Fall I

Identifizieren, analysieren und beschreiben Sie den ersten Fall im Detail:

Wie konnte das passieren?
Durch einen Phishing-Angriff, bei dem Passwörter, Kreditkartennummern und andere
vertrauliche Daten in einer E-Mail oder einem Telefonanruf als vertrauenswürdige
Institution ausgegeben werden, werden Sie dazu verleitet, diese weiterzugeben.
Wohin werden die kompromittierten Daten gesendet?
Nach der Analyse des Index und der Datei post.php ist zu erkennen, dass die Daten an
ein E-Mail-Konto "ejercicio_modulo1@ciberinteligencia.es" geschickt werden, das
wiederum die Daten von :
$message .= "E-Mail: ".$_POST['username']."\n";
$message .= "Passwort : ".$_POST['password']."\n";
$message .= "IP: ".$ip."\n";
Welche Konten könnten kompromittiert worden sein?
Die kompromittierten Konten sind meist die des Unternehmens, da es sich um Firmen-
E-Mails handelt. In Fall 1 können wir nicht feststellen, welche Bereiche betroffen sind,
aber wir können sehen, dass die Firmenerweiterungen sowohl im Vereinigten
Königreich als auch in Spanien und einige der bösartigen E-Mails aus Deutschland nur
E-Mails sein könnten, die erstellt wurden, um die Aufmerksamkeit abzulenken.
Darin sind die Personen, die die Mails erhalten haben
Wie können wir sie identifizieren?
Für E-Mail-Erweiterungen für Unternehmen
j.roman.stelso@ficticy.co.uk
m.wils.keicher@ficticy.de
l.martin.fierre@ficticy.es
Fall II

Identifizieren, analysieren und erklären Sie den zweiten Fall im Detail:

Wie konnte das passieren?
Nachdem der erste Angriff durchgeführt und die notwendigen Daten für den Zugriff auf
die E-Mail-Konten des Unternehmens durch Phishing erlangt wurden, geht der
Angreifer dazu über, die Konten der Finanzabteilung zu öffnen, um die zu leistenden
Zahlungen zu überprüfen und die Informationen zu manipulieren.
Welche Methode könnte der Angreifer verwendet haben, um diese gezielte Lieferung
durchzuführen?
Social-Networking-Websites wurden zu einem bevorzugten Ziel für Phishing, da die
Angreifer über kostenlose Informationen verfügten, um die in der Finanzabteilung
tätigen Personen zu identifizieren.
Name: María Protector Fresco | E-Mail: m.protector.fresco@ficticy.es | Position:
Leiterin der Abteilung Lohnbuchhaltung | Genutzte soziale Netzwerke: Facebook,
Twitter, Linkedin, Instagram.
Name: Juan Philips Todobene | E-Mail: j.philips.todobene@ficticy.es | Position:
Zahlungs- und Transfermanager | Genutzte soziale Netzwerke: Facebook, Linkedin,
Infojobs.
Name: Sofía Labial Gast | E-Mail. s.labial.guest@ficticy.es | Position: Zahlungs- und
Transferassistent | Genutzte soziale Netzwerke: Facebook, Linkedin, Infojobs, Tuenti.
Wie der Fall zeigt, nutzen die meisten Beamten soziale Netzwerke, die Informationen
für die Angreifer liefern.
Wie könnte sie verwendet werden?
In den 2000er Jahren konzentrierte sich das Phishing auf die Ausnutzung von Online-
Zahlungssystemen. Es wurde üblich, dass Phisher es auf Kunden von Bank- und
Online-Zahlungsdiensten abgesehen hatten, von denen einige bei näherer Untersuchung
korrekt identifiziert und mit der Bank in Verbindung gebracht werden konnten, die sie
tatsächlich nutzten. In ähnlicher Weise wurden soziale Netzwerke zu einem Hauptziel
für Phishing, was für Betrüger attraktiv war, da die auf solchen Websites gespeicherten
persönlichen Daten für Identitätsdiebstahl nützlich sind.
Ein wichtiger Hinweis zu dieser Art von Angriffen lautet: "Im Jahr 2013 wurden 110
Millionen Kunden- und Kreditkartendaten von Target-Kunden gestohlen".
Und der Angriff, der verwendet wurde, war:
Speer-Phishing
Während die meisten Phishing-Kampagnen Massen-E-Mails an möglichst viele
Personen senden, ist Spear-Phishing ein gezielter Angriff. Spear-Phishing zielt auf eine
bestimmte Person oder Organisation ab, wobei der Inhalt oft auf das/die Opfer
zugeschnitten ist. Erfordert Aufklärung im Vorfeld eines Angriffs, um Namen,
Positionen, E-Mail-Adressen und Ähnliches zu ermitteln. Die Hacker durchsuchen das
Internet, um diese Informationen mit den Informationen zu verknüpfen, die sie über die
Berufskollegen der Zielperson herausgefunden haben, sowie mit den Namen und
beruflichen Beziehungen der wichtigsten Mitarbeiter in deren Unternehmen. Auf diese
Weise erstellt der Phisher eine glaubwürdige E-Mail.

Zusammenfassung des Falles

Das Unternehmen wird von einem der häufigsten Cyberangriffe wie Phishing
angegriffen, bei dem es darum geht, sich über eine E-Mail als eine Person oder ein
Unternehmen auszugeben, so dass das Opfer "anbeißt" und persönliche Informationen
wie Passwörter oder Bankdaten weitergibt; in diesem Fall wurden nach dem ersten
Angriff In diesem Fall wurden, nachdem der erste Angriff durchgeführt worden war,
weitere Schwachstellen durch Spear-Phishing geknackt. Durch diesen gezielten Angriff
gelang es, weitere E-Mail-Systeme des Unternehmens anzugreifen und so einen Angriff
auf die Finanzabteilung durchzuführen, wodurch wiederum Zahlungen oder
Überweisungen auf private Konten gefordert wurden, bevor die Angestellten erkennen
konnten, dass diese Zahlungen auf Konten erfolgten, die nicht zu ihren Lieferanten oder
Kunden gehörten.

Fall III

Identifizieren, analysieren und erläutern Sie den dritten Fall im Detail:

Welche Art von Bedrohung hat es gegeben?
Die Bedrohung durch WannaCrypt (auch bekannt als WannaCry, WanaCrypt0r,
WCrypt oder WCRY) nutzt in der Regel Social Engineering oder E-Mail als primären
Angriffsvektor und setzt darauf, dass Benutzer eine bösartige Nutzlast herunterladen
und ausführen.In diesem speziellen Fall haben die Ransomware-Autoren jedoch
öffentlich verfügbaren Exploit-Code für die Sicherheitslücke verwendet.
Wie konnte das passieren?
Die Bedrohung kommt als Dropper-Trojaner mit den folgenden zwei Komponenten:
Eine Komponente, die versucht, die SMB-Schwachstelle CVE-2017-0145 auf anderen
Computern auszunutzen
Die als WannaCrypt bekannte Ransomware
Der Dropper versucht, über die API InternetOpenUrlA() eine Verbindung zu den
folgenden Domänen herzustellen:
www [.] iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea [.] com
www [.] ifferfsodp9ifjaposdfjhgosurijfaewrwergwea [.] com
Wenn die Verbindung zu den Domänen erfolgreich ist, infiziert der Dropper das System
nicht mehr mit Ransomware oder versucht, andere Systeme auszunutzen, um sich zu
verbreiten; er stoppt einfach die Ausführung. Schlägt die Verbindung jedoch fehl, fährt
die Bedrohung fort, die Ransomware zu löschen, und erstellt einen Dienst auf dem
System.
Wie verbreitet sich Malware im internen Netzwerk?
Der Verbreitungsmechanismus von WannaCrypt basiert auf bekannten öffentlichen
SMB-Exploits, die diese reguläre Ransomware mit wurmähnlichen Funktionen
ausstatteten und so einen Eintrittsvektor für noch ungepatchte Rechner schufen, selbst
nachdem der Fix verfügbar war.
Welche Schwachstelle könnte ausgenutzt worden sein?
WannaCry verbreitete sich aggressiv über die Windows-Sicherheitslücke EternalBlue
(MS17-010). "EternalBlue ist ein kritischer Fehler im Windows-Code von Microsoft,
der mindestens so alt ist wie Windows XP. Die Schwachstelle ermöglicht es Angreifern,
Code aus der Ferne auszuführen, indem sie eine Anfrage für den Windows-Datei- und
Druckerfreigabedienst erstellen", erklärt Ondrej Vlcek, CTO von Avast, einem
Unternehmen, das Computersicherheitslösungen anbietet.
Abhilfemaßnahmen, die bei solchen Vorfällen ergriffen werden können.
Die meisten Internet-Browser verfügen über Möglichkeiten zur Überprüfung, ob ein
Link sicher ist, aber die erste Verteidigungslinie gegen Phishing ist Ihr
Urteilsvermögen. Lernen Sie, die Anzeichen von Phishing zu erkennen, und versuchen
Sie, sich beim Abrufen Ihrer E-Mails, beim Lesen von Facebook-Posts oder beim
Spielen Ihres Lieblingsspiels im Internet sicher zu verhalten.
Unser Adam Kujawa schlägt wieder einmal einige der wichtigsten Praktiken vor, um
sicher zu bleiben:
Öffnen Sie keine E-Mails von unbekannten Absendern.
Klicken Sie nicht auf einen Link in einer E-Mail, wenn Sie nicht genau wissen, wohin
er Sie führt.
Wenn Sie eine E-Mail von einer Quelle erhalten, der Sie nicht sicher sind, sollten Sie
manuell zu dem angegebenen Link navigieren, indem Sie die Adresse der legitimen
Website in Ihren Browser eingeben, um sich zu schützen.
Suchen Sie nach dem digitalen Zertifikat der Website.
Wenn Sie aufgefordert werden, vertrauliche Informationen anzugeben, achten Sie
darauf, dass die URL der Seite mit "HTTPS" und nicht einfach mit "HTTP" beginnt.
Das "S" steht für "sicher". Es ist keine Garantie dafür, dass eine Website seriös ist, aber
die meisten seriösen Websites verwenden HTTPS, weil es sicherer ist. HTTP-Websites,
auch seriöse, sind anfällig für Hacker.
Wenn Sie den Verdacht haben, dass eine E-Mail nicht legitim ist, wählen Sie einen
Namen oder einen Teil des Textes der Nachricht aus und lassen Sie ihn durch eine
Suchmaschine laufen, um zu sehen, ob es bekannte Phishing-Angriffe gibt, die
dieselben Methoden verwenden.
Fahren Sie mit der Maus über den Link, um zu sehen, ob er rechtmäßig ist.
Wie immer empfehlen wir die Verwendung einer Anti-Malware-Sicherheitssoftware.
Die meisten Computer-Sicherheitstools können erkennen, wenn ein Link oder Anhang
nicht das ist, was er zu sein scheint. Selbst wenn Sie also auf einen raffinierten
Phishing-Versuch hereinfallen, werden Sie Ihre Daten nicht an die falschen Leute
weitergeben.
Alle Malwarebytes Premium-Sicherheitsprodukte bieten zuverlässigen Schutz vor
Phishing. Sie können betrügerische Websites erkennen und verhindern, dass Sie diese
öffnen, selbst wenn Sie von deren Rechtmäßigkeit überzeugt sind.
Bleiben Sie also wachsam und halten Sie Ausschau nach verdächtigen Dingen.
Alle unsere Phishing-Berichte finden Sie auf Malwarebytes Labs.
Empfehlungen und Kontinuitätsplan, die vom Sicherheitsteam umzusetzen sind.
Sensibilisierung der Mitarbeiter, um sicherzustellen, dass das Risiko eines
Informationsverlusts durch E-Mails, Videokonferenzen, interne Memos usw. minimiert
wird.
Wöchentliche Erinnerung an alle Mitarbeiter, ihre Systeme zu aktualisieren, falls es eine
Aktualisierung gibt, und die Antiviren-Software auf den Computern zu überprüfen und
zu aktualisieren.
Überprüfen Sie alle zum Internet geöffneten Ports und stellen Sie sicher, dass es sich
nur um die notwendigen Ports handelt, und wenn möglich, dass die Mitarbeiter mit
VPN arbeiten, um die Kommunikation zu schützen. Es wäre daher gut, zumindest
Netzwerk-Schwachstellen-Scans durchzuführen und zu prüfen, ob es irgendwelche
Schwachstellen im System gibt.
Überprüfen Sie die Benutzerzugänge und beschränken Sie die Zugriffe auf die
unbedingt notwendigen.
Aktualisierung aller Systeme, um sie vor möglichen neuen Schwachstellen zu schützen.

ICH LIEBE DICH MEINE LIEBE, DU BIST MEINE

SCHÖNSTE CHANCE UND DAS BESTE MEINES
LEBENS.