Ransomware-Angriffe sind weltweit zu einer ernsthaften Bedrohung für Unternehmen geworden und haben verheerende Folgen für die Datenintegrität und den Geschäftsbetrieb. Obwohl Unternehmen verschiedene Sicherheitsmaßnahmen implementiert haben, wird die Sicherheit von Makros und Skripten oft vernachlässigt. In diesem Blogbeitrag beleuchten wir die Bedeutung der Absicherung von Makros und Skripten zur Prävention von Ransomware-Angriffen und stellen effektive Strategien zum Schutz der wertvollen Daten Ihres Unternehmens vor.
Um Makro-basierte Ransomware zu stoppen, ist die mit Abstand effektivste Maßnahme die Durchsetzung der Gruppenrichtlinie „Alle Makros außer digital signierten Makros deaktivieren“, unterstützt durch ein Codesignaturzertifikat, sodass nur Makros ausgeführt werden können, die von vertrauenswürdigen, bekannten Herausgebern signiert sind. Dadurch wird der häufigste Verbreitungsweg für Ransomware (ein bösartiges Office-Makro, das ein Benutzer durch eine List aktiviert) auf Plattformebene unterbunden, anstatt sich auf das Urteilsvermögen des Benutzers zu verlassen.
Wichtige Erkenntnisse
- Durch die Signierung von Makros in Verbindung mit der Durchsetzung von Gruppenrichtlinien entfällt die Entscheidung des Benutzers vollständig; ein unsigniertes Makro wird einfach nicht ausgeführt, anstatt dass der Benutzer richtig einschätzen muss, ob er ihm vertrauen kann.
- Diese Seite konzentriert sich speziell auf die Signierung von Makros und Skripten als Kontrollmaßnahme gegen die Verbreitung von Ransomware. Informationen zum allgemeinen Vorgehen bei Codesignierungsvorfällen, zum Bedrohungsmodell, zur Eindämmung, zum Widerruf und zur Wiederherstellung finden Sie hier: Stärkung der Sicherheit bei der Codesignierung gegen Integritätslücken.
Das Risiko verstehen
Makros und Skripte sind leistungsstarke Tools zur Automatisierung von Aufgaben in Anwendungen wie Microsoft Office, Adobe Acrobat und Webbrowsern. Leider können sie auch als Einstiegspunkt für Ransomware-Angriffe dienen, wenn sie nicht ausreichend geschützt sind. Angreifer nutzen Schwachstellen in Makros und Skripten aus, um Schadcode einzuschleusen, der Dateien verschlüsselt und für deren Freigabe Lösegeld fordert. Unternehmen müssen die potenziellen Risiken erkennen und proaktiv Maßnahmen ergreifen, um diese kritischen Komponenten zu schützen.
Die Auswirkungen von Ransomware-Angriffen
Ransomware-Angriffe können schwerwiegende Folgen für Unternehmen haben, darunter:
-
Datenverlust und -unterbrechung
Ransomware kann kritische Dateien und Datenbanken verschlüsseln, sie unzugänglich machen und den Geschäftsbetrieb erheblich stören. Die Wiederherstellung von Daten ohne Zahlung des Lösegelds kann schwierig oder in manchen Fällen sogar unmöglich sein.
-
Finanzieller Verlust
Die Zahlung des Lösegelds kann zu erheblichen finanziellen Verlusten führen. Darüber hinaus können für Unternehmen zusätzliche Kosten im Zusammenhang mit der Reaktion auf Vorfälle, der Wiederherstellung und Reputationsschäden entstehen.
-
Reputationsschaden
Ein Ransomware-Angriff kann den Ruf eines Unternehmens schädigen und das Vertrauen der Kunden untergraben. Dies kann zu Geschäftsverlusten und möglichen rechtlichen Konsequenzen führen.
Sichern von Makros und Skripten
Um die Makros und Skripte Ihrer Organisation vor Ransomware-Angriffen zu schützen, sind die folgenden Kontrollmaßnahmen am wirksamsten, geordnet danach, wie stark sie die Abhängigkeit vom Urteilsvermögen des Benutzers verringern:
-
Erzwingen Sie über Gruppenrichtlinien die Deaktivierung aller Makros außer digital signierten Makros.
Dies ist die wirksamste Maßnahme. Legen Sie in den Gruppenrichtlinien für VBA-Makrobenachrichtigungen fest, dass eine digitale Signatur eines vertrauenswürdigen Herausgebers erforderlich ist. Ein unsigniertes Makro kann dann nicht ausgeführt werden, unabhängig davon, ob ein Benutzer durch einen Klick auf „Inhalte aktivieren“ getäuscht wird. Dadurch wird der häufigste Verbreitungsweg von Ransomware direkt bekämpft: ein schädliches Office-Makro, das einer Phishing-E-Mail beigefügt ist.
-
Einen Codesignierungsprozess für interne Makros einrichten
Damit die oben genannte Richtlinie funktioniert, ohne legitime Geschäftsmakros zu beeinträchtigen, benötigt Ihr Unternehmen ein eigenes Codesignaturzertifikat und einen eigenen Prozess, um intern entwickelte Makros zu signieren und als vertrauenswürdig einzustufen. Andernfalls blockiert die Richtlinie „Nur signierte Makros“ entweder legitime interne Tools oder zwingt die IT-Abteilung, die Richtlinie abzuschwächen.
-
Führen Sie eine Liste vertrauenswürdiger Herausgeberzertifikate
Gruppenrichtlinien können so konfiguriert werden, dass sie bestimmten Herausgeberzertifikaten anstatt jeder gültigen Signatur vertrauen; dies verhindert ein Szenario, in dem ein Angreifer ein beliebiges Codesignaturzertifikat erlangt und damit bösartige Makros signiert, die ansonsten die „signierte“ Prüfung bestehen würden.
-
Codeprüfung vor der Unterzeichnung
Das Signieren eines Makros sollte der Überprüfung seiner Funktionsweise folgen, nicht sie ersetzen. Ein Code-Review- und Genehmigungsschritt vor dem Signieren erkennt bösartigen oder versehentlich gefährlichen Makrocode, bevor dieser eine vertrauenswürdige Signatur erhält.
-
Anwendungs-Whitelisting für Skripte außerhalb von Office
Für PowerShell und andere Skript-Engines außerhalb des Office-Makromodells verwenden Sie die Skriptsignatur (
Set-ExecutionPolicy AllSignedin PowerShell) kombiniert mit einer Anwendungs-Whitelist, sodass nur signierte, genehmigte Skripte ausgeführt werden. -
Nutzeraufklärung darüber, was die Signing-Only-Funktion tatsächlich ändert
Sobald die Signierung erzwungen wird, verschiebt sich das Risiko für den Nutzer von „Soll ich dieses Makro aktivieren?“ zu „Ist diese signierte Makroanfrage im Kontext sinnvoll?“, da eine Signatur den Ursprung, nicht aber die Absicht bestätigt. Schulungen sollten diese Unterscheidung berücksichtigen und nicht nur allgemeines Phishing-Wissen vermitteln.
-
Reaktionsplan speziell für einen Makro-Signatur-Bypass
Falls sich ein signiertes Makro später als bösartig erweist (ein kompromittierter interner Signaturprozess, nicht etwa eine Phishing-Umgehung), ist die Reaktion dieselbe wie bei jeder Kompromittierung der Codesignatur: Das Zertifikat wird sofort widerrufen, alle damit signierten Artefakte werden identifiziert und legitime Artefakte mit einem neuen Zertifikat neu signiert.
Häufig gestellte Fragen
Führt die Erzwingung von „nur signierten Makros“ zu Problemen mit legitimen internen Makros?
Nur wenn kein Prozess zum Signieren vorhanden ist. Kombinieren Sie die Durchsetzung der Gruppenrichtlinie mit einem internen Codesignaturzertifikat und einem Workflow, damit legitime Makros signiert und als vertrauenswürdig eingestuft werden, anstatt zusammen mit schädlichen blockiert zu werden.
Kann ein Angreifer, der ein beliebiges Codesignaturzertifikat erlangt, die Beschränkung „Nur signierte Makros“ umgehen?
Ja, es sei denn, die Richtlinie beschränkt sich auf eine bestimmte Liste vertrauenswürdiger Herausgeberzertifikate, anstatt jede gültige Signatur zu akzeptieren. Die Beschränkung des Vertrauens auf namentlich genannte Herausgeber schließt diese Lücke.
Fazit
Die Sicherung von Makros und Skripten ist für den Schutz Ihres Unternehmens vor Ransomware-Angriffen unerlässlich. Durch die Kombination von Benutzerschulung, Aktivierung von Sicherheitsfunktionen, Implementierung von Whitelists, regelmäßigem Patchen, Einsatz von erweitertem Bedrohungsschutz, Netzwerksegmentierung, Backup und Wiederherstellung, MFA, Codeüberprüfung, dem Prinzip der geringsten Privilegien, Incident-Response-Planung, Sicherheitsbewertungen, Sensibilisierungsschulungen, Lieferantenrisikomanagement und regelmäßigen Sicherheitsupdates können Unternehmen das Risiko, Makros und Skripte Ransomware-Angriffen auszusetzen, deutlich reduzieren. Denken Sie daran: Ein umfassender und mehrschichtiger Sicherheitsansatz ist der Schlüssel zum Schutz der kritischen Daten und Abläufe Ihres Unternehmens vor der sich ständig weiterentwickelnden Bedrohungslandschaft durch Ransomware.
