Cyberangriff auf US-Wasser- und Abwassersysteme

Die Cybersecurity and Infrastructure Security Agency (CISA) hat eine Warnung vor einer anhaltenden Cyberbedrohung für die US-amerikanischen Wasser- und Abwassersysteme herausgegeben und dabei fünf Vorfälle hervorgehoben, die sich zwischen März 2019 und August 2021 ereignet haben. Diese Anlagen dienen der Aufbereitung und Versorgung von Gemeinden im ganzen Land mit sauberem Trinkwasser. Die Warnung erfolgt nur wenige Tage, nachdem der US-Heimatschutzminister erklärt hatte, dass Angriffe dieser Art letztlich die Gesundheit und Sicherheit der US-Bürger gefährden können.

Überblick zu Breach

Ein gemeinsamer Bericht von CISA, FBI, EPA und NSA beschreibt die Sicherheitslücke als Versuch, die Systemintegrität durch unbefugten Zugriff zu gefährden . Die Angreifer nutzten zwei Wege, um in die WWS-Systeme einzudringen: Spear-Phishing und veraltete oder ungepatchte Betriebssysteme und Software.

Der Bericht beschreibt außerdem detailliert die fünf verschiedenen Cyberangriffe von 2019 bis Anfang 2021, die auf den WWS-Sektor abzielten:

• Ein ehemaliger Mitarbeiter einer WWS-Einrichtung in Kansas versuchte im März 2019, mit nicht widerrufenen Anmeldeinformationen per Fernzugriff auf einen Einrichtungscomputer zuzugreifen.
• Kompromittierung von Dateien und potenziellen Makop-Ransomware beobachtet in einer WWS-Einrichtung in New Jersey im September 2020
• Eine unbekannte Ransomware-Variante wurde im März 2021 gegen eine WWS-Einrichtung in Nevada eingesetzt
• Grundierungen ZuCaNo-Ransomware auf dem Abwasser-SCADA-Computer einer WWS-Anlage in Maine im Juli 2021
• A Ghost-Ransomware Angriff auf eine WWS-Einrichtung in Kalifornien im August 2021

Was sind diese Angriffe und was kann ich tun?

Speer-Phishing

Spear-Phishing ist eine Form des Phishing- Angriffs, die gezielt Personen oder Organisationen ins Visier nimmt, um an sensible Informationen zu gelangen. Ähnlich wie beim herkömmlichen Phishing wird beim Spear-Phishing eine gefälschte E-Mail an ein bestimmtes Ziel versendet, dessen Identität zuvor online recherchiert wurde und dessen Inhalte speziell auf die Zielperson zugeschnitten sind. Whaling ähnelt Spear-Phishing, zielt aber auf Führungskräfte in hohen Positionen ab, um Zugang zu deren vertraulichen Daten zu erlangen.

Was ist zu tun?

Phishing-Angriffe gehören zu den einfachsten Methoden, mit denen Sie Ihre Mitarbeiter darin schulen können, diese zu erkennen und zu vermeiden. Befolgen Sie diese Best Practices, um das Risiko eines Spear-Phishing-Angriffs zu verringern.

1. Schulen Sie Ihre Mitarbeiter darin, Phishing-Angriffe zu erkennen, zu vermeiden und zu löschen
2. Testen Sie Ihre Mitarbeiter mit Phishing-Tests und schulen Sie diejenigen, die bei Ihren Tests durchfallen, erneut.
3. Kaufen Sie einen Passwort-Manager und schulen Sie Ihre Mitarbeiter in deren Verwendung. Wenn Sie eine Phishing-Website besuchen und versuchen, Ihre Passwörter über einen Passwort-Manager einzugeben, ist dies NICHT möglich. Mitarbeiter, die Passwörter wiederverwenden, geben ihre Zugangsdaten mit Sicherheit wieder ein.
4. Um das Internet vor Phishing-Angriffen mit Ihrem Domänennamen zu schützen, richten Sie SPF, DKIM und DMARC-Einträge um den Empfang von E-Mails zu blockieren, die als Ihr Domänenname getarnt sind

Ungepatchtes Betriebssystem und Software

Patches (Updates) dienen in der Regel dazu, Probleme mit Geräten oder Softwarelösungen zu beheben. Oftmals veröffentlichen Hersteller Patches, um kritische Sicherheitslücken oder Schwachstellen zu schließen . Der Kauf von Standardsoftware (COTS) trägt zu einem kontinuierlichen Entwicklungszyklus bei, der auch Patches für die in Ihrem Unternehmen eingesetzte Software umfasst. Beachten Sie jedoch, dass jede Software das Ende ihres Lebenszyklus und des Supports erreichen kann . Das bedeutet, dass der Softwareentwickler keine Patches mehr zur Fehlerbehebung bereitstellt. In diesem Fall müssen Sie auf eine aktuellere Version Ihrer Hardware oder Software aktualisieren, um weiterhin Patches für Ihre IT-Infrastruktur zu erhalten.

Was ist zu tun?

Jedes KMU sollte einen Prozess für den Umgang mit kritischen Sicherheitswarnungen (Patches) haben, um Risiken schnell einzuschätzen und zeitkritische Entscheidungen über die weitere Vorgehensweise zu treffen. Mit einem implementierten Prozess für das Management von Sicherheitswarnungen (VAMP) erhalten Sie eine klare Anleitung, wann und wie Sie auf eine bestimmte Sicherheitslücke oder ein bestimmtes Risiko reagieren sollten.

Um stets auf dem neuesten Stand zu bleiben, ist der Einsatz einer cloudbasierten Patch-Management-Lösung unerlässlich, die Software automatisch aktualisiert, wann und wo immer dies erforderlich ist. Die meisten Managed Service Provider (MSPs) nutzen eine der drei führenden Remote Monitoring and Management (RMM)-Lösungen ( Connectwise , Datto und Kaseya) für das Patchen ihrer verwalteten Systeme. Diese RMM-Lösungen bieten ihren Kunden neben getesteten und validierten Patching-Services auch Monitoring und Fernzugriff.

Zu den eigenständigen Patch-Management-Lösungen für Unternehmen, die die oben genannten RMM-Lösungen nicht verwenden, gehören ManageEngine und Automox.

Identitäts- und Zugriffsmanagement

Bei einem der gemeldeten Verstöße versuchte ein entlassener Mitarbeiter, auf ein System zuzugreifen, das sein Live-Konto enthielt. Sorgen Sie für robuste Onboarding- und Offboarding-Prozesse, um Zugriffe zeitnah zu gewähren und zu entziehen. Kombinieren Sie diese mit einem vierteljährlichen Auditprozess, um die Einhaltung der Vorschriften sicherzustellen. Integrieren Sie Zwei-Faktor-Authentifizierung und Single Sign-On (SSO) in Ihr Unternehmen, um Compliance-Prüfungen zu vereinfachen und die allgemeine Sicherheit zu verbessern.

Ransomware

Ransomware ist eine Art Schadsoftware, die den Zugriff auf ein Computersystem und vor allem auf die darauf befindlichen kritischen Daten blockiert, bis ein Lösegeld gezahlt wird. Dies beeinträchtigt die Datenverfügbarkeit . In letzter Zeit wurde Ransomware so weiterentwickelt, dass Hacker die gesperrten Daten auf Online-Speicherseiten exportieren und mit deren Veröffentlichung drohen können, falls das Lösegeld nicht gezahlt wird. Dies beeinträchtigt die Datenvertraulichkeit.

Angreifer fordern üblicherweise Zahlungen in Bitcoin. Wie die Angriffe auf die Colonial Pipeline jedoch gezeigt haben, finden Bitcoin-Zahlungen auf einer öffentlichen Blockchain statt, was die Wiederherstellung des Großteils der Zahlungen ermöglichte. Jüngste Entwicklungen im Bereich Ransomware zeigen, dass Hacker vermehrt auf Zahlungen mit der Kryptowährung Monero umsteigen . Die Blockchain selbst verschleiert die Wallet-Adresse, den Transaktionsbetrag und den Zahlungsempfänger, was zu einer deutlich höheren Anonymität bei Kryptowährungszahlungen führt – genau das, was Kriminelle benötigen, um ihre Zahlungen vor der Rückgewinnung zu schützen.

Was ist zu tun?

Der beste Ansatz zur Abwehr von Ransomware ist wie folgt:

• Adoptieren Zwei-Faktor-Authentifizierung um einen Passwortmissbrauch des VPN, der E-Mail-Dienste und aller anderen kritischen Dienste Ihres Unternehmens zu verhindern, die direkt über das Internet zugänglich sind
• Führen Sie regelmäßige Datensicherungen durch, 3-2-1-Sicherungsmethode zum Sichern aller Ihrer kritischen und sensiblen Daten
• Mitarbeiter schulen zum Erkennen und Vermeiden von Phishing-Angriffen, die die häufigste Ursache für Ransomware-Angriffe sind
• Haben Sie eine dokumentierte und getestete Business Continuity- und Disaster Recovery-Plan (BCDR)

Quellen: 

DieHackerNews

Gemeinsamer CISA-Bericht

Zusätzliche Lektüre:

Behörden warnen vor anhaltenden Cyberbedrohungen für Wasseraufbereitungsanlagen

Behörden warnen vor Cyberbedrohungen für Wasser- und Abwassersysteme.

PCMagazine warnt vor Ransomware-Bedrohungen für Wasseraufbereitungssysteme

Finden Sie heraus, wie CyberHoot Ihr Unternehmen schützen kann.

Buchen Sie eine Demo