Ransomware

Was ist Ransomware?

Ein Anrufer aus der „IT“ warnt Sie, dass ein dringendes Sicherheitsupdate unterwegs ist. Wenige Minuten später trifft die E-Mail mit dem Anhang security_update.exe ein, und die Antivirenwarnung erscheint Ihnen wie ein weiteres Hindernis. Diese Übung begleitet einen Ransomware-Angriff vom ersten Anruf bis zur Lösegeldforderung und dann durch die Reaktion: kein Lösegeld zahlen, den Rechner vom Netzwerk nehmen, die täuschend ähnliche Absenderdomain erkennen, ein IT-Ticket einreichen und die Phishing-E-Mail melden.

Was Sie lernen in Ransomware

• Erkennen Sie die Warnsignale für die Einschleusung von Ransomware über E-Mail-Anhänge, darunter unerwartete Dateitypen und Druck durch Social Engineering
• Leiten Sie sofortige Eindämmungsmaßnahmen ein, indem Sie die Netzwerkverbindung trennen und das betroffene Gerät innerhalb der ersten 60 Sekunden isolieren
• Erkennen Sie einen Anruf, der Sie darauf einstimmt, einer anschließenden E-Mail zu vertrauen, und überprüfen Sie unerwartete IT-Anfragen über offizielle Kanäle
• Befolgen Sie die Incident-Response-Schritte Ihrer Organisation bei Ransomware, einschließlich der Meldung über das IT-Support-Portal und der Kennzeichnung der Phishing-E-Mail
• Erklären Sie, warum eine Lösegeldzahlung keine Datenwiederherstellung garantiert und wie sie fortlaufende kriminelle Aktivitäten finanziert

Ransomware — Trainingsschritte

1. Ein verdächtiger Anruf

   Es ist ein typischer Montagmorgen und Alice richtet sich an ihrem Schreibtisch ein. Während sie ihre Aufgaben ordnet, klingelt ihr Mobiltelefon. Die Anruferkennung zeigt „Unbekannt“ an.

2. Dringende Aufforderung

   Neugierig nimmt Alice den Anruf entgegen. Der Anrufer gibt sich als Mitarbeiter der IT aus und warnt sie vor einem dringenden Sicherheitsupdate. Er legt schnell wieder auf, und Alice fühlt sich unter Druck, der Aufforderung nachzukommen.

3. E-Mail prüfen

   Nach dem Anruf öffnet Alice ihren E-Mail-Client, um nach der versprochenen Nachricht zu suchen. In ihrem Posteingang entdeckt sie eine E-Mail von „IT-Support“ mit der Betreffzeile „Dringend: Sicherheitsupdate erforderlich“. Der drängende Ton fällt auf. Alice erinnert sich an den Anruf und hält die Nachricht für das angekündigte legitime Update.

4. Lesen der E-Mail

   Die E-Mail wirkt professionell und sagt genau das, was der Anrufer angekündigt hat: ein Sicherheitsupdate, das noch heute installiert werden soll. Alice vertraut dem Absender und beschließt, fortzufahren.

5. Antivirenwarnung

   Alice lädt den Anhang herunter und „security_update.exe“ erscheint in ihrem Dateimanager. Kurz darauf warnt das Antivirenprogramm, dass die Datei möglicherweise verdächtig ist. Durch den Anruf und die Dringlichkeit der E-Mail beruhigt, ignoriert Alice die Warnung. Sie hält die Datei für ein gewöhnliches Update des IT-Teams von Nexlify Solutions.

6. Ransomware-Angriff

   Sobald Alice die Datei ausführt, flackert ihr Bildschirm und eine bedrohliche Meldung erscheint: „Alle Ihre Dateien wurden verschlüsselt. Um den Entschlüsselungsschlüssel zu erhalten, überweisen Sie 1 BTC. Versuchen Sie nicht, Dateien selbst zu entschlüsseln, die Behörden einzuschalten oder verschlüsselte Dateien zu verändern.“ Alice erschrickt, als ihr klar wird, dass sie einem Ransomware-Angriff zum Opfer gefallen ist. Auf ihre wichtigen Arbeitsdateien kann sie nun nicht mehr zugreifen; Panik und Reue machen sich breit.

7. Ablehnung der Lösegeldzahlung

   Alice nimmt sich einen Moment, um sich zu sammeln. Sie erinnert sich an eine Schulung von Nexlify Solutions, in der von Lösegeldzahlungen abgeraten wurde: Sie garantieren keine Wiederherstellung der Dateien und finanzieren Cyberkriminelle. Alice ist entschlossen, Bobs Forderung nicht nachzugeben, und hält sich stattdessen an den vorgesehenen Incident-Response-Plan.

8. Trennung vom Netzwerk

   Um zu verhindern, dass sich die Ransomware auf andere Systeme von Nexlify Solutions ausbreitet, muss Alice ihren Rechner sofort vom Netzwerk nehmen. Die erste Wahl ist immer, die Netzwerkverbindung zu kappen und den Rechner laufen zu lassen: Der flüchtige Arbeitsspeicher kann forensisch relevante Beweismittel und gelegentlich auch Entschlüsselungsschlüssel enthalten. Alices Arbeitsplatzrechner ist jedoch nur per WLAN verbunden, es gibt kein Kabel zum Abziehen, und die Lösegeldforderung blockiert den Bildschirm, sodass sie den WLAN-Schalter nicht erreicht. Wenn sich ein Rechner auf keine andere Weise isolieren lässt, ist das Herunterfahren die anerkannte Notlösung.

9. Warnsignale erkennen

   Noch immer erschüttert wechselt Alice an ihren zweiten PC und öffnet die E-Mail erneut, um herauszufinden, was schiefgelaufen ist. In Ruhe gelesen, verrät sie sich an mehreren Stellen.

10. Internes Supportsystem

    Alice weiß, dass sie die IT-Abteilung von Nexlify Solutions umgehend informieren muss. Im Webbrowser öffnet sie das unternehmensinterne IT-Support-Ticketsystem und meldet sich mit ihrem Konto an.