News Week: 2. September bis 9. September 2024

Cicada3301 Ransomware zielt auf VMware ESXi-Server ab

Die neue Ransomware Cicada3301, Teil eines wachsenden Trends im Bereich Ransomware-as-a-Service (RaaS) Trends, schlägt Wellen, indem sie speziell auf VMware ESXi-Server abzielt. Durch den Einsatz ausgeklügelter Verschlüsselungstechniken stört diese Ransomware Unternehmensnetzwerke durch doppelte Erpressungs-Ransomware-Angriffe, bei denen Daten gestohlen, verschlüsselt und gegen Lösegeld gehalten werden. Cicada3301, die ihren Namen und ihr Logo von der mysteriösen Organisation Cicada 3301 entlehnt hat, hat keine Verbindung zur ursprünglichen Gruppe. Seine Taktiken ähneln denen früherer Ransomware-Operationen wie BlackCat/ALPHV, indem sie Rust-basierte Verschlüsselung und Brute-Force-Angriffe verwenden, um in Systeme einzudringen. Die Gruppe nutzt auch das Brutus-Botnet für VPN-Brute-Forcing, was es zu einer gewaltigen Bedrohung macht. Durch die Verschlüsselung von Dateien auf virtuellen ESXi-Maschinen, das Herunterfahren von VMs und das Entfernen von Snapshots sorgt Cicada3301 für maximale Unterbrechung des Unternehmens. Dieser kalkulierte Ansatz richtet sich an Unternehmen, in denen virtuelle Umgebungen von entscheidender Bedeutung sind, und unterstreicht die zunehmende Gefahr von RaaS in der modernen Cyberlandschaft.

Verkada droht eine Strafe von 2,95 Millionen US-Dollar für Sicherheitsverletzungen und CAN-SPAM-Verstöße

Verkada, ein Anbieter von Überwachungskameras, hat sich in einem Vergleich mit der Federal Trade Commission (FTC) bereit erklärt, 2,95 Millionen US-Dollar zu zahlen, nachdem es zu erheblichen Sicherheitsmängeln gekommen war. Diese Sicherheitsverletzungen ermöglichten es Hackern, auf Live-Video-Feeds von über 150.000 Kameras an sensiblen Orten zuzugreifen, darunter Schulen, Gefängnisse und medizinische Einrichtungen. Die FTC stellte fest, dass Verkada es versäumt hat, grundlegende Sicherheitsmaßnahmen wie die Durchsetzung komplexer Passwörter und die Verschlüsselung von Kundendaten zu implementieren, obwohl es behauptete, „erstklassige“ Sicherheit zu verwenden. Bei einem größeren Vorfall nutzten Hacker eine Schwachstelle im Support-Server von Verkada aus und verschafften sich so administrativen Zugriff auf die Plattform des Unternehmens. Darüber hinaus sah sich Verkada mit einem Denial-of-Service-Angriff (DDoS) konfrontiert, nachdem ein Hacker das Mirai-Botnet auf einem kompromittierten Server installiert hatte. Die FTC warf Verkada auch vor, gegen das CAN-SPAM-Gesetz verstoßen zu haben, indem es Werbe-E-Mails ohne Opt-out-Optionen verschickt hat. Dieser Vergleich unterstreicht die falsche Darstellung von Verkada über seine Sicherheitspraktiken und die Folgen unzureichender Cybersicherheit.

Halliburton bestätigt Datenpanne bei RansomHub Ransomware-Angriff

Halliburton hat bestätigt, dass sensible Daten bei einem Cyberangriff gestohlen wurden, der mit der Ransomware RansomHub in Verbindung steht. In einer kürzlich bei der Securities and Exchange Commission (SEC) eingereichten Einreichung gab der Öl- und Gasriese bekannt, dass unbefugter Zugriff Dritter zur Exfiltration vertraulicher Informationen aus seinen Systemen führte. Der Verstoß, der ursprünglich am 22. August gemeldet wurde, hat zu erheblichen IT-Störungen geführt, so dass Halliburton gezwungen war, die Systeme vom Netz zu nehmen, um den Schaden einzudämmen. Die Ransomware-Gruppe RansomHub ist berüchtigt dafür, hochkarätige Unternehmen ins Visier zu nehmen und fortschrittliche Techniken einzusetzen, um in Netzwerke einzudringen und Daten zu exfiltrieren. Halliburton arbeitet mit dem Cybersicherheitsunternehmen Mandiant zusammen, um den Angriff zu untersuchen und zu beheben. Während das Unternehmen mit Kunden und Stakeholdern kommuniziert, bestehen weiterhin Bedenken hinsichtlich möglicher rechtlicher und reputationsbezogener Folgen. Obwohl Halliburton davon ausgeht, dass der Verstoß keine großen finanziellen Auswirkungen haben wird, ist die Gefahr künftiger Rechtsstreitigkeiten und des Misstrauens der Kunden aufgrund des RansomHub-Angriffs groß.

Microchip-Technologie im Visier von Play Ransomware, Daten gestohlen

Microchip Technology, ein führendes amerikanisches Halbleiterunternehmen, hat bestätigt, dass bei einem Cyberangriff, der mit der Play-Ransomware-Bande in Verbindung steht, sensible Mitarbeiterdaten gestohlen wurden. Die Sicherheitsverletzung, die Mitte August 2024 entdeckt wurde, wirkte sich auf den Betrieb mehrerer Produktionsstätten des Unternehmens aus und zwang sie, einige Systeme abzuschalten, um den Angriff einzudämmen. Während die Betriebssysteme inzwischen wiederhergestellt wurden, hat die Ransomware-Gruppe Play die Verantwortung übernommen, indem sie Microchip Technology auf ihrer Datenleck-Website aufgeführt und damit gedroht hat, weitere gestohlene Informationen zu veröffentlichen. Das Unternehmen untersucht immer noch das volle Ausmaß des Verstoßes, hat aber keine Beweise dafür gemeldet, dass Kundendaten kompromittiert wurden. Play ransomware, berüchtigt für ihre doppelten Erpressungstaktiken, hat es auf andere hochkarätige Organisationen abgesehen, darunter Rackspace und die Stadt Oakland. Dieser Vorfall unterstreicht die anhaltende Bedrohung durch die Play Ransomware, die seit ihrem Auftreten im Jahr 2022 an globalen Angriffen beteiligt war, von denen Hunderte von Unternehmen betroffen waren.

Gefälschtes OnlyFans-Tool lockt Cyberkriminelle in die Lumma Stealer-Malware-Falle

Cyberkriminelle, die es auf OnlyFans-Konten abgesehen haben, sind selbst Opfer einer betrügerischen Kampagne geworden, bei der ein gefälschtes „Checker“-Tool zum Einsatz kommt, das stattdessen die Lumma Stealer-Malware installiert.
Diese gefälschte Software, die als Tool zur Überprüfung gestohlener OnlyFans-Anmeldedaten beworben wird, ist in Wirklichkeit eine Malware-as-a-Service (MaaS)-Operation, die von Veriti Research entdeckt wurde.
Hacker, die das Tool verwenden, sind unwissentlich mit Lumma infiziert, einem fortschrittlichen Informationsdieb, der dafür bekannt ist, sensible Daten wie Passwörter, Zwei-Faktor-Authentifizierungscodes, Kryptowährungs-Wallets und gespeicherte Browser-Anmeldeinformationen zu extrahieren.
Lumma, das anderen Bedrohungsakteuren als abonnementbasierter Dienst angeboten wird, kann auch zusätzliche bösartige Nutzlasten laden und PowerShell-Skripte ausführen.
Dieses bösartige Tool ist nicht auf OnlyFans beschränkt. ähnliche gefälschte Checker, die auf Disney+- und Instagram-Konten abzielen, wurden in derselben Kampagne gefunden.
Dieses Beispiel unterstreicht die inhärenten Risiken, denen auch Cyberkriminelle ausgesetzt sind, da sie in der zunehmend tückischen Welt der Malware-as-a-Service sowohl zu Räubern als auch zu Beute werden.

Clop-Ransomware wird bei Cyberangriff auf Transport for London vermutet

Transport for London (TfL) hat nach einem Cyberangriff, bei dem der Zugriff der Mitarbeiter auf interne Systeme und E-Mails eingeschränkt wurde, mit Systemstörungen zu kämpfen.
Der Angriff, der am Sonntag bekannt wurde, hat noch keine Anzeichen für eine Kompromittierung von Kundendaten gezeigt, aber er hat zu weit verbreiteten betrieblichen Problemen geführt, einschließlich Verzögerungen bei der Bearbeitung von Rückerstattungen und der Bearbeitung von Oyster-Kartenanträgen.
Dieser Vorfall gibt Anlass zur Besorgnis über die Beteiligung der Clop-Ransomware-Bande, die bereits im Juli 2023 TfL ins Visier genommen und die Kontaktinformationen von 13.000 Kunden gestohlen hat, nachdem sie Schwachstellen in den von MOVEit verwalteten Dateiübertragungsservern eines Drittanbieters ausgenutzt hatte.
Die Clop-Ransomware ist für ihre doppelten Erpressungstaktiken bekannt und hat wiederholt Unternehmen ins Visier genommen, indem sie Systeme infiltrierte, sensible Daten exfiltrierte und dann mit der Offenlegung drohte, wenn kein Lösegeld gezahlt wird.
TfL arbeitet derzeit mit den nationalen Cybersicherheitsbehörden zusammen, um das Ausmaß der Sicherheitsverletzung zu bewerten, während die öffentlichen Verkehrsdienste trotz der Unterbrechungen weiterhin in Betrieb bleiben.
Dieser jüngste Cyberangriff verdeutlicht die anhaltende Bedrohung durch Clop-Ransomware und ihre Auswirkungen auf kritische Infrastrukturen.

Fazit

Da Cyberangriffe immer ausgefeilter werden, von der Cicada3301-Ransomware, die auf VMware ESXi-Server abzielt, bis hin zur Clop-Ransomware, die Störungen in kritischen Infrastrukturen verursacht, sehen sich Unternehmen aller Branchen mit beispiellosen Bedrohungen konfrontiert. Das Aufkommen von Ransomware-as-a-Service (RaaS), doppelten Erpressungstaktiken und Informationsdiebstählen wie Lumma verkompliziert die Sicherheitslandschaft weiter und macht Unternehmen anfällig für Datendiebstahl, Betriebsunterbrechungen und Reputationsschäden. Ganz gleich, ob es sich um Play Ransomware handelt, die den Produktionsbetrieb lahmlegt, oder um RansomHub, das auf hochkarätige Unternehmen abzielt, der Bedarf an proaktiver Cybersicherheit und effektiven Reaktionsstrategien ist wichtiger denn je. Als Spezialisten für Ransomware und Cybersicherheit bieten wir Expertendienstleistungen an, um Unternehmen bei der Wiederherstellung und dem Schutz vor diesen Bedrohungen zu unterstützen. Unsere Ransomware-Wiederherstellungsdienste, Ransomware-Lösegeldverhandlungen und Ransomware-Lösegeldzahlungen wurden entwickelt, um Unternehmen dabei zu unterstützen, nach einem Angriff die Kontrolle wiederzuerlangen. Wenn Ihr Unternehmen von Ransomware betroffen ist oder seine Abwehrmaßnahmen stärken möchte, kontaktieren Sie uns noch heute, um professionelle Unterstützung zu erhalten.