CERT-Einsatz zur Bewältigung eines Ransomware-Angriffs

Nach einem Ransomware-Angriff wandte sich eine Behörde an Advens, um den Angriff zu kontrollieren, die Auswirkungen zu begrenzen, die Daten wiederherzustellen und sich vor weiteren Angriffen zu schützen.

Donnerstag, 21. Januar 2021. Alle Computer sind ausgefallen, das Telefonnetz ist stark gestört. Die Anzeichen für einen Hackerangriff sind eindeutig. Dann lief dem Landrat des Département Vienne die Zeit davon: Ein Schadprogramm vom Typ Cryptolocker verschlüsselte nach und nach die verschiedenen Dateien der Behörde! Aufgrund korrupter Backups, betroffener HR-Systeme und infizierter Straßenmanagementsysteme wird die ANSSI zu Hilfe gerufen.

Advens greift dann per Videokonferenz mitten am Wochenende ein und zwei Experten unterstützen vor Ort, um den Cyberangriff zu bewältigen.

„Ich möchte die Reaktionsfähigkeit der Advens-Teams hervorheben. Ich konnte die Teams innerhalb weniger Stunden kontaktieren. Nach einem ersten Einsatz per Videotelefonie am Wochenende trafen die Advens-CERT-Teams am Montag vor Ort ein. Alles lief sehr schnell und reibungslos.“

Ransomware-Angriff: Herausforderungen und Probleme

Die örtlichen Behörden brauchten schnelle und effektive Hilfe, um den Angriff unter Kontrolle zu bringen und anschließend wieder ein sicheres IT-System aufzubauen, damit sie ihre Arbeit wieder aufnehmen konnten.

Ein Schadprogramm vom Typ Cryptolocker ist Ransomware, ein Virentyp, der insbesondere die Computersysteme von Behörden, Ministerien, aber auch privaten Unternehmen befällt. Für die Aufhebung der Verschlüsselung und die Rückgabe der Daten fordern die Angreifer ein Lösegeld.

Der Einsatz unserer Teams

Systemkompromittierungen durch Ransomware erfordern eine hohe Reaktionsfähigkeit der Incident-Response-Spezialisten. Die drei Stärken der Advens-Unterstützung, so Luis Manuel Da Silva, Direktor für digitale Transformation des Départements Vienne:

• Qualität des Managements und der Maßnahmen zur Unterstützung und Reaktion auf Zwischenfälle.
• Sorgfältige, gewissenhafte und sehr präzise Arbeit.
• Verfügbarkeit der Teams.

„Es wurde sehr viel Arbeit geleistet, sowohl vor Ort als auch remote. Auch wenn sie nicht vor Ort waren, gab es immer einen Kommunikationskanal, über den wir die Experten befragen konnten und schnelle Antworten bekamen.“

Nach dem Angriff und der Intervention: die Ergebnisse

Nach der Intervention des Advens CERT konnte der Départementsrat seine Systeme wieder aufbauen und auf einer sichereren Basis neu beginnen.

Neben den technischen Aspekten gibt es aber auch eine sehr wichtige menschliche Dimension bei dieser Art von Intervention. Eine solche Ransomware-Attacke legt eine ganze Gemeinde und alle von ihr abhängigen Dienste lahm und die Teams stehen unter großem Stress. Es ist die Aufgabe unserer Experten, ihnen mit Professionalität, aber auch mit Einfühlungsvermögen zur Seite zu stehen und Sicherheit zu geben.

„Paradoxerweise habe ich gute Erinnerungen an diese Zeit, in der das Adrenalin in die Höhe schoss.“

Die First-Responder von Advens bringen ein hohes Maß an Gelassenheit und Kontrolle mit, ein sehr großes Wissen darüber, was zu tun ist, um den Betrieb so sicher wie möglich wieder aufzunehmen, und zwar innerhalb eines vernünftigen und von allen akzeptierten Zeitrahmens.

Ransomware-Angriff: Wie lässt sich der nächste verhindern?

Nachdem das Feuer gelöscht und die Systeme und Daten wiederhergestellt wurden, ist es am wichtigsten, den Angriff und die Reaktion der Organisation darauf zu dokumentieren. Mit einer Analyse, formellem Feedback sowie kurz- und mittelfristigen Aktionsplänen können die lokalen Behörden eine sicherere Lage erreichen als zum Ende des CERT-Einsatzes.

Hier bieten die Berater und Experten von Advens einen echten Mehrwert. Durch die Dokumentation ihres Feedbacks tragen sie dazu bei, den Angriff zu verstehen, Schwachstellen aufzudecken und die Qualität der Reaktion zu analysieren.

Und wenn dann leider doch die nächste Krise kommt, ist es leichter, damit umzugehen und die Auswirkungen zu begrenzen.