Klicken Sie hier , um die komplette Analyse als PDF herunterzuladen.

Diese Analyse konzentriert sich auf das gleichzeitige Auftreten eines Exploit-Kits, eines Phishing-Angriffs oder eines Remote-Access-Trojaners mit einer Sicherheitslücke im Zeitraum vom 1. Januar 2018 bis zum 31. Dezember 2018. Wir haben Tausende von Quellen analysiert, darunter Code-Repositories, Beiträge in Deep-Web-Foren und Dark-Web-Seiten. Dies ist eine Fortsetzung unseres Berichts aus dem Jahr 2017 und richtet sich an Informationssicherheitsexperten, insbesondere an diejenigen, Sicherheitslücke Risikobewertungen durchführen.

Executive Summary

Viele Sicherheitslücke -Management-Experten stehen vor der entmutigenden Aufgabe, Sicherheitslückezu priorisieren, ohne ausreichend Einblick in die Sicherheitslücke zu haben, die von Cyberkriminellen aktiv ausgenutzt werden. Hier werden wir versuchen, dies zu beleuchten, indem wir die Top 10 Sicherheitslücke aus dem Jahr 2018 ermitteln. Es ist unerlässlich, dass Sicherheitsexperten Einblick in jene Sicherheitslücke haben, die sich auf den Technologie-Stack eines Unternehmens auswirken und in Exploit-Kits enthalten sind, zur Verbreitung eines Remote-Access-Trojaners (RAT) verwendet werden oder aktuell bei Phishing-Angriffen zum Einsatz kommen.

Im Jahr 2018 beobachteten wir mehr Angriffe auf Microsoft-Produkte als auf Adobe-Produkte. Acht von zehn Sicherheitslücke die durch Phishing-Angriffe, Exploit-Kits oder RATs ausgenutzt wurden, zielten auf Microsoft-Produkte ab, und nur eine Adobe Flash- Sicherheitslücke schaffte es unter die Top 10, wahrscheinlich aufgrund einer Kombination aus besserem Patching und dem bevorstehenden Ende des Flash Players im Jahr 2020.

Wie schon in den vergangenen Jahren ist die Entwicklung neuer Exploit-Kits angesichts der Verlagerung hin zu gezielteren Angriffen und der geringeren Verfügbarkeit von Zero-Day Sicherheitslücke weiter zurückgegangen. Exploit-Kits nutzten in den vergangenen Jahren Sicherheitslücke in Adobe-Produkten aus, deren Anzahl jedoch stetig abnimmt.

Wichtige Urteile

• Zum zweiten Mal in Folge war Microsoft am häufigsten Ziel von Sicherheitslücken, wobei acht der zehn größten Sicherheitslücke seine Produkte betrafen. Im Jahr 2017 waren sieben der zehn größten Sicherheitslücke auch bei Microsoft zu verzeichnen. Umgekehrt zielte die Mehrheit der Top- Sicherheitslücke der Jahre 2016 und 2015 auf den Adobe Flash Player ab.
• Wie schon im Bericht von 2017 sind auch hier nur noch wenige Sicherheitslücke aus früheren Berichten unter den am häufigsten ausgenutzten Sicherheitslücke. CVE-2017-0199, die im letzten Jahr am häufigsten ausgenutzte Sicherheitslücke, die Microsoft Office betraf, rückte auf den fünften Platz vor, da sie weiterhin im ThreadKit Exploit Kit enthalten ist. CVE-2016-0189, die 2016 die größte Sicherheitslücke aufwies und 2017 an zweiter Stelle stand, war immer noch mit fünf verschiedenen Exploit-Kits verbunden. Laut einem RAND-Bericht aus dem Jahr 2017 beträgt die durchschnittliche Lebenserwartung von Sicherheitslücke knapp sieben Jahre.
• Die Zahl der neuen Exploit-Kits sank 2018 weiter um 50 Prozent, mit nur fünf neuen Exploit-Kits, verglichen mit 10 im Vorjahr. Zwei dieser Exploit-Kits waren mit den meist genutzten Sicherheitslückevon 2018 verbunden: Folgen und LCG Kit. Wie in den Vorjahren beeinflussen ähnliche Trends weiterhin den Abwärtstrend bei Exploit-Kits, einschließlich der Umstellung auf sicherere Browser und gezieltes Opfer-Targeting.
• Mit der Aufnahme der RATs in diesem Jahr wurden 2018 35 neue RATs veröffentlicht, verglichen mit 47 im Jahr 2017. Nur einer dieser neuen RATs, Sisfader, war mit einem Top- Sicherheitslückeverbunden: CVE-2017-8750, einem Microsoft Office-Exploit.
• Ein Exploit-Kit, ThreadKit, stach im Vergleich zu anderen Exploit-Kits durch seine Anzahl an Referenzen im Dark Web auf. Am 31. Dezember 2018 enthielt ThreadKit vier der zehn besten Sicherheitslücke und wurde zuletzt im Dark Web für 400 Dollar verkauft.

Hintergrund

Recorded Future erweiterte weiterhin die Breite seiner jährlichen Liste der Top 10 Sicherheitslücke durch die Aufnahme von RATs, zusätzlich zum Auftreten mit Exploits oder Phishing-Angriffen, die 2017 hinzugefügt wurden. Wie in anderen Jahren ist das Ziel dieser Liste, die Sicherheitslücke am meisten vom kriminellen Untergrund ausgebeutet werden, hervorzuheben. Während das Leck von nationalstaatenbezogenen Exploits 2018 Schlagzeilen machte, sah Recorded Future keine Hinweise darauf, dass diese Exploits stark vom kriminellen Untergrund genutzt wurden, und stehen daher nicht im Fokus dieser Analyse.

Die Liste analysierte weiterhin Vorkommen von Sicherheitslücke mit Exploit-Kits, wie es in den Berichten der letzten drei Jahre gemacht wurde. Seit dem Aufkommen von Exploit-Kits im Jahr 2006 benötigen Cyberkriminelle weniger Programmiererfahrung, um von diesem einfachen Crimeware-as-a-Service-Kanal zu profitieren.

Die Aufnahme von RATs bietet eine zusätzliche Malware-Kategorie, um zu bestimmen, welche Sicherheitslücke 2018 am häufigsten waren. RATs sind ein fester Bestandteil von Cyberkriminellen, da sie dem Angreifer die vollständige Kontrolle über den Computer eines Opfers geben können.

Methodik und Quellen

Recorded Future nutzte eine Liste von 167 Exploit-Kits als einen der Parameter, um die am häufigsten referenzierte und ausgenutzte Sicherheitslücke des Jahres 2018 zu ermitteln. Im Jahr 2018 wurden nur fünf neue Exploit-Kits erstellt, im Vergleich zu zehn im Jahr 2017.

Exploit-Kit-Kategorie in Recorded Future mit Dutzenden von Exploits.

Der diesjährige Bericht berücksichtigte auch RATs bei der Bestimmung der am häufigsten genutzten Sicherheitslücke. Recorded Future nutzte sein Repository mit 492 RATs. RATs wurden teilweise wegen der gestiegenen Nutzung durch ihre Rolle als multifunktionale Malware hinzugefügt.

RAT-Malware-Kategorie in Recorded Future.

Einige Sicherheitslücke wurden nicht in die Top 10 aufgenommen, da sie eher von staatlichen Akteuren als vom kriminellen Untergrund genutzt werden: ETERNALBLUE und Spectre/Meltdown. Der ETERNALBLUE-Exploit (der MS17-010 nutzte) wurde zwar oft erwähnt, aber weder von der kriminellen Unterwelt eingesetzt noch als Teil anderer Exploit-Kits zum Verkauf angeboten. Spectre wurde zwar bei einigen Phishing-Angriffen erwähnt, aber von Cyberkriminellen nicht in großem Umfang eingesetzt. Ein möglicher Grund dafür ist, dass diese Exploits ausgefeilter und schwieriger anzuwenden sind als typische Exploit-Kits, die früher aufgrund ihrer einfachen Handhabung weit verbreitet waren. Wie frühere Untersuchungen von Recorded Futurezu Top- Sicherheitslücke jedoch gezeigt haben, nimmt die Zahl der neu auftauchenden Exploit-Kits weiterhin ab.

Da diese jährliche Liste auf einer Metadatenanalyse verfügbarer Informationen aus offenen, Deep- und Dark-Web-Quellen basiert, hat Recorded Future keine der in diesem Artikel erwähnten Malware-Arten zurückentwickelt. Ziel dieses Berichts ist es hingegen, die am häufigsten ausgenutzte Sicherheitslücke aufzuzeigen.

Das letztjährige Top Exploited Sicherheitslücke

Der meistgenutzte Sicherheitslücke auf der Liste, CVE-2018-8174, ein Microsoft Internet Explorer Sicherheitslücke dem Spitznamen "Double Kill", war in vier Exploit-Kits (RIG, Folgen, KaiXin und Magnitude) enthalten. Exploit-Kits, die mit diesem Sicherheitslücke verbunden sind, verbreiteten die Malware Trickbot durch Phishing-Angriffe. Das Magnitude-Exploit-Kit lieferte Magniber-Ransomware, das hauptsächlich Nutzer in Asien ansprach, wo die Standardsprachen des Computers auf Koreanisch, Chinesisch oder Malaiisch waren.

CVE-2018-4878 war die zweithäufigste beobachtete Sicherheitslücke und ist die einzige Adobe Flash Player-Sicherheitslücke in den Top 10 dieses Jahres. Wie CVE-2018-8174 war auch diese Sicherheitslücke in mehreren Exploit-Kits enthalten, insbesondere im Folgen Exploit-Kit, das zur Verbreitung der GandCrab-Ransomware verwendet wurde. Folgen hat seinen Namen und seine URI-Muster vom inzwischen aufgelösten Nuclear Exploit Kit übernommen, das mit CVE-2015-7645, einer der Top 10 Sicherheitslücke des Jahres 2016, in Verbindung gebracht wurde. Im Jahr 2018 wurde Folgen zuletzt für 300 Dollar pro Woche und 1.100 Dollar pro Monat verkauft, wie unten ersichtlich.

Letzte Preisaktualisierung für das Folgen Exploit Kit von FalloutEK.

Zum ersten Mal hat ein Sicherheitslücke es drei Jahre in Folge in die Top 10 Sicherheitslücke Liste geschafft – CVE-2016-0189. Warum hat sich diese Sicherheitslücke fortgesetzt? Zum einen ist CVE-2016-0189 nicht von einer Version des Internet Explorer abhängig (es betrifft IE 9 bis 11), was zu einem zuverlässigeren Sicherheitslücke zum Ausnutzen führt. Aufgrund dieser Vielseitigkeit wurde der Sicherheitslücke im Laufe der Jahre erfolgreich in eine Vielzahl verschiedener Exploit-Kits integriert, bis zu fünf davon im Jahr 2018 (Underminer, Magnitude, Grandsoft, KaiXin und RIG). Außerdem gibt es keine abweichenden Faktoren, um CVE-2016-0189 zu verhindern – die einzigen Workarounds sind die Einschränkung des Zugriffs auf zwei gängige dynamisch verknüpfte Bibliotheksdateien: VBScript.dll und JScript.dll.

Zwei Sicherheitslücke wurden mit zahlreichen Schadprogrammen in Verbindung gebracht: CVE-2017-11882 und CVE-2017-0199. Diese Sicherheitslücke standen im Zusammenhang mit zehn bzw. acht Schadprogrammen. Beide wurden im Security Multisploit Tool von Trillium verwendet, das vier der zehn größten Sicherheitslücke enthielt. Dieses Tool wurde in Hack Forums und Nulled Forum intensiv diskutiert und beworben und erhielt positive Bewertungen. CVE-2017-0199 wurde insbesondere von der Gorgon Group ausgenutzt, einer Bedrohungsgruppe mit Sitz in Pakistan, die unter anderem Regierungsorganisationen in Großbritannien und den Vereinigten Staaten durch gezielte Spear-Phishing-Angriffe ins Visier nahm.

Beitrag über das Security Multisplit Tool von Trillium, wie er in zahlreichen Darknet-Foren zu sehen ist.

Die Entwicklung von Exploit-Kits nimmt weiter ab

Wie bereits in früheren Berichten festgestellt, ging die Entwicklung neuer Exploit-Kits weiter zurück. Im Jahr 2018 tauchten lediglich fünf neue Exploit-Kits auf, verglichen mit zehn im Jahr 2017 und 62 im Jahr 2016. Von diesen fünf waren zwei mit einer Top-10- Sicherheitslücke verbunden: Folgen und LCG Kit. Ab März enthielt das LCG Kit die Sicherheitslücke CVE-2017-11882, später im selben Jahr wurde jedoch auch die größte Sicherheitslücke des Jahres 2018, CVE-2018-8174, integriert. Obwohl das LCG Kit mit einer Reihe von schädlichen Anhängen in Verbindung gebracht wurde, darunter die Verbreitung von RATs wie REMCOS und QuasarRAT, gab es im Jahr 2018 keine direkten Hinweise darauf, dass dieses Exploit-Kit unter dem Namen LCG Kit im Darknet zum Verkauf angeboten wurde. Zu den 2018 entwickelten neuen Exploit-Kits gehören:

• Bestes Pack-Exploit-Kit
• Creep Exploit Kit
• Darknet Angler
• Folgen Exploit Kit
• LCG-Kit

Exploit-Kits, die weiterhin ihre Spuren hinterließen

Unter den Exploit-Kits, die mit der Top- Sicherheitslückeverbunden sind, war ThreadKit 2018 am meisten diskutiert auf Dark Web Quellen. ThreadKit integrierte vier der zehn wichtigsten Sicherheitslücke (CVE-2018-4878, CVE-2017-11882, CVE-2017-0199 und CVE-2017-8570). ThreadKits Bekanntheit nahm zu, als die Cobalt Hacking Group (oder Cobalt Group) dem Makro-Exploit eine weitere Stufe hinzufügte, indem sie ihren charakteristischen CobInt-Trojaner einfügte. Die Gruppe greift typischerweise Finanzinstitute an, obwohl die Aktivitäten aufgrund der Verhaftungen einiger Mitglieder zurückgegangen sind.

Diskussion im Darknet über Exploits im Zusammenhang mit der größten Sicherheitslücke von 2018.

Im Jahr 2018 wurde ThreadKit zuletzt am 28. Dezember von mrbass, einem Nutzer eines Dark-Web-Forums, aktualisiert, um Sicherheitslücke CVE-2018-15982 (eine neuere Adobe-Zero-Day- Sicherheitslücke) einzuschließen, die weiterhin für 400 US-Dollar verkauft wurden, wie unten zu sehen.

Letzte Aktualisierung des ThreadKit Exploit-Kits durch mrbass in einem Darknet-Forum im Jahr 2018.

UnderMiner, das zwei der größten Sicherheitslücke des Jahres 2018 ausnutzte – CVE-2016-0189 und CVE-2018-4878 – erlebte in der zweiten Hälfte des Jahres 2018 ein Wiederaufleben. Wie ThreadKit nutzte auch UnderMiner die Zero-Day- Sicherheitslücke CVE-2018-15982 Ende Dezember 2018 aus und war der erste, der diese ausnutzte.

RATs im Fokus

Sisfader ist der einzige RAT, der erstmals 2018 auftauchte und mit einem Top- Sicherheitslückeassoziiert wurde, mit seinem Exploit von CVE-2017-8570. Der RAT erhält die Persistenz, indem er sich selbst als Dienst installiert, wenn er von bösartigen RTF-Dateien gestartet wird. Laut verfügbaren Quellen gab es keine Hinweise auf den Verkauf von Sisfader.

QuasarRAT wurde mit den meisten Sicherheitslücke in Verbindung gebracht, insbesondere mit denen im Security Multisploit Tool von Trillium. Dieser RAT, der seit 2011 aktiv ist, beweist weiterhin seine Leistungsfähigkeit bei einer Vielzahl von Angriffen, darunter auch Spear-Phishing-Angriffe auf Regierungsorganisationen.

Ausblick und empfohlene Maßnahmen

Offizielle Sicherheitslücke -Datenbanken und sogar Scan-Tools können Organisationen nicht mit einer wichtigen Kennzahl ausstatten: der Überschneidung zwischen den Sicherheitslücke in den von Ihnen genutzten Systemen und denen, die von Bedrohungsakteuraktiv ausgenutzt werden. Ziel dieser jährlichen Liste ist es, eine Darstellung der am weitesten verbreiteten Sicherheitslücke Exploits zu liefern, zusätzlich zu einigen empfohlenen Maßnahmen:

• Priorisierende Patching aller in diesem Beitrag genannten Sicherheitslücke .
• Vergessen Sie nicht, ältere Sicherheitslücke zu reparieren – eine durchschnittliche Sicherheitslücke bleibt fast sieben Jahre lang intakt.
• Entfernen Sie die betroffene Software, sofern sie keine Auswirkungen auf wichtige Geschäftsprozesse hat.
• Verwenden Sie Google Chrome als primären Browser.
• Auch wenn der Flash Player immer seltener verwendet wird und immer mehr Websites diese Technologie von ihren Seiten entfernt haben, ist bei Websites, die dies nicht tun, weiterhin Vorsicht geboten.
• Nutzen Sie Browser-Werbeblocker, um Ausnutzung durch Malvertising zu verhindern.
• Häufig werden Systeme gesichert, insbesondere solche mit geteilten Dateien, die regelmäßig Ziel von Ransomware sind.
• Nutzer und Organisationen sollten ein Bewusstsein für Phishing-Sicherheit entwickeln oder aufrechterhalten, um Angriffe abzuwehren.
• Unternehmen sollten Nutzerschulungen anbieten, um Skepsis gegenüber E-Mails zu fördern, die zusätzliche Informationen anfordern oder Klicks auf Links oder Anhänge anregen. Unternehmen fragen Kunden in der Regel nicht nach persönlichen oder finanziellen Daten, aber im Zweifelsfall kontaktieren Sie das Unternehmen direkt telefonisch und bestätigen, ob sie die Informationen tatsächlich benötigen.