News Krypto-Virus: Angriff legt 3.100 Server bei MediaMarkt und Saturn lahm

[Schwabe66]

Interne Kommunikation ist doch was ganz anderes als extern. Alles was von intern kommt ist sicher, dafür hat man gesorgt. Extern wird abgeblockt.
IT Profis hier mal wieder bei Computerbase.

Alles was von intern kommt ist sicher, wer’s glaubt hat noch nie einen Security Check durchgeführt.

 

[Gnarfoz]

Dann holt man sich denn Siff halt von One-Drive... Wo ist da der Unterschied?

Du hast dann nur Zugriff auf das firmen-interne OneDrive. Wenn dort Malware liegt, ist das Kind ja schon in den Brunnen gefallen.

 

[evilhunter]

@xexex Der Fehler wurde aber mittlerweile wieder behoben.

https://twitter.com/DATEV/status/1457997036129865736

Wenn es ein Ransomware Angriff wäre, wäre der Ausfall deutlich länger

 

[Ranayna]

Alles was von intern kommt ist sicher

Unterschaetze interne Gefahren nicht! Print Nightmare ist doch das beste Beispiel dafuer, wo von jeder Workstation innerhalb der Domaene die gesamte Domaene uebernommen werden konnte.

Auf eine einzelne Workstation zu kommen ist ja eh immer der erste Schritt einer solchen Infektion. Spearfishing ist da eine beliebte und moderne Methode, mit der Konten uebernommen werden.
Wenn dann intern alles offen wie ein Scheunentor ist, oder ungepatche ZeroDays vorhanden sind, dann ist im Nu das ganze Netzwerk uebernommen.

Bei einer gewachsenen, schlecht gewarteten Infrastruktur ist es unglaublich schwer diese Intern abzusichern und zu kapseln.
Ich weiss das, weil wir Intern aktuell in einem solchen Projekt sind, in dem wir unser internes Netzwerk quasi vollstaendig auf links drehen. Keine IP wird ungeaendert bleiben, und viele Firewalls aufgebaut wo aktuell keine sind. Das Arbeiten in soeinem Netz ist dann hinterher auch etwas voellig anderes.
Sowas erzeugt zwangslaeufig eine gewisse Buerokratie, und schnelle Reaktionen seitens der IT sind dann merklich langsamer.
Wenn sich dann User bei der Geschaeftsleitung beschweren das XY so nicht mehr funktioniert, kann schnell in Frage gestellt werden warum wir den Quatsch ueberhaupt machen wenn hinterher "keiner mehr Arbeiten" kann.

 

[xexex]

Wenn es ein Ransomware Angriff wäre, wäre der Ausfall deutlich länger

Wenn die Firma richtig abgesichert ist und bei DATEV gehe ich durchaus davon aus, würde ein Ausfall nicht länger als das Zurückspielen des Backups dauern. Was da jetzt aber genau passiert ist, weiß ich aber natürlich nicht.

 

[Idon]

[...]
Die Lösung ist, dich noch mehr von Microsoft abhängig zu machen. Wenn man mit Teams arbeitet, braucht man keine Office-Dokumente mehr rum schicken. Da werden nur noch Links verschickt (die Outlook dann wie einen Anhang darstellt). Damit hat dann auch endlich das "wer hat denn die aktuellste Datei" ein Ende, weil einfach alle an derselben Datei arbeiten. (Das alleine wäre es mir schon wert, Office-Dateien als Anhänge zu sperren. :-D)
Und die Zugriffsregeln hindern dich daran, einfach Links anderer Microsoft-Kunden zu folgen, die nicht von deinen Tenant-Admins freigegeben wurden.

Klappt nicht in Zusammenarbeit mit den meisten Vertragsmanagement-/Dokumentenmanagementsystemen, ganz wichtig, und die meisten Geschäftspartner wollen nicht auf dem System oder in den Dateien der "Gegenseite" arbeiten. Abgesehen davon, dass O365 weltweit jetzt auch noch keine komplette Verbreitung erfahren hat.

Auch hier: (Leider) Nicht praxistauglich. Also werden weiter Word-Dateien bzw. Excel-Dateien verschickt.


@Tamron

Natürlich arbeite ich nicht in der IT, weder Branche noch Tätigkeit. Ich leite die Rechtsabteilung eines größeren Konzerns. Deshalb sage ich ja: In der IT-Welt mag es geile Lösungen geben, in der Praxiswelt der Wirtschaft halt nicht.

Keine Ahnung welche Unternehmen ihr so betreut. Ich kann von Daimler, Deutsche Bank, Commerzbank, Continental, Freudenberger, Bosch, aber auch internationalen Konzernen wie ABB, EDF, GE, Boeing oder auch den ganzen coolen Raumfahrtlern sagen: Die wollen Word-Dateien und versenden selbst welche.

Natürlich geht es dabei um externe Kommunikation. Intern über ein CLMS/VMS/DMS.

Hier gibt's für meinen Anwendungsfall Lösungen von z. B. DocuSign oder Wolters Kluwer, aber eben mit der Einschränkung, dass die Lösungen von vielen Geschäftspartnern nicht akzeptiert werden.


@xexex

Zeitfresser ist in der Regel das Prüfen vorhandener Backups auf "ab welchem Zeitpunkt wurde die Ransomware eingespielt und welches Backup ist nicht versucht?".

[...] wenn hinterher "keiner mehr Arbeiten" kann.

Und das ist der Punkt: In den meisten Unternehmen ist die IT ein interner Dienstleister, der die Funktion der restlichen Bereiche unterstützt und sicherstellt. Und nicht die smoothe Arbeit verhindern oder zu sehr erschweren soll/darf.

 

[projectneo]

Auch wenn es den IT Profis hier nicht passen wird, ich denke dahinter steckt ein professioneller Angriff und kein 0815 Mail Ransomware.

 

[Naxtrumrar]

@PietVanOwl Ich kann jetzt nicht für Media markt oder Saturn sprechen aber wir hatten schon Kunden, die blind irgendwelche Mail-Anhänge geöffnet haben oder blind auf Links geklickt haben.
Da bringt es auch wenig, die Server zu schützen wenn Mitarbeiter den Angreifern Tür und Tor offen halten.

Ich gehe hier auch von aus.


Jetzt ist die Frage, wie gut das Backup-Konzept ist. Denke deren IT wird die ganze Nacht zu tun haben.

Quatsch, ein normaler Mitarbeiter im Büro sollte öffnen können was er kann ohne, dass irgendein Trojaner die Server befällt. Es muss so abgesichert sein, dass nur sein eigener Client oder ggf. ein geteiltes Laufwerk dann verschlüsselt werden kann. Ich denke eher, dass die richtig gehackt wurden und die Hackergruppe dann selber die Ransomware aufgespielt hat.

 

[Nightmar17]

Das ist bei uns in der Firma zum Glück nicht mehr so. Wir Mitarbeiter sind schon extrem vorsichtig geworden!

Selbst ich hatte schon 1-2 Mails, die ich von der IT vor dem Öffnen hab prüfen lassen. Und das ob wohl ich von mir behaupten würde, das ich jetzt nicht ganz unwissend im IT Bereich unterwegs bin 😉

Dann müsstest du jede! Mail mit Link und Anhang prüfen lassen.
Vor ein paar Monaten hat es einen großen Kunden von uns erwischt und von deren Mailserver wurden Mails mit Anfragen verschickt.
Der Verkäufer konnte es nicht öffnen, weil es eine .xls ist und diese Mails bei uns automatisch geblockt und gelöscht werden. Der Mitarbeiter bekommt nur eine Info, dass die Mail nicht zugestellt wurde.
Da er den Kunden gekennt, kurz angerufen und gesagt, die sollen eine .pdf schicken mit der Anfrage.
Anwort vom Kunden "wir haben keine Anfrage verschickt". 2 Tage später kam die Info, dass die gehackt wurden und man keine Anhänge öffnen soll. Man kann keinem einzigen Versender vertrauen, da das alles schon fake sein kann. Die Mitarbeiter klicken den Anhang an, weil das deren tägliche Aufgabe ist.

 

[BeBur]

Wenn sich dann User bei der Geschaeftsleitung beschweren das XY so nicht mehr funktioniert, kann schnell in Frage gestellt werden warum wir den Quatsch ueberhaupt machen wenn hinterher "keiner mehr Arbeiten" kann.

So ein MediaMarkt Hack hilft vermutlich ganz gut als argumentativ .

 

[xexex]

Zeitfresser ist in der Regel das Prüfen vorhandener Backups auf "ab welchem Zeitpunkt wurde die Ransomware eingespielt und welches Backup ist nicht versucht?".

In diesem Falle sollte man als erster feststellen, wie es zu dem Angriff kam und von wo aus angegriffen wurde. Dafür gibt es aber schon seit Jahren entsprechende Tools, nur um mal ein kleines Beispiel zu zeigen.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[DRVNabsolute]

"Angriff"? Netter Versuch um sein eigenes Versagen zu verbergen. Man könnte es auch nennen "Jemand ist durch die offene Tür reingekommen".

Aber immer diese bösen Hacker...ich kann's nicht mehr hören.

Achso und wenn jemand naiv, sehr freundlich und vielleicht auch etwas dumm ist dann darf ich ihm alles abziehen? Also was ist das bitte für ein Argument. Mal davon abgesehen das die beste Sicherung nichts nützt wenn es immer jemanden geben kann der blindlinks auf Links drückt.
Aber weil die Tür anscheinend offen war darf man reinhacken ohne Konsequenzen, also was dümmeres hab ich lange nicht mehr gelesen.

 

[BeBur]

Auch wenn es den IT Profis hier nicht passen wird, ich denke dahinter steckt ein professioneller Angriff und kein 0815 Mail Ransomware.

Soweit ich weiß arbeiten große Hackergruppen zuweilen arbeitsteilig: Eine Gruppe ist dafür da zu sondieren und einen Fuß in die Tür zu bekommen durch eher breit angelegte Kampagnen die technisch nicht super crazy sind (z.B. 0815 Mail Ransomware). Sollte das aber bei einer Firma X gelingen, dann wird das weiter gereicht an die fachlich besser ausgebildete Gruppe, welche den Zugang dann ausweitet.
Es gibt aber gewiss noch andere Konzepte, bzw. alles vorstellbare und unvorstellbare.

 

[Idon]

@xexex

Und genau das kostet Zeit.

 

[Ranayna]

Quatsch, ein normaler Mitarbeiter im Büro sollte öffnen können was er kann ohne, dass irgendein Trojaner die Server befällt.

Hast du von Print Nightmare gehoert?
Grundlegend hast du Recht, es sollte so sein das ein 0815 User keinen grossen Schaden anrichten kann.
Aber wenn du sowas wie die Print Nightmare Luecke nicht gepatcht hast, oder die HAcker eine andere solche Luecke kennen, reicht eine einzige Infektion aus um das ganze NEtzwerk zu uebernehmen.

 

[Tamron]

Alles was von intern kommt ist sicher, wer’s glaubt hat noch nie einen Security Check durchgeführt.

Wie hier alles wieder komplett aus jedem Zusammenhang gerissen wird...Ist genauso behindert wie bei Heise die Kommentare.

Die Diskussion ging um Dokumente wie Word Dateien. Natürlich sind diese von Intern sicher. Dafür hat man gesorgt. Das ist einfach die Annahme in diesem Fall. Ich vergleiche jetzt nicht irgendwelche anderen Firmen und schlechte Umsetzung etc.
Einfach wieder alles neu zusammenstricken und irgendeinen Bullshit schreiben...Danke

Klappt nicht in Zusammenarbeit mit den meisten Vertragsmanagement-/Dokumentenmanagementsystemen, ganz wichtig, und die meisten Geschäftspartner wollen nicht auf dem System oder in den Dateien der "Gegenseite" arbeiten. Abgesehen davon, dass O365 weltweit jetzt auch noch keine komplette Verbreitung erfahren hat.

Auch hier: (Leider) Nicht praxistauglich. Also werden weiter Word-Dateien bzw. Excel-Dateien verschickt.

Natürlich ist das praxistauglich, weil es so in der Praxis passiert. Da muss auch keiner irgendwo auf anderen Systemen arbeiten. Dateien können intern auf einem Share, DMS oder sonstwo liegen. E-Mail ist nicht der einzige Weg.

Natürlich arbeite ich nicht in der IT, weder Branche noch Tätigkeit. Ich leite die Rechtsabteilung eines größeren Konzerns. Deshalb sage ich ja: In der IT-Welt mag es geile Lösungen geben, in der Praxiswelt der Wirtschaft halt nicht.

Das ist das Ding, nicht ITler wollen ITlern sagen, was sie gerne hätten. Das ist ein falscher Zustand. Die IT gibt vor was möglich ist.

Keine Ahnung welche Unternehmen ihr so betreut. Ich kann von Daimler, Deutsche Bank, Commerzbank, Continental, Freudenberger, Bosch, aber auch internationalen Konzernen wie ABB, EDF, GE, Boeing oder auch den ganzen coolen Raumfahrtlern sagen: Die wollen Word-Dateien und versenden selbst welche.

weird flex...
von Mittelstand bis Weltmarktführer 10k+ Mitarbeitern. Man kann sich auf die Scans von Microsoft und seiner Mail-Appliance dann verlassen und hoffen, dass nicht doch ein Zero-Day Exploit durchruscht... Hätte ich gar keinen Bock drauf.

 

[jackii]

"Angriff"? Netter Versuch um sein eigenes Versagen zu verbergen. Man könnte es auch nennen "Jemand ist durch die offene Tür reingekommen".
Aber immer diese bösen Hacker...ich kann's nicht mehr hören.

Und wie kommst du bitte darauf?
Da in den letzten 10 Jahren nichts passiert ist, waren es ja wohl nicht so offene Türen.
Selbst wenn es vergleichsweiße einfach gegangen sein soll und sie nur paar fertige Tools eingesetzt haben, waren es Hacker und kein Shop Besucher ausversehen. Und ja böse sind sie auch wenn sie alles lahmlegen, Daten stehlen und Millionen Lösegeld erpressen. Gut dir geht es vermutlich darum Hacker als was positives und cooles anzusehen aber naja es wird schon sehr lange überall auch dafür verwendet unerlaubt wo reinzugehen und Schaden anzustellen, deshalb geht der Betriff für mich okay.

 

[knoxxi]

Wir haben keinen Internet Zugriff auf den Rechnern, was extrem nervend ist, aber das ist halt Konzernvorgabe...
Excel und Word Dokumente von extern werden aus dem Anhang isoliert und in einer Art Sandbox geöffnet.
Der 83 Jahre alte Kollege, legt mit einem USB Stick vom Chinesischen Kunden den Rechner lahm. 😁
Auch alle Verzeichnisse im Netzwerk auf die er Schreibrechte hatte, waren betroffen.

 

[Evil E-Lex]

Die IT gibt vor was möglich ist.

ROFL! Nein. Nie, nirgends. Die GF sagt, was gemacht werden soll.

 

[xexex]

Das ist das Ding, nicht ITler wollen ITlern sagen, was sie gerne hätten. Das ist ein falscher Zustand. Die IT gibt vor was möglich ist.

Die IT ist nicht der Entscheidungsträger. Sie hat dafür zu Sorgen, dass die Arbeitsabläufe möglichst sicher abgewickelt werden können, definiert sie aber nicht. Schon gar nicht wenn es um die Zusammenarbeit mit anderen Partnern und Unternehmen geht.