit-Verkehr und bösartige Aktivitäten in Echtzeit.
• Zero Trust Network Access (ZTNA) Begrenzt den Zugriff auf Ressourcen durch explizite Erlaubnispolitiken und das Prinzip der minimalen Berechtigung. Reduziert die Pfade für laterale Bewegungen.
• • Data Loss Prevention (DLP) Verringert das Risiko, dass sensible Daten die Organisation verlassen.

Wie DNS-Filterung frühe Ransomware-Kill-Chain-Aktivitäten stört.

DNS wird verwendet, um Domainnamen in IP-Adressen umzuwandeln und ist in mehreren Phasen der Ransomware-Kill-Chain wichtig. DNS-Abfragen können für den anfänglichen Malware-Download, beim Herstellen von Verbindungen zu Command-and-Control-Systemen und für die Datenexfiltration erforderlich sein. Das Blockieren von Versuchen, auf verdächtige und bekannte schadhafte Domains zuzugreifen, verhindert, dass diese Aktionen erfolgreich sind, und kann den Angriff frühzeitig in der Kill-Chain beenden.

Wie IPS hilft, Exploits zu blockieren und die Ausbreitung zu verlangsamen.

IPS ist eine Inline-Sicherheitskontrolle, die darauf ausgelegt ist, schädliche Inhalte und Exploit-Versuche zu blockieren. Es kann verwendet werden, um Exploits von Schwachstellen für den ersten Zugriff und den Transfer von Ransomware in die Zielumgebung zu verhindern.

Wie ZTNA den Zugriff einschränkt und laterale Bewegungen limitiert.

ZTNA implementiert Kontrollen für den Zugriff mit minimalen Berechtigungen, die die Berechtigungen auf das notwendige Minimum für eine Rolle reduzieren und erfordern, dass jede Zugriffsanforderung ausdrücklich validiert und genehmigt wird. Dies kann versuchte laterale Bewegungen beeinträchtigen, indem der Umfang kompromittierter Konten eingeschränkt wird und die Organisation in die Lage versetzt wird, anomale und verdächtige Anfragen nach Unternehmensdaten oder -ressourcen zu identifizieren und zu blockieren.

Wie DLP das Risiko der Datenexfiltration verringert.

DLP zielt darauf ab, zu verhindern, dass sensible Daten mit unbefugten Empfängern geteilt werden. Im Kontext von Ransomware kann dies helfen, doppelte Erpressungsangriffe zu verhindern, wenn die DLP-Lösung die versuchte Exfiltration gestohlener Daten identifizieren und blockieren kann.

Was Sicherheitsteams messen sollten, um die Störung der Ransomware-Kill-Chain zu validieren.

Bei dem Versuch, Ransomware-Angriffe früher in der Kill-Chain zu stören, gehören einige gängige Kennzahlen dazu:

• Durchschnittliche Zeit bis zur Erkennung (MTTD)
• Durchschnittliche Zeit bis zur Behebung (MTTR)
• Reduzierung des Explosionsradius des Angriffs (betroffene Endpunkte, Konten, Daten usw.)

Beispielmesskategorien

Organisationen können auch phasenspezifische Kennzahlen implementieren, die darauf abzielen, zu identifizieren, wann sie erfolgreich eine Ransomware-Infektion erkennen und beheben, einschließlich:

• Bedrohungsprävention Blockierungen in den Phasen des ersten Zugriffs und der Ausnutzung
• Eindämmung: Versuche zur lateralen Bewegung werden gestoppt oder segmentiert
• Datensicherheit: Exfiltrationsversuche erkannt oder verhindert
• Wirkungsreduktion: Geringere Verbreitung der Verschlüsselung und schnellere Wiederherstellung

Wie verbessert die Ransomware-Kill-Chain die Reaktion auf Vorfälle und die Nachbearbeitung nach Vorfällen?

Die Ransomware-Kill-Chain trägt zur Verbesserung der Reaktion auf Vorfälle und der Nachbearbeitung bei, indem sie eine konkretere und detailliertere Aufschlüsselung des Angriffs bietet, um Handlungsanleitungen und gewonnene Erkenntnisse zu verknüpfen. Ein Beispiel für eine Nachbesprechung nach einem Vorfall könnte untersuchen, ob die Bedrohung in verschiedenen Phasen (erster Zugriff, laterale Bewegung, Datenexfiltration usw.) erkannt wurde und wie die Organisation zusätzliche Kontrollen implementieren oder anpassen kann, um identifizierte Sichtbarkeits- oder Eindämmungslücken zu schließen.

Ransomware-Kill-Chain: Wie man das Framework nutzt, um die Auswirkungen von Ransomware im Laufe der Zeit zu reduzieren

Die Ransomware-Kill-Chain bietet ein Framework, um über diese Angriffe nachzudenken und Sicherheitskontrollen sowie Reaktionsmaßnahmen auf Vorfälle zu planen. Einige Möglichkeiten, wie Organisationen das Framework nutzen können, sind:

• Phasenbasierte Erkennungen und Kontrollen aufbauen
• Tischübungen durchführen, die auf die Phasen abgestimmt sind
• Vorfälle nach Phasen überprüfen und Kontrollen anpassen

FAQ

Was sind die typischen Phasen in der Ransomware-Kill-Chain?

Modelle der Ransomware-Kill-Chain können in den enthaltenen Phasen variieren. Einige häufige Phasen sind der erste Zugriff, laterale Bewegung, Kommando und Kontrolle, Datenexfiltration und Datenverschlüsselung.

Ist Datenexfiltration immer Teil von Ransomware?

Nein, Ransomware konzentrierte sich ursprünglich ausschließlich auf die Datenverschlüsselung, nicht auf die Exfiltration. Allerdings sind Angriffe mit doppelter Erpressung häufiger geworden, um zu verhindern, dass Opfer die Zahlung des Lösegelds umgehen, indem sie von Backups wiederherstellen.

Wie steht die Ransomware-Kill-Chain im Zusammenhang mit der Cyber Kill Chain?

Die Cyber Kill Chain ist ein allgemeines Modell, das entwickelt wurde, um die häufigen Phasen einer Vielzahl potenzieller Angriffe zu analysieren. Die Ransomware-Kill-Chain verwendet eine ähnliche Gliederung, konzentriert sich jedoch auf die Ransomware-Bedrohung.

Welche Kontrollen können Ransomware früher als die Verschlüsselung unterbrechen?

Einige Sicherheitskontrollen, die Ransomware-Angriffe unterbrechen können, bevor sie die Verschlüsselungsphase erreichen, sind DNS-Filterung, Inline-Exploit-Prävention, Zugriffskontrollen und Datenkontrollen. Zum Beispiel kann die DNS-Filterung den Zugriff auf Webseiten blockieren, die Malware und Kommando- und Kontrollinfrastruktur bereitstellen.

Was sollten Teams priorisieren, wenn sie nicht jede Phase abdecken können?

Wenn Organisationen nicht jede Phase der Ransomware-Kill-Chain abdecken können, sollten sie versuchen, frühere Phasen und solche, in denen sie mehr Sichtbarkeit und Kontrolle haben, zu priorisieren. Zum Beispiel kann eine Organisation den Benutzerzugang gemäß dem Prinzip der geringsten Privilegien einschränken, um die Fähigkeit eines Angreifers zu verringern, lateral durch das Netzwerk zu hochpreisigen Zielen zu gelangen.