In seinem aktuellen Security Bulletin fasst Kaspersky die im Jahr 2020 gewonnenen Erkenntnisse und Erfahrungen im Zusammenhang mit Covid-19 zusammen. Folgende Entwicklungen prognostizieren die Experten dabei in der industriellen Bedrohungslandschaft:
Mehr zielgerichtete Infektionen und Angriffe
Cyberkriminelle haben in den vergangenen Jahren Profile von zufällig infizierten Computern erstellt, die an Industrienetzwerke angeschlossen sind oder regelmäßig auf diese zugreifen. Die Zugangsinformationen zu solchen Computern könnten zukünftig und eventuell auch schon gegenwärtig an professionellere Gruppen weiterverkauft werden, die bereits über spezielle Strategien zur Monetarisierung von Angriffen auf Industrieanlagen verfügen.
Neue Monetarisierungstaktiken
Seit einigen Jahren haben sich verschiedene Gruppen darauf spezialisiert, Industrieunternehmen anzugreifen, um deren Geld zu stehlen – durch BEC-Angriffe oder fortgeschrittene Hacks, um in die Finanz- und Buchhaltungssystemen der Opfer eindringen zu können. Über Jahre haben sie die Geschäftsprozesse von Industrieunternehmen kennengelernt und sich Zugang zu einer großen Menge an technischen Informationen über Netzwerkanlagen und Betriebstechnologien verschafft.
Kaspersky erwartet daher zukünftig neue, unkonventionelle Angriffsszenarien auf OT/ICS und Feldgeräte, verbunden mit ausgeklügelten Monetarisierungstaktiken.
Fortschrittlichere und anspruchsvollere Ransomware
Cyberkriminelle werden vermutlich weiterhin Hacking- und APT-Techniken einsetzen, indem sie das Netzwerk der Zielorganisation akribisch analysieren. Auf diese Weise lokalisieren sie etwa die wertvollsten und anfälligsten Systeme, kapern Administratorkonten und führen parallel laufende Blitzangriffe mit Standard-Admin-Tools durch.
Mehr hybride Angriffe zum Diebstahl von Dokumenten
Sind Dokumente erst einmal im Besitz von Cyberkriminellen, können diese damit drohen, sie zu publizieren oder im Darknet zu verkaufen, falls Zahlungsaufforderungen nicht nachgekommen wird. Darüber hinaus erwartet Kaspersky, dass die hinter der Ransomware Snake steckende Idee – das Abzielen auf die OT/ICS von Unternehmen – an Zugkraft bei Angriffen dieser Art gewinnen wird.
Laut dem Bericht ist es außerdem wahrscheinlich, dass es verstärkt zu Attacken kommen wird, die als Ransomware getarnt sind, jedoch völlig andere Ziele verfolgen – eine Wiederholung der ExPetr-Technik.
Spionage-Angriffe über das OT
Cyberkriminelle werden nach Erwartung von Kaspersky zunehmend OT-Netzwerke angreifen, da diese meist nicht so gut wie Büronetzwerke geschützt werden und es tendenziell einfacher ist, in OT-Netzwerke einzudringen. Sie weisen zum einen eigene Perimeter- und Angriffsflächen auf, zum anderen können die flache Netzwerktopologie und andere Herausforderungen mit der Zutrittskontrolle sie zu einem attraktiven Einstiegspunkt in die tieferen Lagen des Unternehmensnetzwerks machen. Nicht selten dienen sie dann als Sprungbrett in andere verwandte Organisationen und Einrichtungen.
Taktische und strategische Partner als Angriffsziele
Der Wunsch vieler Länder nach technologischer Unabhängigkeit, gepaart mit globalen geopolitischen und makroökonomischen Umwälzungen, könnte dazu führen, dass nicht nur traditionelle Konkurrenten, sondern auch taktische und strategische Partner zu Angriffszielen werden. Bedrohungen können in Zukunft folglich aus jeder Richtung kommen.
Mehr APT-Gruppen und neue Akteure
Kaspersky rechnet mit einer weiteren Zunahme der APT-Gruppen sowie mit neuen Akteure auf der Bildfläche – auch solchen, die verschiedene Industriesektoren angreifen. Die Aktivitäten dieser Gruppen könnten mit lokalen Konflikten korrelieren, zum Beispiel in Form von als Kriegsführungsinstrument genutzten Cyberangriffen auf Industrieunternehmen, dem Einsatz von Drohnen und dem Streuen mediengetriebener Fehlinformationen.
Mehr komplexe Angriffe
Neben Datendiebstahl und anderen fragmentierten Operationen dürften sich einige Gruppen im Jahr 2021 komplexeren Aktivitäten zuwenden, möglicherweise nach dem Vorbild von Stuxnet, Black Energy, Industroyer und Triton.
Behördenübergreifende Angriffe und Übergriffe auf Regierungssysteme
Die Online-Präsenz kommunaler Dienste und Versorgungsunternehmen und die zunehmende Digitalisierung der staatlichen und öffentlichen Dienstleistungen machen diese anfälliger für Angriffe von Cyberkriminellen. Beispielsweise könnte ein Bedrohungsakteur einen staatlichen oder kommunalen Webdienst als Einstiegspunkt nutzen, um die interne Infrastruktur des Opfers zu kompromittieren. Die dort vorhandenen Kommunikationskanäle und die Versorgungskette, die verschiedene staatliche, kommunale und sogar private Organisationen miteinander verbinden, könnten dann dafür eingesetzt werden, das geplante Ziel – etwa die Abschaltung von Transportsystemen – zu erreichen.
