Kaspersky-Prognosen für ICS-Bedrohungen 2021: Mehr zielgerichtete Angriffe und neue Ransomware-Taktiken

Die Sicherheitsexperten von Kaspersky geben auf Basis ihrer 2020 gewonnenen Erkenntnisse und den Erfahrungen rund um Covid-19 einen Ausblick auf die wichtigsten Entwicklungen der Bedrohungslandschaft im industriellen Umfeld für das Jahr 2021 [1], damit sich Unternehmen dieser Branchen besser auf Cyber-Gefahren vorbereiten können. In naher Zukunft werden voraussichtlich verstärkt zielgerichtete Infektionen und Angriffe, neue Taktiken zur Monetarisierung von Attacken, fortschrittlichere Ransomware-Kompromittierungen, zunehmende Spionagetätigkeiten über OT (Operation Technology) und mehr Bedrohungsakteure zu verzeichnen sein.

• Mehr zielgerichtete Infektionen und Angriffe. Cyberkriminelle haben in den vergangenen Jahren Profile von zufällig infizierten Computern erstellt, die an Industrienetzwerke angeschlossen sind oder regelmäßig auf diese zugreifen. Die Zugangsinformationen zu solchen Computern werden zukünftig und eventuell auch schon gegenwärtig, an professionellere Gruppen weiterverkauft, die bereits über spezielle Strategien zur Monetarisierung von Angriffen auf Industrieanlagen verfügen.
• Neue Monetarisierungstaktiken. Seit einigen Jahren haben sich verschiedene Gruppen darauf spezialisiert, Industrieunternehmen anzugreifen, um deren Geld zu stehlen – durch BEC-Angriffe [2] oder fortgeschrittene Hacks, um in die Finanz- und Buchhaltungssystemen der Opfer eindringen zu können [3]. Durch jahrelange kriminelle Machenschaften haben sie die Geschäftsprozesse von Industrieunternehmen kennengelernt und sich Zugang zu einer großen Menge an technischen Informationen über Netzwerkanlagen und Betriebstechnologien verschafft. Kaspersky erwartet daher zukünftig neue, unkonventionelle Angriffsszenarien auf OT/ICS und Feldgeräte [4], verbunden mit ausgeklügelten Monetarisierungstaktiken.
  
• Ransomware wird fortschrittlicher und anspruchsvoller. Cyberkriminelle werden weiterhin Hacking- und APT-Techniken einsetzen, indem sie das Netzwerk der Zielorganisation akribisch analysieren, um die wertvollsten und anfälligsten Systeme zu lokalisieren, Administratorkonten zu kapern und parallel laufende Blitzangriffe mit Standard-Admin-Tools durchzuführen.
  
• Mehr hybride Angriffe zum Diebstahl von Dokumenten. Sind Dokumente dann im Besitz von Cyberkriminellen, wird damit gedroht, sie zu publizieren oder im Darknet zu verkaufen, falls der Zahlungsaufforderung nicht nachgekommen wird. Darüber hinaus wird die hinter der Ransomware Snake [5] steckende Idee – das Abzielen auf die OT/ICS von Unternehmen – an Zugkraft bei Angriffen dieser Art gewinnen. Es ist außerdem wahrscheinlich, dass es verstärkt zu Attacken kommen wird, die als Ransomware getarnten sind, jedoch völlig andere Ziele verfolgen — eine Wiederholung der ExPetr-Technik [6].
• Spionage-Angriffe über das OT. Cyberkriminelle werden zunehmend OT-Netzwerke angreifen, da diese meist nicht so gut wie Büronetzwerke geschützt werden und es tendenziell einfacher ist in OT-Netzwerke einzudringen. Denn diese weisen eigene Perimeter- und Angriffsflächen auf. Die flache Netzwerktopologie und andere Herausforderungen mit der Zutrittskontrolle in OT-Netzwerken können sie zu einem attraktiven Einstiegspunkt in die tieferen Lagen des Unternehmensnetzwerks machen und zu einem Sprungbrett in andere verwandte Organisationen und Einrichtungen.
• Taktische und strategische Partner werden zu Angriffszielen. Der Wunsch vieler Länder nach technologischer Unabhängigkeit, gepaart mit globalen geopolitischen und makroökonomischen Umwälzungen, wird dazu führen, dass nicht nur traditionelle Konkurrenten, sondern auch taktische und strategische Partner zu Angriffszielen werden. Bedrohungen können folglich zukünftig aus jeder Richtung kommen.
• Die Anzahl der APT-Gruppen wird weiter zunehmen, neue Akteure werden auf der Bildfläche erscheinen – auch solche, die verschiedene Industriesektoren angreifen. Die Aktivitäten dieser Gruppen werden – in Form von als Kriegsführungsinstrument genutzten Cyberangriffen auf Industrieunternehmen, dem Einsatz von Drohnen und dem Streuen mediengetriebener Fehlinformationen – mit lokalen Konflikten korrelieren.
• Komplexere Angriffe werden zunehmen. Neben Datendiebstahl und anderen fragmentierten Operationen dürften sich einige Gruppen im Jahr 2021 komplexeren Aktivitäten zuwenden – möglicherweise nach dem Vorbild von Stuxnet, Black Energy, Industroyer und Triton.
• Behördenübergreifende Angriffe und Übergriffe auf zentrale und lokale Regierungssysteme. Die Online-Präsenz kommunaler Dienste und Versorgungsunternehmen und die zunehmende Digitalisierung der staatlichen und öffentlichen Dienstleistungen werden diese anfälliger für Angriffe von Cyberkriminellen machen. Beispielsweise könnte ein Bedrohungsakteur einen staatlichen oder kommunalen Webdienst als Einstiegspunkt nutzen, um die interne Infrastruktur des Opfers zu kompromittieren. Die dort vorhandenen Kommunikationskanäle und die Versorgungskette, die verschiedene staatliche, kommunale und sogar private Organisationen miteinander verbinden, könnten dann dafür eingesetzt werden, das geplante Ziel – etwa die Abschaltung von Transportsystemen – zu erreichen.

Die Prognosen zu den Entwicklungen sind Teil des jährlichen Kaspersky Security Bulletin (KSB): https://securelist.com/ksb-2020/

[1] https://securelist.com/ksb-2020/

[2] https://www.kaspersky.de/blog/what-is-bec-attack/23416/

[3] https://ics-cert.kaspersky.com/reports/2020/11/05/attacks-on-industrial-enterprises-using-rms-and-teamviewer-new-data/

[4] https://ics-cert.kaspersky.com/reports/2020/09/15/threat-landscape-for-industrial-automation-systems-h1-2020/#_Toc49436660

[5] https://www.kaspersky.de/resource-center/threats/epic-turla-snake-malware-attacks

Nützliche Links:

• Kaspersky Security Bulletin: https://securelist.com/ksb-2020/
• Kaspersky Industrial Cybersecurity: https://www.kaspersky.de/enterprise-security/industrial

Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnder Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter https://www.kaspersky.de/