Webinar: Cyberangriff - Frontbericht

Alarmstufe Rot
Cyberangriff!
16.05.2021 / Erfahrungsbericht und Ratschläge aus der Praxis von Andreas Plüer / Referat A. Baggenstos & Co. AG

Alarmstufe Rot: Wie ich einen Hackerangriff (üb)erlebte
• Was ist passiert?
Welche Auswirkungen hatte der Angriff auf das Unternehmen
• Weshalb ist das passiert?
Wie sind die Hacker vorgegangen
• Womit hätte der Angriff erschwert werden können?
Präventive Vorkehrungen zum Schutz vor einem Cyberangriff
• Welches sind meine Empfehlungen für Sie?
Konkrete Ratschläge zur Risikominderung
16.06.2021 | Alarmstufe Rot: Cyberangriff!. Referat Referat A. Baggenstos & Co. AG | © EKT AG 3

Vorgeschichte
Quelle: Meier Tobler AG
Quelle: Meier Tobler AG

Ruhe vor dem Sturm
Quelle: LAAX / Danuser
Quelle: shanemyersphoto

Die SMS, mit der mein Alptraum begann…
06:45

Angriff!
Quelle: James Thew

Zeitlicher Ablauf nach dem Angriff am 23./24.07.2019
Information Geschäftsleitung Meier Tobler durch CFO
Einberufung Krisenstab, Information der Führungskräfte, Rückholung von Schlüsselpersonen aus den
Ferien (u.a. CIO), Bezug «War Room»
CIO eingetroffen, erste Krisenstabsitzung zur Lagebeurteilung und Beschluss von Softortmassnahmen
Schadensbild ermittelt, Cyber Security Experten aufgeboten
Priorisierung erstellt, Wiederherstellungsarbeiten gestartet
Ungewöhnliches Verhalten der IT-Überwachungssysteme, Systemfunktionen gestört, unübersichtliche
Gesamtlage für den IT-Dienstleister, Eskalation innerhalb seiner Pikettorganisation
Feststellung einer Malware-Attacke. Entscheid zum sofortigen, geordneten Ausschalten aller Systeme
CIO-Stv. informiert CFO (Leiter Krisenstab) und CIO, Statusdeklaration «Major Incident»

Reaktion der Medien: Beitrag SRF Börse vom 26.07.19
Quelle:
SRF
Börse

0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
100%
Tag 1 Tag 2 Tag 3 Tag 4 Tag 5 Tag 6 Tag 7 Tag 8 Tag 71
Liefer- und Servicebereitschaft in %
Krisenbewältigung auf der Zeitachse
21.10.2020 | Alarmstufe Rot: Referat CoWorking Weinfelden | © EKT AG 10
Telefonzentrale
operativ
EDR/SOC
installiert
SAP
operativ
auf 20 Clients
Zentrallager 1
operativ
Service App
operativ
Erste Kunden-
lieferung
200 Arbeits-
plätze operativ Zentrallager 2
operativ
Verteilung neu
aufgesetzte
PCs
Tag 130

Krisenstab im «War Room»
Quelle:
Meier
Tobler
AG

Weshalb ist das passiert? Wie gingen die Täter vor?
(Erklärung von Melani, Nationales Zentrum für Cybersicherheit)
oder CobaltStrike
Quelle: melani.admin.ch

Wie gingen die Täter vor?
(bitte eine Erklärung, die alle verstehen!)
Bösewicht
(Cyber-Angreifer) Haus
(Unternehmung)

Zuerst etwas zum Thema Netzwerksicherheit:
Zugriffsversuch von aussen
Wachhund
(Firewall)
!#

Phase «Delivery», Spear Phishing mit Schadprogramm
Postbote
(E-Mail mit Attachment) Bewohner
(Benutzer)
Paket
(Malware)

Phase «Installation» der Malware
???
ferngesteuerter Spielroboter
(Emotet Malware)

Phase «Command & Control»
Funkgerät zum Bösewicht
(Beacon zum Command-and-Control Server)
Bösewicht im Versteck
(Professionelle Angreifergruppe mit
Command-and-Control Server «C&C»)
«Wer im Haus ist, ist ein
Freund, der darf raus und
wieder rein»
(Dynamischer Paketfilter
der Firewall)

Phase «Installation» weiterer Schadsoftware
Werkzeugkasten
(Cobalt Strike
Pen-Test-Soft-
ware)

???
✓
Funkgerät und Werkzeugkasten
getarnt
(Kommunikation limitiert,
Domain Fronting, Malleable C2
Profiles)

Passepartout für alle
Räume
(Lateral movement)
Ausweisfälschung
(Privillege escalation)
Kopierer von Bewohnern
(Hash reverse decryption)

Phase «Command & Control»
Bösewicht kopiert Bewohner,
gibt ihm gefälschten Ausweis
und Passepartout
(Vertical privilege escalation,
gestohlener Benutzer mit
Domain-Admin-Rechten)

Phase «Action on Objectives»
Angreifer gewinnt Zugang zur Haus-
zentrale mit Passepartout und übernimmt
damit die Kontrolle über das ganze Haus
(Angreifer übernimmt Domain Controller,
dann «Actions on Objective», d.h.
Exfiltration von Daten, Sabotage,
Spionage, Verschlüsselung)
Hauszentrale
(Domain Controller)

Phase «Action on Objectives»
Wohnung wird unbewohnbar gemacht
Schlüssel ausgewechselt
Lösegeldforderung
(MegaCortex-Verteilung,
Verschlüsselung aller Server, Clients
und Daten, Lösegeldforderung:
Bitcoins)

Nun wissen Sie Bescheid!
Kurze Zusammenfassung der Hauptdarsteller
Bösewicht
Cyber-Angreifer
Wachhund
Firewall
Postbote
E-Mail mit
Attachment
Spielroboter
Emotet Malware
Funkgerät
Beacon zum
C&C Server
Cobalt Strike
Pen-Test-Software
Werkzeugkasten
Privillege
escalation
Ausweisfälschung
Passepartout
Lateral
movement

(jetzt ist vieles klarer!)
oder CobaltStrike
Quelle:
melani.admin.ch

(Fortsetzung)
Quelle:
melani.admin.ch
oder MegaCortex

Welche Vorkehrungen hätten den Angriff erschwert?

Welche Vorkehrungen hätten den Angriff erschwert?
• Ausbruchszeit zwischen Erstangriff (Emotet) und Hauptangriff (CobaltStrike) bei Meier Tobler: 72 Tage
• Diese Zeit wäre zur Angriffsbekämpfung zur Verfügung gestanden, wäre der Angriff entdeckt worden
A
N
Quelle: CrowdStrike

• Gewinnen Sie die Einsicht, dass jede Unternehmung, egal in welcher Branche und von welcher Grösse, ein
Ziel eines Cyberangriffs werden kann. Es ist eine Frage des Aufwands, den der Angreifer dazu betreiben will.
• Bauen Sie ein effektives Sicherheitsdispositiv auf (folgender Präsentationsteil)
• Berücksichtigen Sie den Faktor "Mensch": Informieren und sensibilisieren Sie Ihre Anwender. Beim
Cyberangriff ist der Mensch in der Regel das schwächste Glied (Social Engineering). Aber: bei der
Bewältigung des Angriffs ist der Mensch eines der stärksten Elemente.
• Bereiten Sie sich vor. Üben Sie den Krisenfall. Testen Sie, ob Backups - geschützt vom übrigen Netzwerk –
im Notfall wiederherstellbar sind.
• Sprechen Sie über das Thema Cybersicherheit. Teilen Sie Ihre Erfahrungen, auch Ihre "Beinahe-Unfälle"
http://linkedin.com/in/andreas-plueer
| Alarmstufe Rot: Cyberangriff!. Referat Referat A. Baggenstos & Co. AG | © EKT AG
Welches sind meine konkreten Empfehlungen für Sie?
31
16.06.2021

Informationen rund um Energie
Andreas Plüer
Bereichsleiter Digital Services
Telefon 071 440 63 33
andreas.plueer@ekt.ch
www.ekt.ch

Webinar: Cyberangriff - Frontbericht

Weitere ähnliche Inhalte

Mehr von A. Baggenstos & Co. AG

Webinar: Cyberangriff - Frontbericht