Cyber Criminals Never Sleep - Developments/Trends in IT Security

Transkript

1 Trend Micro Cyber Criminals Never Sleep - Developments/Trends in IT Security Robert Baumgartner Advisory Technical Consultant

2 2

3 Jan Ransomwares SPN DETECTION HITS LECTOOL EMPER CRYPRADAM MEMEKAP CRYPNISCA CRYPJOKER CRYPRITU LECTOOL EMPER CRYPRADAM MEMEKAP INFECTION VECTOR CRYPNISCA CRYPJOKER CRYPRITU SPAM 2 BTC SPAM SPAM SPAM SPAM DISGUISED AS SPAM PDF ATTACHMENT MODE OF PAYMENT NO RANSOM NOTE 13 BTC 0.5 BTC 1 BTC ENCRYPTED DATA need to malware author to get payment instructions 0.1 BTC PERSONAL FILES PERSONAL FILES DB FILES + DB FILES WEB PAGES DB FILES ENCRYPTION NO ADDITION TO PERSONAL FILES DB FILES DB FILES KEYS ARE GENERATED LOCALLY PRIVATE KEY IN THE SERVER KEYS ARE GENERATED LOCALLY ENCRYPTION KEY IN THE SERVER SELF-DESTRUCT KEYS ARE GENERATED LOCALLY KEYS ARE GENERATED LOCALLY AND DELETED PUBLIC KEY FROM C&C 3 NO NO NO NO NO NO NO

4 March Ransomwares It speaks!! SPN DETECTION HITS Power shell script TESLA 4.0 CERBER CRYPAURA KeRanger MAKTUB SURPRISE PETYA Powerware CRIPTOSO COVERTON CERBER EXPLOIT KIT CRYPAURA SPAM KERANGER APPSTORE TESLA MACRO OR JS ATTACHMENT + EXPLOIT KIT MAKTUB SURPRISE INFECTION VECTOR TERMS-OF_SERVICE (TOS) SPAM MODE OF PAYMENT TEAM VIEWER unique PETYA POWERWARE CRYPTOSO COVERTON JOB APPLICATION WITH DROPBOX LINK MACRO DOWNLOADER ATTACHMENT <TO BE UPDATED> <TO BE UPDATED> <TO BE BTC UPDATED> 1 BTC 1.3 BTC BTC $588 - $1638 ENCRYPTED DATA 0.5 to 25 BTC BTC $431 - $862 unique BTC $500 - $ BTC then increases by 1 BTC daily 1 BTC PERSONAL FILES PERSONAL FILES DB FILES DB FILES CODES MACOS FILES GAMES GAMES WALLET ACCOUNTING/ FINANCE FILES ENCRYPTION OVERWRITES MBR & BSOD US TAX RETURN FILES <TO BE UPDATED> DB FILES PRIVATE KEY IS OBTAINED AFTER PAYMENT PUBLIC KEY FROM C&C PUBLIC KEY FROM C&C 5 KEY PAIRS PRIVATE KEY IS OBTAINED GENERATED LOCALLY AFTER PAYMENT 1 KEY REQUIRES RSA KEY SELF-DESTRUCT AES KEY GENERATED PRIVATE KEY IS OBTAINED AFTER PAYMENT PRIVATE KEY IS OBTAINED LOCALLY AFTER PAYMENT <TO BE UPDATED> PRIVATE KEY IS OBTAINED AFTER PAYMENT 4 NO NO NO NO NO NO NO <TO BE NO UPDATED>

5 Regionale Ransomware Wellen Jänner 2016 Sun Mon Tue Wed Thu Fri Sat

6 Number of people 300 CryptoWall: Number of clicks on malicious URLs per hour on day of outbreak - June :00 07:00 08:00 09:00 10:00 11:00 12:00 13:00 14:00 15:00 16:00 17:00 18:00 19:00 Time of Day 2015_06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_ _06_30

7 Funktionsweise Ransom Benachrichtigung Bezahlen Sie Ransom Daten entschlüsselt?? ODER Verschiedene Angriffsvektoren Daten verschlüsselt Daten aus Backup 7

8 Drohung der Veröffentlichung von Daten Wenn Sie nicht bezahlen werden Ihre privaten Daten wie zb. Bilder oder Videos mit Juni Ihrem 2016: Namen Ransomware im Internet inkl. Helpdesk veröffentlicht Support Juni 2016: Ransomware Flocker für Smart-TV Juli 2016: Ransomware as a Service RaaS 8

9 Schutz gegen Ransomware Back-up and Restore Automatisiert: 3 Kopien, 2 Formate, 1 air-gapped ausserhalb des eigenen Netzwerks Aktuelle Versionen durch Patchen Minimieren von Schwachstellen Mitarbeiter-Schulung zu Phishing Bewusstsein schaffen, Praxisbeispiele, Simulation / Tests Zugriffskontrolle Zugang zu Business critical data einschränken Don t Pay the Ransom Zahlungen ermutigen zu weiteren Attacken, Keine Garantie der Wiederherstellung!!! Sicherheitsmechanismen anpassen Best Practices für bestehende Lösungen, zusätzliche Technologien 9

10 Network Traffic Scanning Ransomware Behavior Monitoring Gateway Vulnerability Shielding Malware Sandbox Application Control Spear phishing Protection Malware Sandbox Server Network Endpoint Web Gateway Lateral Movement Prevention Lateral Movement Prevention Vulnerability Shielding IP/Web Reputation 10

11 Daten aus unserem Smart Protection Network (SPN) Die meisste Ransomware kann bereits am Gateway Layer gestoppt werden! Behavior Monitoring zur Erkennung und Abwehr ist der letzte aber wichtigste Schritt gegen Ransomware!!!

12 Trend Micro Schutz gegen Malware 12

13 Connected Threat Defense: Besserer, schnellerer Schutz Ermöglichen von schnellen Gegemaßnahmen durch Shared Threat Intelligence und Verteilung durch Real-time Security Updates Beurteilung potentieller Schwachstellen, Pro-Aktiver Schutz für Endgeräte, Server und Applikationen RESPOND PROTECT Zentrale Übersicht der Systeme zur Analyse und Abschätzung des Einflusses durch Bedrohungen DETECT Erkennung von Advanced Malware, verhaltensbasierte Analyse und Kommunikationsüberwachung die unsichtbar für Standard 3 rd Party Security ist 13

14 Vielen Dank für Ihre Zeit! 14