Aus aktuellem Anlass:
Globale Cyber-Angriffe mit Ransomware...

aktuell offenbar hunderte Firmen in Deutschland betroffen.

Nachdem uns heute bei mir in der Firma die Nachricht erreichte, das eine unserer Zulieferer "Häfele" betroffen ist (siehe unten),

und das die Firma defakto nicht Handlungsfähig ist, kommen immer mehr Meldungen rein.

Häfele ist gerade nicht die einzige Firma die „befallen“ wurde.

Vorhin auf dem Heimweg kam im Radio (SWR1), das es offenbar HUNDERTE Firmen in Deutschland getroffen haben soll.

Ransomware: Italiens Cyber-Sicherheitsbehörde warnt vor weltweiter Attacke

Die italienische Cyber-Sicherheitsbehörde ACN warnt vor einer aktuellen Ransomware-Attacke, die tausende Server weltweit betreffe.

www.heise.de

Ich tippe (und hoffe mal) das bald mehr Infos dazu bekannt werden.

Daher kann ich nur zur Sensibilisierung der Mitarbeiter in den Firmen und zu erhöhter Achtsamkeit raten !

Zitat

Sehr geehrte Häfele Partnerin, sehr geehrter Häfele Partner,

in der Nacht zum 02.02.23 gab es auf die IT-Systeme der Häfele Gruppe einen Ransomware Angriff aus einer externen Quelle. Der präventiven Abschaltung unserer Systemlandschaft folgt nun der schrittweise und kontrollierte Wiederaufbau.

Wir haben unverzüglich die staatlichen Behörden über den Angriff in Kenntnis gesetzt. Die Kriminalpolizei Calw leitet die Ermittlungen in enger Zusammenarbeit mit uns und unseren externen Forensikern.

Als Kunde haben Sie aktuell die Möglichkeit Ihren Ansprechpartner auf deren Mobiltelefon zu erreichen. Im nächsten Schritt werden wir die flächendeckende Erreichbarkeit wiederherstellen. Aktuell gehen wir davon aus, dass dies Ende dieser Woche gewährleistet sein wird.

Auch nach weiterer intensiver Analyse liegen aktuell keine Erkenntnisse zu einem Abfluss von Kundendaten vor. Höchst vorsorglich haben wir Meldung an die Datenschutzbehörde gemacht.

Für alle Kunden und / oder Lieferanten, die eine Schnittstelle (VPN, FTP, EDI, B2B, API, VMI) zu Häfele haben, gilt Folgendes: Wir haben nach dem Vorfall alle Verbindungen getrennt. Bitte verbinden Sie sich aktuell nicht mehr über die Schnittstelle. Wir arbeiten mit Hochdruck an einer sicheren Lösung und informieren Sie, sobald die Schnittstelle wieder verfügbar ist und werden Ihnen sodann die neuen Zugangsdaten mitteilen.

Im Wiederaufbau unseres Warenwirtschaftssystems machen wir erkennbare Fortschritte und können auf notwendige Daten zurückgreifen. Einen Termin zur vollständigen Wiederherstellung können wir aktuell noch nicht verbindlich benennen.

Über den weiteren Fortgang halten wir sie unmittelbar informiert und bitten Sie die Unannehmlichkeiten zu entschuldigen.

Gregor Riekena (Vorsitzender der Geschäftsleitung)

& Nikolas Bransch (Verkaufsleiter Deutschland)

Alles anzeigen

Cyberangriff auf Häfele: Computersysteme des Nagolder Unternehmens weltweit außer Betrieb

www.gaeubote.de

Ransomware: Tausende Server offenbar weltweit Ziel von Hackerangriff

Medienberichten zufolge sind Tausende Computerserver weltweit Ziel eines Hackerangriffs mit Ransomware geworden. Italiens Behörde für Cybersicherheit sprach…

www.spiegel.de

Zitat von razor

Die Artikel habe ich heute morgen auch gelesen:

Es gibt demnach seit Februar 2021 Patches für diese Lücke.

ist die Frage ist das NUR diese Lücke oder mehr / anderes...
Kann mir irgendwie nicht vorstellen, das es so viele Firmen gibt deren veraltete ESXi Strukturen von WWW erreichbar sind....

danke ObiWLANKenobi für den Link

ESXi 6 ist wohl deshalb nicht betroffen, weil es da den im WORKAROUND beschrieben SLPD Dienst gar nicht gibt.

da ich aktuell nicht weiß ob dieser mit 6.5+ eingeführt wurde.
kann ich nur sagen, das ich SLPD erst ab 7.0+ in der Dienste Liste sehen kann.

und dieser dort per default auf STOPPED steht !

dito bei ESXi 8.0....auch wenn der ESXi in einer vSphere werkelt wird dieser Dienst erstmal NICHT genutzt. !

Hallo zusammen...

Google warnt – wieder einmal - eindringlich vor möglichen Angriffen auf Chrome.

Eine dagegen abgesicherte Version für Linux, macOS und Windows ist verfügbar.

Quelle: https://www.heise.de/news/Webb…oogle-Chrome-7524451.html

Von Apple abgenickt: Fragwürdige Authenticator-Apps suchen Opfer im App Store

Fragwürdige Zwei-Faktor-Apps versuchen Nutzer zum Abschluss von Abos zu locken und greifen womöglich Daten ab. Auch Apples Werbeplattform kommt zum Einsatz.

Von Apple abgenickt: Fragwürdige Authenticator-Apps suchen Opfer im App Store

Fragwürdige Zwei-Faktor-Apps versuchen Nutzer zum Abschluss von Abos zu locken und greifen womöglich Daten ab. Auch Apples Werbeplattform kommt zum Einsatz.

www.heise.de

Quelle: https://www.security-insider.d…87284740e4fff9d33e3909dc/

BlackLotus-Bootkit umgeht
UEFI Secure Boot von Windows

Alarmstufe Rot für Windows-Anwender: ESET Forscher haben ein Bootkit identifiziert, das wesentliche Sicherheitsmerkmale von UEFI Secure Boot – einem Sicherheitssystem von Windows - zu umgehen vermag. Selbst ein vollständig aktuelles Windows 11-System mit aktiviertem Secure Boot stellt für das Schadprogramm kein Problem dar.

Aufgrund der Funktionalität des Bootkits und seiner einzelnen Merkmale gehen die Experten des europäischen IT-Sicherheitsherstellers ESET davon aus, dass es sich um eine als BlackLotus bekannte Bedrohung handelt. Das UEFI-Bootkit wird seit Oktober 2022 in Hackerforen für 5.000 US-Dollar verkauft. „Erste Hinweise erhielten wir durch Treffer in unserer Telemetrie Ende 2022. Diese stellten sich als eine Komponente von BlackLotus – einem HTTP-Downloader – heraus. Nach einer ersten Analyse entdeckten wir in den Proben der gefunden Codemuster von sechs BlackLotus-Installations­programmen. Dadurch konnten wir die gesamte Ausführungskette untersuchen und erkennen, dass wir es hier nicht nur mit normaler Malware zu tun haben“, sagt Martin Smolár, der ESET Forscher, der die Untersuchung des Bootkits leitete.

Sicherheitslücke wird ausgenutzt

BlackLotus nutzt eine mehr als ein Jahr alte Sicherheitslücke (CVE-2022-21894) aus, um UEFI Secure Boot zu umgehen und sich dauerhaft im Rechner einzunisten. Dies ist die erste bekannte Ausnutzung dieser Sicherheitslücke in freier Wildbahn. Obwohl die Schwachstelle mit dem Microsoft-Update vom Januar 2022 behoben wurde, ist ihr Missbrauch immer noch möglich. Grund dafür ist, dass die betroffenen, gültig signierten Binärdateien immer noch nicht zur UEFI-Sperrliste hinzugefügt wurden. BlackLotus nutzt dies aus, indem es seine eigenen Kopien legitimer - aber anfälliger - Binärdateien auf das System bringt. UEFI steht für „Unified Extensible Firmware Interface“ und beschreibt die Firmware des Mainboards. Diese wiederum bildet die Schnittstelle zwischen Hardware und Software während des Bootvorgangs. Eine wesentliche Funktion des UEFI ist, dass der Computer im Secure Boot hochfahren kann. Dies soll verhindern, dass Schadsoftware auf das Gerät gelangt. Daher ist eine Umgehung dieser Sicherheitsfunktion auch so gefährlich.

Breites Spektrum an Möglichkeiten

BlackLotus ist in der Lage, Sicherheitsmechanismen des Betriebssystems wie BitLocker, HVCI und Windows Defender zu deaktivieren. Nach der Installation besteht das Hauptziel des Schädlings darin, einen Kernel-Treiber (den es unter anderem vor der Entfernung schützt) und einen HTTP-Downloader zu installieren. Letzterer ist für die Kommunikation mit dem Command-and-Control-Server zuständig und kann zusätzliche Nutzdaten für den Benutzermodus oder den Kernel-Modus laden. Interessanterweise fahren einige der BlackLotus-Installationsprogramme nicht mit der Bootkit-Installation fort, wenn der kompromittierte Rechner Gebietsschemata aus Armenien, Belarus, Kasachstan, Moldawien, Russland oder der Ukraine verwendet.

BlackLotus wurde mindestens seit Anfang Oktober 2022 in Untergrundforen beworben und verkauft. „Wir haben Beweise, dass das Bootkit echt und die Werbung dafür kein Betrug ist“, sagt Smolár. „Die geringe Anzahl von BlackLotus-Samples, die wir sowohl aus öffentlichen Quellen als auch aus unserer Telemetrie erhalten haben, lässt uns vermuten, dass noch nicht viele Hacker damit begonnen haben, es einzusetzen. Wir befürchten, dass sich dies schnell ändern wird, sollte dieses Bootkit in die Hände von Crimeware-Gruppen gelangen. Denn er ist leicht zu verteilen und kann von diesen Gruppen beispielsweise über Botnetze verbreitet werden.“

UEFI-Bootkits – die nächste Generation der Rootkits

UEFI-Bootkits sind sehr mächtige Bedrohungen für jeden Rechner. Haben sie erst einmal die volle Kontrolle über den Bootvorgang des Betriebssystems erlangt, können sie verschiedene Sicherheitsmechanismen des Betriebssystems deaktivieren und ihre eigenen Schadprogramme im Kernel- oder Benutzermodus in den frühen Bootphasen einbringen. Dadurch operieren sie heimlich und mit hohen Privilegien. Bislang wurden nur einige wenige Bootkits in freier Wildbahn entdeckt und öffentlich beschrieben. Im Vergleich zu Firmware-Implantaten - wie LoJax, dem ersten UEFI-Firmware-Implantat in freier Wildbahn, das 2018 von ESET entdeckt wurde - können UEFI-Bootkits ihre Tarnung einbüßen, da sich Bootkits auf einer leicht zugänglichen FAT32-Festplattenpartition befinden. Wenn sie jedoch als Bootloader ausgeführt werden, haben sie fast die gleichen Möglichkeiten, ohne dass sie mehrere Sicherheitsebenen überwinden müssen, die vor Firmware-Implantaten schützen. „Der beste Tipp ist, das System und seine Sicherheitslösung auf dem neuesten Stand zu halten. So erhöht man die Chance, dass eine potentielle Bedrohung bereits zu Beginn gestoppt wird, bevor sie das Betriebssystem unterwandert“, schließt Smolár.

Ransomware Report 2022

Die Infos sind echt übel....

Die meisten KMU verfügen über keinen Disaster-Recovery-Plan,

der die Wiederherstellung des Geschäftsbetriebs nach einem Hacker-Angriff einleitet.

Welche grundlegenden Schritte bzw. Maßnahmen sind dafür notwendig?

So lassen Sie sich von Hacker-Angriffen nicht unvorbereitet überraschen!

(Bild: Maria Vonotna - stock.adobe.com) Die meisten KMU verfügen über keinen Disaster-Recovery-Plan, der die Wiederherstellung des Geschäftsbetriebs nach einem…

www.security-insider.de

Zitat von bic

Zitat:

"Team zusammenstellen: Für die Entwicklung eines Disaster-Recovery-Plans muss ein Team zusammengestellt sowie ein Projektleiter und Ansprechpartner für die Geschäftsleitung ernannt werden."

Was haben die denn für Vorstellungen von Geschäftsprozessen vor allem von kleineren Unternehmem? Wenn sie das "K" von KMU weglassen und vor den Rest "größere" schrieben, dann wäre das dann vielleicht nicht mehr so ganz weltfremd. Klar haben sie grundsätzlich Recht, aber leider beißt sich das Rechthaben mit der Realität der meisten KMUs

tja, in kleinen und Mittelständigen Unternehmen mit 1-2 IT'ler und einer MA-Resttruppe mit Tendenz NULLIGER von IT-Skills
wird das mit einem Team

ziemlich schwierig bis total Unmöglich.

Allein wg. dem Tagesgeschäft - als Allround-IT'ler - würde ich für sowas nicht die Geringste Zeit haben.

Es steppt auch so schon genug der Bär an allen Fronten.