Ransomware ist für Cyberkriminelle ein gutes Geschäft, mit dem sie jedes Jahr mehrere hundert Millionen US-Dollar verdienen. Damit das so bleibt, verschlüsseln sie nicht mehr nur die Produktivsysteme, sondern erkunden meist erst die Backup-Infrastruktur, um Datensicherungen zu löschen oder unbrauchbar zu machen. Auf diese Weise erhöhen sie den Druck auf Unternehmen, das geforderte Lösegeld tatsächlich zu zahlen.
Fünf Methoden, Backups zu manipulieren
Typische Vorgehensweisen sind:
1. Löschen oder Verschlüsseln der Backups: Haben Angreifer die Backup-Server beziehungsweise die Backup-Repositories auf Storage-Systemen identifiziert, löschen oder verschlüsseln sie im einfachsten Fall die dort liegenden Datensicherungen, bevor sie die Produktivsysteme ins Visier nehmen. Das Auslagern in die Cloud oder das Speichern einer Backup-Kopie an einem anderen Standort sind keine wirksamen Gegenmaßnahmen, denn die Angreifer verschaffen sich in der Regel einen Überblick über die gesamte IT-Umgebung – schon allein, um die wichtigsten Daten und Systeme zu ermitteln. Dabei finden sie dann auch externe Sicherungen und Backup-Kopien.
2. Austricksen von Security-Lösungen: Das Löschen oder Verschlüsseln ist relativ auffällig, weil große Datenmengen betroffen sind, die üblicherweise nicht verändert werden. Gute Security-Lösungen bemerken so etwas und schlagen Alarm. Um dies zu verhindern, beschränken sich Angreifer oft darauf, nur einige Bits der Sicherungen zu modifizieren. Das geht deutlich schneller und bleibt eher unbemerkt, hat aber denselben Effekt: Das Backup ist beschädigt und lässt sich nicht mehr einspielen.
3. Umgehen von Sperrfristen: Viele Datensicherungen sind durch einen Mechanismus geschützt, der das versehentliche oder mutwillige Löschen beziehungsweise Verändern innerhalb einer vordefinierten Zeitspanne verhindert. Diese auch bei der Archivierung von Daten genutzte WORM-Funktionalität (Write Once, Read Many) wird im Backup-Bereich beispielsweise Data Lock, Object Lock oder Retention Lock genannt. Angreifer können den Schutz jedoch oft aushebeln, wenn keine zusätzlichen Sicherheitsfunktionen implementiert sind, und das bisweilen verblüffend einfach. Manchmal genügt es schon, die Systemzeit zu verändern und Storage-Systemen und Backup-Lösungen vorzutäuschen, die Sperrfrist sei abgelaufen. Ist das geschafft, lassen sich die Sicherungen problemlos löschen, verschlüsseln oder anderweitig manipulieren.
4. Verändern von Berechtigungen für Backup-Dienstkonten: Über Service-Konten greifen Backup-Lösungen auf Systeme, Verzeichnisse und Datenbanken zu, um Daten zu sichern. Entziehen Angreifer ihnen die Berechtigungen dafür, schlagen Sicherungsversuche fehl, weil die Quellsysteme den Zugriff verweigern.
5. Manipulieren der Backup-Software: Erbeuten Angreifer die Zugangsdaten von Backup-Administratoren oder finden Schwachstellen in Sicherungslösungen, können sie die Backup-Software selbst manipulieren. Damit ist es ihnen beispielsweise möglich, Benachrichtigungen und Alarme abzuschalten, die die Verantwortlichen auf fehlgeschlagene Sicherungsversuche hinweisen. Sie können aber auch Backup-Dienste deaktivieren und Zeitpläne verändern, sodass Systeme nicht oder nicht mehr regelmäßig gesichert werden und nach einer Ransomware-Attacke kein aktuelles Backup vorliegt. Besonders perfide ist das Eintragen von falschen Verzeichnissen als Sicherungsquelle, damit statt kritischen nur wertlose Daten gesichert werden. Der Backup-Prozess läuft erfolgreich durch, doch das Backup enthält nicht die Informationen, die im Ernstfall gebraucht werden.
Fazit
„Einfach nur regelmäßig Backups zu erstellen reicht nicht mehr“, betont Tobias Krause, Data Protection Solutions Software Specialist bei Dell Technologies. „Unternehmen benötigen ganzheitliche Cyberresilienz-Strategien, um sich vor Angriffen zu schützen – auch vor solchen, die auf die Backup-Infrastruktur abzielen. Ein erster Schritt dorthin sind Sicherungslösungen, die sich nicht so leicht manipulieren lassen, weil sie beispielsweise für die Änderung wichtiger Einstellungen ein 4-Augen-Prinzip vorsehen, Veränderungen der Systemzeit mit einer Secure System Clock verhindern und wirklich alle Backups – und nicht nur Stichproben – regelmäßig auf Integrität und Funktionsfähigkeit prüfen.“
„Unternehmen müssen ihre Angriffsfläche verkleinern und die Fähigkeit aufbauen, Cyberattacken frühzeitig zu erkennen und schnell einzudämmen – damit minimieren sie auch das Risiko, dass Backups unbrauchbar gemacht oder Sicherungslösungen manipuliert werden“, ergänzt Sebastian Theile, Data Protection Solutions Software Sales Specialist bei Dell Technologies. „Eine Kopie der wichtigsten Daten gehört unabhängig davon aber in einen Cyber-Vault, der vom Rest der Infrastruktur getrennt ist, sodass Angreifer ihn nicht erreichen, und der die Daten mit einer intelligenten Forensik überwacht.“
