Analysen von Kaspersky Cyberangreifer teilweise monatelang in Unternehmensnetzwerken

Anbieter zum Thema

Kaspersky Labs GmbH

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Sowohl im vergangenen wie auch im laufenden Jahr untersuchen die Analysten von Kaspersky Cybervorfälle. Während 2024 Initial Access Broker und Ransomware as a Service boomten, laufen 2025 bereits ernstzunehmende Angriffe von APT-Gruppen auf kritische Infrastrukturen.

69 Prozent der Unternehmen in Deutschland waren im vergangenen Jahr von mindestens einem Cybersicherheitsvorfall betroffen. 31 Prozent waren sogar mehrfach betroffen. Dies geht aus dem „Incident Response Report“ von Kaspersky hervor, für den der Security-Hersteller Schlussfolgerungen aus den Analysen von Cyberangriffen gezogen hat, die er im Jahr 2024 untersucht hat.

Third-Party Breach Report

Globaler Anteil an Lieferkettenangriffen steigt

Reaktionszeit, IABs und Ransomware

Besonders ist, dass die Angriffe im vergangenen Jahr im Median 253 Tage anhielten, was bedeutet, dass betroffene Unternehmen lange dafür brauchten, das Eindringen von Hackern überhaupt erst zu entdecken oder zu beenden. Konkret dauerten 35 Prozent der untersuchten Angriffe einen Monat an. Meist hätten die Fälle in eine Datenverschlüsselung oder einen Datenverlust gemündet. Die mediane Dauer der Incident-Response-Maßnahmen habe bei 50 Stunden gelegen.

Darüber hinaus beobachteten die Experten einen deutlichen Anstieg der Nutzung gültiger Konten durch Cyberangreifer. Diese Entwicklung deute darauf hin, dass immer mehr Unternehmen von Initial Access Brokern (IABs) ins Visier genommen würden, die gestohlene Zugriffsdaten im Darknet an andere Kriminelle verkaufen. Die „Kunden“ nutzen die Anmeldeinformationen dann, um sich Zugriff auf fremde Systeme zu verschaffen und Ransomware-Angriffe zu starten. IABs verfolgen somit ein ähnliches Verkaufsmodell wie Betreiber von Ransomware-as-a-Service.

Während 2023 noch 33,3 Prozent der Angriffe mit Ransomware in Verbindung standen, waren es 2024 schon 41,6 Prozent. Kaspersky geht davon aus, dass Ransomware auch in absehbarer Ziet die größte Bedrohung für Unternehmen weltweit bleiben wird. Die bekannte Gruppe LockBit war für 43,6 Prozent der Infektion verantwortlich, gefolgt von Babuk mit 9,1 Prozent und Phobos mit 5,5 Prozent. Außerdem machten im vergangenen Jahr die neuen Ransomware-Familien ShrinkLocker und Ymir von sich reden. Für die Extraktion von Passwörtern wurden vor allem Mimikatz (21,8 %) und PSExec (20 %) genutzt.

Die häufigsten Angriffsvektoren waren:

• Exploits gegen öffentlich zugängliche Anwendungen (39 %)

• Zugriff auf gültige Zugangsdaten (31 %)

• Ausnutzung vertrauenswürdiger Beziehungen, zum Beispiel beim Social Engineering (13 %)

„Unsere Analyse zeigt, dass Cyberkriminelle immer anpassungsfähiger werden und mit dem technologischen Fortschritt ihre Methoden weiterentwickeln. Unternehmen dürfen nicht nur auf Angriffe reagieren, sondern müssen ihre Sicherheitsstrategien kontinuierlich weiterentwickeln“, ergänzt Konstantin Sapronov, Head of Global Emergency Response Team bei Kaspersky.

Der Echtzeit-Blick auf die IT-Security

Wenn Millisekunden über IT-Sicherheit entscheiden

APT-Angriffe auf Atomkraftwerke

Und auch in diesem Jahr gibt es für die Sicherheitsexperten allerhand zu tun. So hat Kaspersky die APT-Gruppe (Advanced Persistent Threat) SideWinder beobachtet, die Infrastruktur- und Logistikunternehmen in Afrika, Südostasien und Teilen Europas angreife. Bei den jüngsten Aktivitäten von SideWinder würden die Cyberkriminellen Spear-Phishing-E-Mails und schädliche Dokumente mit branchenspezifischer Terminologie sowie anlagenspezifischen Themen als Köder nutzen, um Atom- und Energieerzeugungsanlagen zu kompromittieren. Die Gruppe sei bereits seit mindestens 2012 aktiv, habe bisher allerdings vor allem Regierungs-, Militär- und diplomatische Einrichtungen im Visier gehabt.

Für die aktuelle Angriffskampagne würde SideWinder eine ältere Sicherheitslücke in Microsoft Office ausnutzen, CVE-2017-11882. Klickt ein Opfer auf eines der schädlichen Dokumente, würde eine Angriffskette ausgelöst, die es den Angreifern ermögliche, auf Betriebsdaten, Forschungsprojekte und Personaldaten ihrer Opfer zuzugreifen. „Wir sehen nicht nur eine geografische Expansion, sondern auch eine strategische Weiterentwicklung der Fähigkeiten und Ambitionen von SideWinder“, erklärt Vasily Berdnikov, Lead Security Researcher im Global Research & Analysis Team (GReAT) bei Kaspersky. „Die Gruppe kann nach einer Erkennung aktualisierte Malware-Varianten mit einer bemerkenswerten Geschwindigkeit einsetzen und verändert damit die Bedrohungslandschaft enorm. Statt einer reaktiven Bekämpfung wird dadurch eine nahezu in Echtzeit stattfindende Reaktion nötig.“

Forescout Global Threat Roundup Report 2023

Cyberangriffe überziehen die globale kritische Infrastruktur

(ID:50379953)