Phishing stoppen und verschlüsselte Datenexfiltration und Kommunikation unterbinden

Jay KelleySenior Manager, Produktmarketing | F5

Früher nahmen Phishing- und Spearphishing-Angriffe nur zu bestimmten Zeiten im Jahr stark zu, etwa rund um große Feiertage wie Weihnachten oder das chinesische Neujahrsfest, konsumorientierte Feiertage wie den Valentinstag oder das Laternenfest in China oder anlässlich großer Shopping-Events wie dem Black Friday oder Cyber Monday in den USA, dem Boxing Day (26. Dezember^th) im Vereinigten Königreich und im Commonwealth of Nations oder dem Singles’ Day (11. November^th) in Asien.

Angreifer erkannten dann, dass sie die durch Naturkatastrophen und von Menschen verursachte Katastrophen, Kriege, Krankheiten, Wahlen oder andere Ereignisse, die den aktuellen Nachrichtenzyklus bestimmen, ausgelöste FUD – Angst, Unsicherheit und Zweifel – ausnutzen konnten, um ihre bösartige Saat zu säen.

Im Vereinigten Königreich gab das Information Commissioner’s Office (ICO) an, dass Phishing von April 2019 bis März 2020 die häufigste Ursache für Cybervorfälle war. Das Office of the Australian Information Commissioner (OAIC) stellte fest, dass Phishing mit einem Anteil von 36 % an allen dort gemeldeten Fällen die Liste anführte.

Vor diesem Hintergrund haben Phishing- und Spear-Phishing-Angriffe im Laufe des Jahres 2020 drastisch zugenommen. Begünstigt wurde dies durch die Bedrohung einer weltweiten Pandemie, Quarantäne- und Lockdown-Maßnahmen in zahlreichen Ländern, Beschäftigte, die von zu Hause aus arbeiten müssen, und sogar umstrittene Wahlen in den USA und anderen Ländern. Selbst die Ankündigung, dass Impfstoffe gegen COVID-19 bereitstehen, wird ausgenutzt, um auch vorsichtige Menschen dazu zu verleiten, E-Mails von unbekannten Absendern zu öffnen – oder sogar von bekannten Absendern, deren Konten möglicherweise kompromittiert und übernommen wurden. Auf diese Weise werden Malware und andere schädliche Angriffsvektoren verbreitet, Benutzer- und Unternehmensdaten gestohlen oder unbefugte Zugriffe auf sensible Netzwerke, Clouds, Anwendungen und Daten ermöglicht.

Als einer der am häufigsten genannten Gründe für den jüngsten sprunghaften Anstieg von Phishing-Angriffen gelten die durch die COVID-19-Pandemie bedingten Anordnungen zur Arbeit im Homeoffice. Viele Beschäftigte, Auftragnehmer und andere Mitarbeitende waren gezwungen, von zu Hause oder aus der Ferne zu arbeiten, was schnell die unerwünschte Aufmerksamkeit von Angreifern auf sich zog. Diese erkannten, dass Menschen im Homeoffice mit hoher Wahrscheinlichkeit unter erhöhtem Druck stehen, unvorsichtiger werden und auf Links in nahezu jeder E-Mail klicken könnten – selbst in solchen, die normalerweise Verdacht erregen würden. Sie wissen außerdem, dass Beschäftigte im Homeoffice möglicherweise private Geräte im Rahmen von BYOD nutzen, auf denen die von Unternehmen üblicherweise zum Schutz vor Angriffen wie Phishing eingesetzten Tools fehlen. Angreifer und Hacker gehen zudem davon aus, dass Beschäftigte im Homeoffice möglicherweise nicht über genügend Bandbreite verfügen, um Sicherheitssoftware dauerhaft auszuführen oder auf dem neuesten Stand zu halten, und deshalb ihre Sicherheitssoftware deaktivieren oder Updates versäumen könnten. Häufig liegen sie damit richtig.

Phishing und Verschlüsselung

Mit der rasanten Zunahme von Phishing-Angriffen ist auch die Zahl der Phishing-Websites, die Verschlüsselung verwenden, entsprechend gestiegen. Laut dem aktuellen Phishing and Fraud Report 2020 von F5 Labs leiten fast 72 % der Phishing-Links ihre Opfer auf HTTPS-verschlüsselte Websites weiter. Das bedeutet, dass die überwiegende Mehrheit der schädlichen Phishing-Websites inzwischen wie legitime, vertrauenswürdige Websites erscheint und selbst die versiertesten Beschäftigten leicht täuschen kann. Diese Daten wurden auch durch Untersuchungen in anderen Berichten bestätigt, darunter ein Bericht von Venafi, in dem verdächtige Domains aufgedeckt wurden, die denen von Einzelhändlern täuschend ähnlich sehen und gültige Zertifikate verwenden, um Phishing-Websites legitim erscheinen zu lassen, was zum Diebstahl vertraulicher Konto- und Zahlungsdaten führt.

Und nicht nur bösartige Websites nutzen TLS-Verschlüsselung, um überzeugend und legitim zu wirken. Auch die Ziele, an die durch Phishing-Angriffe eingeschleuste Malware Daten sendet, die sie von Opfern und deren Organisationen entwendet, setzen darauf. Diese Ziele werden als Drop-Zones bezeichnet. Laut dem Phishing and Fraud Report 2020 von F5 Labs nutzten alle – also 100 % – der Vorfälle mit Drop-Zones, die das F5 Security Operations Center (SOC) im Jahr 2020 untersuchte, TLS-Verschlüsselung.

Bedrohungen in verschlüsseltem Datenverkehr zu erkennen, ist nicht einfach

Heutzutage gibt es eine Reihe von Lösungen, die Phishing aus unterschiedlichen Blickwinkeln bekämpfen. Einige Lösungen schulen Mitarbeitende darin, Phishing-Angriffe zu erkennen und richtig damit umzugehen, um deren Erfolgsquote und Wirksamkeit zu verringern. Andere Lösungen konzentrieren sich auf die E-Mail-Sicherheit und schützen unter anderem vor Spam, Malware, schädlichen Anhängen und BEC-Angriffen. Darüber hinaus gibt es Dienste zur Verwaltung der E-Mail-Kommunikation eines Unternehmens. Manche Angebote fungieren sogar als Proxy für den Webverkehr eines Unternehmens, replizieren oder imitieren ihn und übermitteln Code zur Darstellung an lokale Geräte oder bilden die Webseite nach – jedoch ohne den zugrunde liegenden verdächtigen und möglicherweise schädlichen Code.

All dies sind zwar hervorragende Lösungen, doch das Problem des Umgangs mit verschlüsseltem Datenverkehr bleibt bestehen. Verschlüsselter Datenverkehr muss zunächst entschlüsselt werden, bevor er auf Malware und anderen gefährlichen Code überprüft werden kann. Dies gilt sowohl für verschlüsselten Datenverkehr, der in das Unternehmen gelangt, weil Benutzer in Phishing-E-Mails auf schädliche, mit Malware verseuchte Links klicken, mit Schadcode infizierte Anhänge herunterladen oder bösartige Websites aufrufen, die echt und harmlos erscheinen, weil sie über das „richtige“ Verschlüsselungszertifikat verfügen, als auch für ausgehenden verschlüsselten Datenverkehr, über den gestohlene Daten an eine verschlüsselte Ablagestelle übertragen oder Command-and-Control-Server (C2) kontaktiert werden, um weitere Anweisungen oder Auslöser für noch mehr Angriffe abzurufen.

Dabei ist noch nicht einmal berücksichtigt, dass staatliche Datenschutzvorschriften wie die Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union (EU), der California Consumer Privacy Act (CCPA) oder zahlreiche andere Vorschriften, die derzeit in Ländern weltweit diskutiert werden, in der Regel Bestimmungen enthalten, die die Entschlüsselung personenbezogener Nutzerdaten wie Finanz- oder Gesundheitsdaten untersagen. Bei jeder Entschlüsselung verschlüsselten Datenverkehrs müssten diese Datenschutzvorgaben eingehalten werden, andernfalls drohen Unternehmen, die gegen diese Vorschriften verstoßen, Gerichtsverfahren und erhebliche Geldbußen.

Aber warten Sie, es kommt noch mehr …

Doch damit nicht genug: Bei heutigen Phishing-Angriffen, die Verschlüsselung nutzen, gibt es noch weitere Aspekte, die Unternehmen beachten müssen. Der Phishing and Fraud Report 2020 von F5 Labs ergab außerdem, dass über 55 % der Drop-Zones einen nicht standardmäßigen SSL-/TLS-Port verwenden, während über 98 % der Phishing-Websites Standardports nutzten, etwa Port 80 für unverschlüsselten HTTP-Datenverkehr und Port 443 für verschlüsselten Datenverkehr. Das bedeutet, dass es insbesondere bei ausgehendem verschlüsseltem Datenverkehr nicht ausreicht, nur Standardports zu überprüfen. Die eingesetzten Lösungen müssen ausgehenden Datenverkehr auch auf nicht standardmäßigen Ports überprüfen und entschlüsseln. Dies ist unerlässlich, um die Verschleierung und Exfiltration kritischer Daten zu unterbinden.

Um verschlüsselte Bedrohungen durch Phishing-Angriffe abzuwehren, müssen Unternehmen heute den gesamten eingehenden SSL-/TLS-Datenverkehr überprüfen. So lässt sich sicherstellen, dass schädlicher oder möglicherweise durch Phishing ausgelöster Web-Datenverkehr gestoppt und beseitigt wird. Dabei muss die Überprüfung jedoch in der Lage sein, die Entschlüsselung von verschlüsseltem Datenverkehr mit sensiblen Benutzerdaten, etwa Finanz- oder Gesundheitsinformationen, intelligent zu umgehen. Darüber hinaus müssen Unternehmen nicht standardmäßige ausgehende Web-Ports entweder vollständig blockieren oder zumindest überwachen. Dadurch lässt sich verhindern, dass Malware verschlüsselt mit C2- und Drop-Zone-Servern kommuniziert, Daten exfiltriert oder Angriffe auslöst. Zudem sind weitere wichtige Aspekte zu berücksichtigen, beispielsweise die von den Geräten im Sicherheits-Stack unterstützte Verschlüsselungsart. Weiß ein Angreifer etwa, dass ein bestimmtes Sicherheitsgerät Forward Secrecy (auch als Perfect Forward Secrecy oder PFS bezeichnet) nicht unterstützt, kann er dies ausnutzen, sodass das Gerät den verschlüsselten Datenverkehr einfach durchleitet. Dies ist besonders kostspielig und gefährlich in Umgebungen, in denen die Sicherheitsgeräte im Stack hintereinandergeschaltet sind. Umgeht das Gerät, das PFS nicht unterstützt, den Datenverkehr, wird dieser auch von allen nachfolgenden Geräten in der Kette umgangen.

Ohne diese Schutzmaßnahmen – zusätzlich zu Schulungen zum Sicherheitsbewusstsein und implementierten E-Mail-Sicherheits- oder Anti-Phishing-Lösungen – setzen sich Unternehmen der Gefahr von Angriffen und Sicherheitsverletzungen sowie dem Diebstahl kritischer Unternehmens- und Benutzerdaten aus.

Weitere Informationen dazu, wie F5 SSL Orchestrator die durch verschlüsselten Datenverkehr entstehenden Sicherheitslücken beseitigen und die Verschleierung bei der Ausschleusung und dem Diebstahl kritischer Daten durchbrechen kann, finden Sie hier.

Über den Autor

Jay KelleySenior Manager, Produktmarketing | F5

Weitere Blogbeiträge von Jay Kelley