Ransomware-Erkennung: Techniken und bewährte Verfahren

So erkennen Sie Ransomware-Aktivitäten: Sicherheitslücken aufspüren

Cybersecurity Ventures prognostiziert, dass ein Ransomware-Angriff einen Verbraucher oder ein Unternehmen treffen wirdbis 2031 alle 2 Sekunden, wobei ein Vorfall die Unternehmen im Durchschnitt4,4 Millionen Dollar im Jahr 2025. Diese Angriffe haben sich von einfachen Verschlüsselungsverfahren zu ausgeklügelten Operationen weiterentwickelt, bei denen Datendiebstahl, Sabotage und psychologische Kriegsführung gegen die Opfer miteinander kombiniert werden.

Die Erkennung moderner Ransomware erfordert einen mehrschichtigen Ansatz, der Verhaltensanalyse, Netzwerküberwachung und automatisierte Reaktionsmöglichkeiten kombiniert. Der Erfolg hängt davon ab, Angriffsmuster frühzeitig zu erkennen – von der ersten Kompromittierung bis hin zur lateralen Bewegung –, bevor die Verschlüsselung beginnt und Daten abgezogen werden.

Was ist Ransomware-Erkennung?

Ransomware-Erkennungumfasst die Technologien, Prozesse und Vorgehensweisen, die darauf ausgelegt sind, böswillige Verschlüsselungsaktivitäten zu erkennen, bevor sie kritische Daten gefährden. Das vorrangige Ziel geht über das bloße Erkennen bekannter Ransomware-Signaturen hinaus; eine wirksame Erkennung muss Verhaltensabweichungen, ungewöhnliche Netzwerkverkehrsmuster und frühe Anzeichen für eine Kompromittierung identifizieren, die Verschlüsselungsvorfällen vorausgehen.

Angriffsmethoden lassen sich in zwei unterschiedliche Kategorien einteilen, die jeweils andere Erkennungsansätze erfordern. Häufige Angriffe nutzen Phishing-E-Mails und machen sich ungepatchte Sicherheitslücken zunutze. Fortgeschrittene Methoden setzen„Doppel-ErpressungTaktiken, bei denen Angreifer Daten sowohl verschlüsseln als auch abziehen. Diese ausgeklügelten Operationen beinhalten häufig Kompromittierungen der Lieferkette, „Living-off-the-Land“-Techniken und gezielte Angriffe auf Backup-Systeme.

So erkennen Sie Ransomware

Die frühzeitige Erkennung von Sicherheitsverletzungen beginnt mit der Überwachung der Aktivitäten im Dateisystem, um schnelle Änderungen an mehreren Dateien, unerwartete Verschlüsselungsmuster und verdächtige Dateiendungen zu erkennen. Bei der Überwachung der Kontoaktivitäten liegt der Schwerpunkt auf der Erkennung von Versuchen der Berechtigungserweiterung, ungewöhnlichen Anmeldezeiten oder -orten sowie schnellem Zugriff auf mehrere Systeme, der vom normalen Benutzerverhalten abweicht.

Die verhaltensbasierte Analyse bildet die Grundlage dafür, Ransomware zu erkennen, bevor die Verschlüsselung beginnt. Dieser Ansatz identifiziert Prozesse, die versuchen, nacheinander auf eine große Anzahl von Dateien zuzugreifen, Anwendungen, die ungewöhnlich viel Netzwerkverkehr erzeugen, sowie Programme, die versuchen, Schattenkopien zu löschen oder Sicherheitstools zu deaktivieren. Moderne Verhaltensanalysen können unbekannte Ransomware-Varianten erkennen, indem sie diese universellen Angriffsmuster identifizieren.

Die Analyse von Sicherheitsprotokollen deckt kritische Frühwarnzeichen auf, darunter fehlgeschlagene Authentifizierungsversuche – insbesondere bei Administratorkonten –, unerwartete Dienstinstallationen sowie ungewöhnliche PowerShell- oder Befehlszeilenaktivitäten. Unternehmen sollten die Ereignis-IDs 4625 (fehlgeschlagene Anmeldungen), 4720 (Erstellung neuer Benutzerkonten) und 7045 (Installation neuer Dienste) als potenzielle Indikatoren für eine Kompromittierung überwachen.

Werden verdächtige Aktivitäten festgestellt, hilft eine sofortige Isolierung dabei, eine laterale Ausbreitung zu verhindern. Dazu gehört, betroffene Systeme von Netzwerkfreigaben zu trennen, Benutzerkonten mit auffälligem Verhalten zu deaktivieren und verdächtige IP-Adressen auf Firewall-Ebene zu blockieren. Dabei kommt es auf Schnelligkeit an: Ransomware kann nach ihrer Aktivierung Tausende von Dateien pro Minute verschlüsseln.

Die folgenden Methoden stellen die wichtigsten Ansätze zur Erkennung von Ransomware-Aktivitäten dar:

• Signaturbasierte Erkennung: Gleicht bekannte Ransomware-Beispiele mit einer Datenbank von Malware-Signaturen ab.
• Heuristische/verhaltensbasierte Analyse: Erkennt Ransomware anhand von Aktionen und verdächtigen Mustern statt anhand von Signaturen.
• Anomalieerkennung: Ermittelt das Normalverhalten und warnt bei Abweichungen.
• Überwachung der Dateiintegrität: Verfolgt Änderungen an wichtigen Dateien und Systemkonfigurationen.
• Netzwerkverkehrsanalyse: Überwacht die Kommunikation zwischen Befehls- und Kontrollservern sowie den Datendiebstahl.
• Honeypots und Täuschungsmanöver: Erzeugt gefälschte Ressourcen, um Angreifer aufzuspüren und in die Falle zu locken.

Vergleich verschiedener Methoden zur Erkennung von Ransomware

In dieser Tabelle werden die wichtigsten Methoden zur Erkennung von Ransomware und ihre Anwendungsszenarien gegenübergestellt:

Empfohlene Vorgehensweisen zur Abwehr von Ransomware

Die Multi-Faktor-Authentifizierung (MFA) bildet die erste Verteidigungslinie. Unternehmen sollten die MFA für alle Konten vorschreiben, insbesondere für Administratorzugriffe, VPN-Verbindungen und E-Mail-Systeme. DieVorfälle bei Snowflakedie entscheidende Bedeutung dieser Kontrollmaßnahme aufzeigen.

Das Patch-Management steht in direktem Zusammenhang mit dem Erfolg bei der Ransomware-Prävention. Sicherheitslücken in öffentlich zugänglichen Anwendungen, insbesondere in VPNs und Fernzugriffstools, bieten Angreifern erste Einfallstore. Unternehmen sollten die Installation von Patches entsprechend der Verfügbarkeit von Exploits priorisieren und für kritische Sicherheitsupdates eine automatisierte Patch-Bereitstellung implementieren.

Schulungen zur Sensibilisierung für Sicherheitsfragen befassen sich mit dem Faktor Mensch. Die Schulungen sollten das Erkennen verdächtiger E-Mails, die Überprüfung unerwarteter Anfragen über sekundäre Kanäle sowie die sofortige Meldung potenzieller Vorfälle umfassen. Regelmäßige Phishing-Simulationen helfen dabei, die Wirksamkeit der Schulungen zu messen und Nutzer zu identifizieren, die zusätzliche Unterstützung benötigen.

Backup-Strategien erfordern eine sorgfältige Planung, um gezielten Angriffen standhalten zu können. Sichere Backups solltenunveränderlich, um zu verhindern, dass Änderungen selbst mit Administratorrechten vorgenommen werden können, die offline gespeichert sind oderAir-Gapped-um netzwerkbasierte Angriffe zu verhindern, und regelmäßig im Rahmen umfassender Wiederherstellungsübungen getestet werden. Unternehmen sollten mehrere Sicherungskopien auf verschiedenen Datenträgern und an unterschiedlichen Standorten aufbewahren.

Das Prinzip der geringsten Berechtigungen kann das Schadenspotenzial begrenzen, indem der Zugriff der Benutzer ausschließlich auf die erforderlichen Ressourcen beschränkt wird. Dazu gehören die Implementierung rollenbasierter Zugriffskontrollen, die Einführung von Genehmigungsworkflows für die Erweiterung von Berechtigungen sowie die Durchführung regelmäßiger Zugriffsprüfungen, um unnötige Berechtigungen zu entfernen.

Die folgenden Strategien können zusätzliche Schutzmaßnahmen gegen Ransomware-Angriffe bieten:

• Tools zur mehrschichtigen Erkennung in Endgeräten, Netzwerk- und Cloud-Umgebungen. Setzen Sie Endpoint Detection & Response (EDR) auf allen Endgeräten, Netzwerk-Erkennung und -Reaktion am Perimeter und in internen Segmenten sowie cloudnative Sicherheit für SaaS-Anwendungen ein.
• Halten Sie Systeme und Sicherheitstools auf dem neuesten Stand, um auch die neuesten Ransomware-Varianten zu erkennen. Pflegen Sie aktuelle Bedrohungsinformationen, aktualisieren Sie die Erkennungssignaturen täglich und nehmen Sie an branchenweiten Programmen zum Austausch von Bedrohungsinformationen teil.
• Überprüfen Sie regelmäßig die Erkennungsregeln und passen Sie die Verhaltensanalyse an Ihre Umgebung an. Passen Sie die Erkennungsschwellenwerte entsprechend dem normalen Geschäftsbetrieb an, legen Sie Ausnahmen für legitime Verwaltungstools fest und passen Sie die Regeln auf der Grundlage der Falsch-Positiv-Raten an.
• Nutzen Sie Threat-Intelligence-Feeds, um die Erkennung mithilfe von Ransomware-Indikatoren für Kompromittierung (IoCs) in Echtzeit zu verbessern. Abonnieren Sie kommerzielle und Open-Source-Threat-Feeds, automatisieren Sie die Einbindung von IoCs in Sicherheitstools und korrelieren Sie interne Telemetriedaten mit externen Bedrohungsdaten.

Methoden zur Verbesserung der Erkennung von und Reaktion auf Ransomware

Durch Netzwerksegmentierung werden Schutzgrenzen geschaffen, die dazu beitragen, die Ausbreitung von Ransomware einzudämmen. Eine effektive Segmentierung trennt Benutzerarbeitsplätze von Servern, isoliert kritische Systeme wie Domänencontroller und Backup-Server und sorgt für eine Ost-West-Firewall zwischen den Netzwerksegmenten. Unternehmen können VLANs, softwaredefinierte Netzwerke oder Mikrosegmentierung nutzen, um diese Grenzen zu schaffen.

Eine kontinuierliche Überwachung mit ML-basierter Anomalieerkennung kann subtile Anzeichen für Angriffe identifizieren, die regelbasierte Systeme übersehen. ML-Algorithmen können ein Referenzverhalten für Benutzer, Anwendungen und den Netzwerkverkehr ermitteln und anschließend bei statistisch signifikanten Abweichungen Alarm auslösen. Diese Systeme helfen dabei, Zero-Day-Ransomware-Varianten und Insider-Bedrohungen zu erkennen.

Automatisierte Workflows zur Reaktion auf Sicherheitsvorfälle können die Reaktionszeit von Stunden auf Sekunden verkürzen. Durch Automatisierung lassen sich infizierte Endgeräte isolieren, kompromittierte Benutzerkonten deaktivieren, bösartige IP-Adressen und Domains blockieren sowie die forensische Datenerfassung einleiten. Weitere Techniken und Tools sind unter anderem:

• Endpoint Detection & Response: EDR-Plattformen bieten einen umfassenden Einblick in die Aktivitäten auf Endgeräten und erfassen dabei die Erstellung von Prozessen, Dateiänderungen, Netzwerkverbindungen und Änderungen an der Registrierungsdatenbank. Moderne EDR-Lösungen nutzen Verhaltensanalysen, um ransomwareähnliche Aktivitäten zu erkennen, und können Endgeräte, die Anzeichen einer Kompromittierung aufweisen, automatisch isolieren.
• Erweiterte Erkennung und Reaktion: XDR-Plattformen können Daten über Endgeräte, Netzwerke, Cloud-Workloads und E-Mail-Systeme hinweg miteinander verknüpfen. Diese Übersicht ermöglicht die Erkennung komplexer Angriffsketten, die sich über mehrere Systeme erstrecken, und bietet einheitliche Funktionen zur Reaktion auf Vorfälle in der gesamten Umgebung.
• Sicherheitsinformations- und Ereignismanagement (SIEM): SIEM-Systeme sammeln und analysieren Protokolldaten aus der gesamten Infrastruktur. Zur Erkennung von Ransomware können SIEM-Plattformen Indikatoren wie fehlgeschlagene Authentifizierungsversuche, auf die erfolgreiche Anmeldungen folgen, ungewöhnliche Datenübertragungen und Manipulationen an Sicherheitstools miteinander in Zusammenhang bringen.
• Integrierte Schutzfunktionen des Betriebssystems: Zu den Betriebssystemen gehörenintegrierte Ransomware-Schutzmaßnahmenwie beispielsweise der kontrollierte Ordnerzugriff und die Verhaltensüberwachung von Windows Defender. Diese systemeigenen Tools bieten einen grundlegenden Schutz und lassen sich zur zentralen Verwaltung in Sicherheitsplattformen für Unternehmen integrieren.
• Spezialisierte Anti-Ransomware-Tools: Speziell entwickelte Anti-Ransomware-Lösungen konzentrieren sich gezielt auf die Erkennung und Abwehr von Verschlüsselungsangriffen. Diese Tools nutzen Techniken wie die Überwachung des Dateisystems, Köderdateien und Algorithmen zur Erkennung von Verschlüsselungen, die speziell auf das Verhalten von Ransomware optimiert sind.

So erkennen Sie Ransomware in einem Netzwerk

Die Erkennung auf Netzwerkebene konzentriert sich auf die Identifizierung von Kommunikationsmustern von Ransomware und lateraler Bewegung. Sicherheitsteams sollten auf ungewöhnliche SMB/CIFS-Datenverkehrsmengen achten, die auf eine Dateiauflistung hindeuten, sowie auf Spitzen bei DNS-Abfragen, die auf Aktivitäten von Algorithmen zur Domänengenerierung hindeuten, und auf ausgehende Verbindungen zu bekannter Command-and-Control-Infrastruktur. Versuche der Datenexfiltration äußern sich in umfangreichen Datenübertragungen zu Cloud-Speicherdiensten, verschlüsseltem Datenverkehr zu ungewöhnlichen Zielen und Verbindungen außerhalb der Geschäftszeiten.

An strategischen Punkten platzierte Netzwerksensoren können Einblick in den Ost-West-Datenverkehr gewähren. Diese Sensoren sollten Warnmeldungen auslösen, wenn schnelle Dateizugriffsmuster auf Netzwerkfreigaben festgestellt werden, bekannte Ransomware-Signaturen im Netzwerkverkehr erkannt werden oder Verschlüsselungsaktivitäten durch Entropieanalyse identifiziert werden. Zu den geeigneten Standorten für die Sensoren gehören die Netzwerkperimeter, die Übergänge zwischen Netzwerksegmenten sowie die Grenzen von Rechenzentren.

Die Integration mehrerer Datenquellen kann einen umfassenden Überblick schaffen. SIEM- und XDR-Plattformen können Endpunkt-Telemetriedaten, die Prozessanomalien aufzeigen, Netzwerkdaten, die Muster lateraler Bewegungen offenlegen, sowie Authentifizierungsprotokolle, die auf den Missbrauch von Anmeldedaten hinweisen, miteinander in Beziehung setzen. Diese Korrelation ermöglicht die Erkennung mehrstufiger Angriffe, die einzelne Tools möglicherweise übersehen würden.

Fallstudie: Schnelle Recovery nach einem Ransomware-Angriff bei Bilthoven Biological

Am 21. September 2022,Bilthoven Biologicals(BBio), ein Pharmaunternehmen, stellte fest, dass es Opfer eines Ransomware-Angriffs geworden war, als Nutzer meldeten, dass sie nicht mehr auf ihre Dateien zugreifen konnten. Der IT-Berater Paul Vries entdeckte Lösegeldforderungen, in denen eine Zahlung für die Entschlüsselung der Dateien verlangt wurde, was auf einen schwerwiegenden Sicherheitsverstoß hindeutete.

„Die Ransomware verbreitete sich über das Domänenfeld und das Werk. Im Grunde wurde alles kompromittiert, was mit dem Active Directory verbunden war“, sagte Vries. Der Angriff gefährdete die Impfstoffproduktion von BBio, sodass sofortige Eindämmungsmaßnahmen erforderlich waren, um den Schaden zu begrenzen.

Das Einsatzteam trennte das Netzwerk, fuhr infizierte Server und virtuelle Maschinen herunter und hielt dabei nicht betroffene Systeme gezielt in Betrieb, um die Auswirkungen auf den Betrieb so gering wie möglich zu halten. Außerdem legte es großen Wert auf eine klare Kommunikation mit den Mitarbeitern hinsichtlich der Schwere der Situation.

Bereits am zweiten Tag gelang es dem Team, das Active Directory und die Backup-Umgebung wiederherzustellen. „Wir schätzen die Einfachheit des Commvault-Dashboards sehr. Mit nur wenigen Klicks können wir nach einem Angriff eine virtuelle Maschine oder Backups wiederherstellen – das ist in unserer Branche als Pharmaunternehmen mit sehr sensiblen Daten von entscheidender Bedeutung“, erklärte Vries.

Dank der intuitiven Benutzeroberfläche konnten die Teammitglieder in Schichten die ganze Nacht über arbeiten und die Dienste systematisch wiederherstellen. Durch die Zusammenarbeit zwischen dem IT-Team von BBio, seinem Managed-Service-Anbieter KEMBIT und Commvault gelang es, den Betrieb in mehreren Niederlassungen und einem Werk in nur neun Tagen vollständig wiederherzustellen.

Diese Erfahrung veranlasste BBio dazu, seine Recovery-Planung zu verstärken. „Vor dem Angriff hatten wir noch keinen Recovery-Plan“, erklärte Vries. „Wir arbeiten nun gemeinsam mit Commvault an der Erstellung eines Recovery-Plans, damit wir besser wissen, was zuerst wieder in Betrieb genommen werden muss und in welcher Reihenfolge.“

BBio hat zudem weitere Schutzmaßnahmen umgesetzt, darunter die Verlagerung von Medienvertretern außerhalb der Domäne und die Einführung vonCommvault Cloud AirGapum den Schutz seiner Hybridumgebung zu verbessern. „Mit Commvault und Commvault AirGap können wir Daten auf cloud und vor Ort problemlos verwalten, schützen und wiederherstellen, selbst im schlimmsten Fall“, so Vries.

Commvault-Unterstützung bei der Erkennung von Ransomware

Der Ansatz von Commvault zum Schutz vor Ransomware verbindet die proaktive Erkennung von Bedrohungen mit automatisierten Recovery-Funktionen. Die PlattformThreat Scan Predict nutzt KI-gestützte Bedrohungserkennungum potenzielle Ransomware-Aktivitäten zu erkennen, bevor die Verschlüsselung beginnt, indem Backup-Datenmuster und Dateiänderungen in hybriden Umgebungen analysiert werden.

Die Plattform dient dazu, Ransomware-Signaturen und Anomalien durch kontinuierliche Überwachung von Backup-Datenströmen, Analyse der Datei-Entropie und Erkennung von Verhaltensmustern zu erkennen. Werden verdächtige Aktivitäten festgestellt, können automatisierte Workflows sofort isolierte Sicherungskopien erstellen, Sicherheitsteams benachrichtigen und Untersuchungsmaßnahmen einleiten. Dieses Frühwarnsystem hilft Unternehmen, zu reagieren, bevor sich Ransomware in der Infrastruktur ausbreiten kann.

Der einheitliche Ansatz für das Datenmanagement verbessert sowohl die Compliance als auch die Geschäftskontinuität durch unveränderliche Prüfpfade, automatisierte Aufbewahrungsrichtlinien und die Verschlüsselung von Daten im Ruhezustand und während der Übertragung. Bei Recovery-Vorgängen tragen granulare Wiederherstellungsfunktionen dazu bei, Datenverluste zu minimieren, während die automatisierte Orchestrierung die Wiederherstellungszeit verkürzt.