MEDIA ALERT: Ixia: Mit Threat Intelligence gegen Ransomware

Angesichts der jüngsten Angriffswelle weist Ixia darauf hin, dass viele Ransomware-Angriffe relativ einfach abgewehrt werden könnten.

Das liegt daran, dass die hierfür verwendete Malware meist von bereits als bösartig bekannten IP-Adressen stammt. „Jeder Ransomware-Angriff beginnt mit einer gezielten Phishing Mail mit einem Anhang, der ein Makro enthält“, erläutert Steve McGregory, Senior Director of Application Threat Intelligence bei Ixia. „Diese Makros werden von Antiviren-Software oder Sandboxes nicht als maliziös eingestuft, da ihr Verhalten unauffällig ist. Erst beim Öffnen des Dokuments beginnt das Makro dann, die eigentliche Malware vom Server des Angreifers herunterzuladen. Auch diese sieht für die Sicherheitssysteme harmlos aus, wird aber vom Makro auf dem Zielsystem umgeschrieben. Um sich gegen Ransomware zu schützen, muss man daher den Download vom Server des Angreifers unterbinden.“

In allen Fällen, in denen diese Downloads von bereits als bösartig bekannten Servern erfolgen, können sie mit geringem Aufwand automatisch geblockt werden. Benötigt wird dazu lediglich ein entsprechender Filter am Gateway, der eingehenden und ausgehenden Verkehr mit den IP-Adressen der bekannt bösartigen Server abgleicht und jeden Verbindungsversuch blockiert. Dabei muss der Filter über einen Threat Intelligence Feed eines spezialisierten Anbieters ständig aktualisiert werden. Da bei dieser Vorgehensweise weder das Makro noch die eigentliche Malware untersucht werden muss, schützt sie auch gegen bisher unbekannte Angriffsvarianten.

Dass immer wieder die gleichen Server verwendet werden, liegt laut McGregory vor allem daran, dass IP-Adressen relativ knapp sind. Ein Verbindungsversuch zu einem solchen Server ist daher ein starkes Indiz dafür, dass sich das Unternehmen gerade in der Frühphase eines Angriffsversuchs befindet. „Natürlich lassen sich so nicht alle Ransomware-Attacken stoppen, da nie auszuschließen ist, dass Angreifer auch einmal unverbrauchte IP-Adressen verwenden“, so McGregory. „Deshalb sollte man andere Sicherheitsmaßnahmen auch beim Einsatz solcher Gateways nicht vernachlässigen. Doch in den meisten Fällen ist die Kombination aus Filter und Threat Intelligence Feed ein sehr effektiver Schutz gegen Ransomware, zumal neue IP-Adressen von Angreifern über die ständige Aktualisierung auch sehr zeitnah geblockt werden.“