Dominoeffekt: 5000 Angriffsversuche in 22 Ländern als Folge von REvil entdeckt
Am 2. Juli wurde bekannt, dass die Ransomware-Gang REvil einen großen Angriff auf Managed Service Provider (MSPs) und ihre Kunden auf der ganzen Welt verübt hat. Dies führte dazu, dass Tausende von Unternehmen potenzielle Opfer von Ransomware wurden. Im Moment des Schreibens, Kaspersky Forscher haben bereits über 5000 Ansteckungsversuche in Europa, Nord- und Südamerika beobachtet.
revil (auch bekannt als Sodinokibi) ist einer der produktivsten Ransomware-as-a-Service (RaaS)-Betreiber, der erstmals 2019 auftauchte und in den letzten Monaten aufgrund der Ziele, die sie erreichten, und ihrer Rekordeinnahmen aus Ransomware zahlreiche Schlagzeilen machte. Bei diesem jüngsten Angriff infizierte REVil einen Anbieter von IT-Verwaltungssoftware für MSP, was mehrere Unternehmen auf der ganzen Welt betraf. Die Angreifer verteilten eine bösartige Nutzlast über ein PowerShell-Skript, das wiederum vermutlich über die Software des MSP-Anbieters ausgeführt wurde.
Dieses Skript ist deaktiviert Microsoft Defender for Endpoint-Schutzfunktionen und entschlüsselte dann eine bösartige ausführbare Datei, die eine legitime enthielt Microsoft binär, eine ältere Version der Microsoft Defender-Lösung und eine bösartige Bibliothek mit REvil-Ransomware. Mithilfe dieser Kombination von Komponenten im Ladeprogramm konnten die Angreifer die DLL-Seitenladetechnik ausnutzen und mehrere Organisationen angreifen.
Geographie der versuchten Angriffe basierend auf KasperskyTelemetrie von
Mit seinem Threat Intelligence Service, Kaspersky beobachtete mehr als 5000 Angriffsversuche in 22 Ländern, am stärksten betroffen waren Italien (45.2 % registrierte Angriffsversuche), die USA (25.91 %), Kolumbien (14.83 %), Deutschland (3,21 %) und Mexiko (2.21 %). .
„Ransomware-Gangs und ihre Tochtergesellschaften haben ihr Spiel nach hochkarätigen Angriffen auf die Colonial Pipeline und JBS und viele andere Organisationen in verschiedenen Ländern seitdem weiter verbessert. Diesmal haben REvil-Betreiber einen massiven Angriff auf MSPs mit Tausenden von verwalteten Unternehmen auf der ganzen Welt durchgeführt und diese ebenfalls infiziert“, kommentiert Vladimir Kuskov, Head of Threat Exploration bei Kaspersky. „Dieser Fall zeigt einmal mehr, wie wichtig es ist, angemessene Cybersicherheitsmaßnahmen und -lösungen in allen Phasen zu implementieren – einschließlich Lieferanten und Partnern.“
Kaspersky schützt vor dieser Bedrohung und erkennt sie mit den folgenden Namen:
- UDS: DangerousObject.Multi.Generic
- Trojan-Ransom.Win32.Gen.gen
- Trojan-Ransom.Win32.Sodin.gen
- Trojan-Ransom.Win32.Convagent.gen
- PDM:Trojaner.Win32.Generisch (mit Verhaltenserkennung)
Erfahren Sie mehr über den neuesten REvil-Angriff auf Secure.
Um Organisationen vor modernen Ransomware-Angriffen zu schützen, Kaspersky empfiehlt:
- Verwenden Sie eine zuverlässige Endpoint-Sicherheitslösung, wie z Kaspersky Endpoint Security for Business, das auf Exploit-Prävention, Verhaltenserkennung und einer Behebungs-Engine basiert, die böswillige Aktionen rückgängig machen kann. KESB verfügt auch über Selbstverteidigungsmechanismen, die seine Entfernung durch Cyberkriminelle verhindern können;
- Stellen Sie Remote-Desktop-Dienste (wie RDP) nicht öffentlichen Netzwerken zur Verfügung, es sei denn, dies ist unbedingt erforderlich, und verwenden Sie immer starke Passwörter für sie.
- Installieren Sie sofort verfügbare Patches für kommerzielle VPN-Lösungen, die den Zugriff für Remote-Mitarbeiter ermöglichen und als Gateways in Ihrem Netzwerk fungieren.
- Halten Sie die Software auf allen Geräten, die Sie verwenden, immer auf dem neuesten Stand, um zu verhindern, dass Ransomware Schwachstellen ausnutzt.
- Konzentrieren Sie Ihre Verteidigungsstrategie darauf, seitliche Bewegungen und Datenexfiltration ins Internet zu erkennen. Achten Sie besonders auf den ausgehenden Datenverkehr, um die Verbindungen von Cyberkriminellen zu erkennen. Daten regelmäßig sichern. Stellen Sie sicher, dass Sie im Notfall schnell darauf zugreifen können, wenn Sie es brauchen. Verwenden Sie die neueste Threat Intelligence Informationen, um sich über tatsächliche TTPs im Klaren zu sein, die von Bedrohungsakteuren verwendet werden.
- Verwenden Sie Lösungen wie Kaspersky Endpoint Detection and Response und Von Kaspersky verwaltete Erkennung und Reaktion Service, die helfen, den Angriff in seinen frühen Stadien zu identifizieren und zu stoppen, bevor Angreifer ihre endgültigen Ziele erreichen.
WEITERLESEN:
- SaaS-Chaos überwinden: Wie man den Weg für die Zukunft der Arbeit ebnet
- Viele Unternehmen gehen bei der Cloud-Migration falsch vor. Hier ist, wie man es richtig macht
- Die Vermögensverwaltungsbranche ist mit KI-Technologien führend
- Gründer-Feature: Neil Purcell, Gründer und CEO, Talent Works
Schützen Sie das Unternehmensumfeld und schulen Sie die Mitarbeiter. Spezielle Schulungen können helfen, wie sie beispielsweise in der angeboten werden Kaspersky Automated Security Awareness-Plattform. Eine kostenlose Lektion zum Schutz vor Ransomware-Angriffen ist verfügbar hier.
Folge uns auf LinkedIn und Twitter
