Warnung vor Cyberangriffen auf neue Teleworker

Es wird dringend geraten, E-Mails mit „Corona“ im Betreff sowie Links - ebenso im Chat - auf Authentizität zu prüfen, auch wenn die Nachricht scheinbar von öffentlichen Stellen oder von Bekannten kommt.

Von Erich Moechel

Die Auswirkungen der Coronaviruspandemie treffen nun den IT-Sektor mit voller Wucht. Binnen kürzester Zeit hat sich die Zahl der Telearbeitsplätze in ganz Europa vervielfacht, ohne entsprechende Vorbereitungszeit. Der Sicherheitsforscher Lukasz Olejnik warnt vor unvorhergesehenen Folgen des Ausnahmezustands, angesichts dessen gewohnte Geschäftsroutinen plötzlich zum Risikofaktor mutieren können.

Die Disruption des Berufsalltags habe dazu geführt, dass nun eine große Zahl an Teleworkern erstmals und teils mit privaten PCs oder Smartphones mit ihren Firmennetzen verbunden sind. Quer durch Europa sitzen Millionen Benutzer zu Hause vor neuer Software oder müssen sie erst installieren. All diese neuen externen Arbeitsplätze sind mit Firmennetzen verbunden, aber durch keine Firewalls geschützt.

Warnungen treffen ein

Phishing-Angreifer würden diese neue Situation unweigerlich ausnützen, warnt Sicherheitsforscher Olejnik, unter den derzeitigen Umständen der Coronaviruspandemie sei zu befürchten, dass dies in einem unvorhergesehenen Ausmaß funktioniert. Und während Olejnik am Freitag noch mit seiner ersten Risikoanalyse für den IT-Sektor beschäftigt war, trat schon eines jener Ereignisse ein, die da beschrieben werden.

Der öffentlich-rechtliche Nachrichtenkanal Tschechiens CT 24 berichtete am Freitag, dass die Computernetze der Universitätsklinik Brünn und der angebundenen Forschungseinrichtungen vollständig lahmgelegt wurden. In dieser Klinik, die auch Coronavirustests durchführt, funktionieren zwar noch alle medizinischen Geräte. Die Rechner des internen Netzwerks, über das alle Kommunikationen laufen, dürfen jedoch nicht mehr gestartet werden.

Mail hatte „Corona“ im Betreff

Von dieser Beschreibung her kann es sich nur um einen Verschlüsselungstrojaner einer der vielen einschlägig bekannten Erpresserbanden wie Sodinokibi oder Emotet handeln. Die waren in den letzten Wochen durch immer mehr Phishing-Kampagnen aufgefallen, die allesamt in Mails mit Bezug auf Corona dahergekommen waren. Es ist also hochwahrscheinlich, dass Angestellte des Uniklinikums Brno auf eine gut gemachte Phishing-Mail mit „Corona“ im Betreff hereingefallen sind.

Kein Zugriff auf Untersuchungsergebnisse, verschobene Operationen, Daten von Patienten auf der Intensivstation - unter normalen Bedingungen wären die Auswirkungen schlimm genug, aber durchaus zu bewältigen. In einer Ausnahmesituation wie jetzt kann ein solcher Angriff schwerwiegende Folgen haben, wenn nämlich die Arbeitsabläufe in der zweitgrößten Klinik eines Landes nicht mehr richtig funktionieren. Exakt vor solchen kumulierenden Szenarien warnt Lukasz Olejnik in seinem Sicherheitsblog.

Emotet-Gang beutet Coronavirus aus

Verschärft wird die Gefahr noch durch den großen Informationsbedarf rund um die Coronaviruspandemie. Damit steigt auch die Bereitschaft, den einen fatalen Klick zu machen, der eine Kettenreaktion auslöst. Wann immer in den letzten 15 Jahren weltweit so eine Situation gegeben war, in der ein Thema den gesamten Nachrichtenfluss dominierte, hatten die Cyberkriminellen Hochsaison. Und so ist das auch jetzt, denn seit Jahresbeginn fallen laufend immer mehr solche Schadsoftware-Kampagnen auf, wie eine Zusammenstellung der Cybersicherheitsfirma Recorded Future von bisher bekannt gewordenen Fällen zeigt.

Bereits im Jänner hatten Forscher der IBM X-Force eine Gruppe entdeckt, die über eine E-Mail-Kampagne ein Word-Attachment mit „wichtigen Informationen zu Corona“ verbreitet. Darin war wiederum ein böses Macro enthalten, das ein Powershell-Script ausführte und das holte einen der gefürchteten Emotet-Trojaner ab. Die werden in der letzten Zeit kaum mehr als Passwortstehler eingesetzt, sondern steuern diverse Verschlüsselungsprozesse für das Erpressungsgeschäft. In diesem Fall hatte man auf Benutzer in Japan gezielt, Kaspersky kennt vergleichbare Fälle in den USA und anderen Staaten.

Was jetzt zu erwarten ist

Sowohl in Südkorea wie auch zuletzt in Italien sind ganz ähnliche Kampagnen aufgetaucht, in letzterem Fall kamen die E-Mails angeblich von „Dr. Penelope Marchetti“. Diese Person existiert tatsächlich und sie ist tatsächlich eine italienische Angestellte der Weltgesundheitsorganisation WHO. Nur hat die Dame weder diese Mails geschrieben, noch die bösen Attachments angehängt, über die der Verschlüsselungstrojaner auf die Rechner der Opfer kam.

Nach diesem Muster sind auch im deutschsprachigen Raum Kampagnen zu erwarten, wenn sie nicht schon begonnen haben. Auch Verbreitung von Schadsoftware, die früher generell als „Viren“ bezeichnet worden, unterliegt Vorlauf- und Inkubationszeiten. Es ist fast wie im echten Leben, in dem es nicht um die Sicherheit von Betriebssystemen, sondern ums Überleben geht.