Die in London ansässige Finastra, die drittgrößte FinTech-Bank der Welt mit rund 9,000 Kunden in 130 Ländern, berichtete, dass sie eine entdeckt hat Ransomware-Angriff auf seinen Servern, letzten Freitag.
Finastra wurde 2017 gegründet, beschäftigt mehr als 10,000 Mitarbeiter und verfügt über Niederlassungen in 42 Ländern. Zu seinen Kunden zählen 48 der 50 größten Banken weltweit. Im vergangenen Jahr meldete das Unternehmen einen Umsatz von mehr als 2 Milliarden US-Dollar.
Am 20. März berichtete Tom Kilroy, Chief Operating Officer von Finastra, auf seiner Website:
Das Finastra-Team für Risiko- und Sicherheitsdienste hat ungewöhnliche Aktivitäten auf unseren Systemen festgestellt. Um unsere Kunden und Mitarbeiter zu schützen, haben wir beschlossen, während der Untersuchung eine Reihe unserer Server offline zu schalten. Dies hat natürlich Auswirkungen auf einige unserer Kunden und wir stehen in direktem Kontakt mit den möglicherweise Betroffenen.
Finastra gab daraufhin zu, Ransomware-Aktivitäten entdeckt zu haben – Kunden- und Mitarbeiterdaten blieben jedoch unberührt.
Ransomware-Angriffe versuchen, in Kundendaten einzudringen Blockchain oder veröffentlichen, bis ein Lösegeld gezahlt wird. Das Justizministerium (DOJ) bezeichnete Ransomware als neues Geschäftsmodell für Cyberkriminalität und als globales Phänomen. Der offizielle jährliche Cyberkriminalitätsbericht des letzten Jahres gewarnt dass Ransomware „epidemieartige Ausmaße angenommen hat und die am schnellsten wachsende Cyberkriminalität ist.“
Siehe Verwandte: Die Kosten eines Enterprise Ransomware-Angriffs
Ende 2016 wurden Unternehmen alle 40 Sekunden Opfer von Ransomware-Angriffen. Cybersecurity Ventures prognostiziert, dass dieser Wert bis 14 auf alle 2019 Sekunden ansteigen wird – und zwar auf jede 11 Sekunden von 2021.
Letztes Jahr FBI geschätzt dass sich der Gesamtbetrag der Lösegeldzahlungen einer Milliarde US-Dollar pro Jahr näherte.
Wie Finastra handelte
Finastra verfolgte einen „Isolierungs-, Untersuchungs- und Eindämmungs“-Ansatz, bei dem das Unternehmen seine betroffenen Server vorübergehend abschaltete, während es den Verstoß eindämmte. Gleichzeitig führte Finastra eine gründliche Überprüfung seiner Server durch, bevor es sie am Montagmorgen wiederherstellte.
Das Unternehmen gab außerdem zu, dass es mit Störungen bei bestimmten Serverdiensten, insbesondere in Nordamerika, zu rechnen habe.
„Unsere Priorität“, betonte Kilroy, „besteht darin, die Integrität der Server sicherzustellen, bevor wir sie wieder online schalten, und unsere Kunden und ihre Daten zu diesem Zeitpunkt zu schützen.“
Was könnte schief gelaufen sein?
Während Kilroy zurückhaltender war, sagte das in Chicago ansässige Threat-Intelligence-Unternehmen Bad Packets, es habe das Unternehmen vor einigen Monaten vor seinen VPNs gewarnt. Anscheinend hatte Finastra ein ungepatchtes Pulse Secure VPN betrieben, das anfällig für CVE-2019-11510 ist. Diese beliebte SSL-VPN-Lösung, die von großen Organisationen und Regierungen auf der ganzen Welt verwendet wird, erhielt 10.0 vom Common Vulnerability Scoring System (CVSS) eine Bewertung von 2019 für ihre Anfälligkeit für Sicherheitsverletzungen.
Siehe Verwandte: Hersteller von Verteidigungselektronik CPI erliegt den Anforderungen von Ransomware
Im Januar hatten die Internet-Scans von Packet 3,825 Pulse Secure VPN-Server identifiziert, die weiterhin gefährdet waren, weil sie nicht mit einem Patch zur Behebung dieser „kritischen“ Schwachstelle aktualisiert worden waren.
Ebenfalls im Jahr 2019 hatte die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) gewarnt, dass „mehrere Schwachstellen das Pulse Secure Virtual Private Network (VPN) betreffen“. Ein Angreifer könnte diese Schwachstellen ausnutzen, um die Kontrolle über ein betroffenes System zu übernehmen.“
Es forderte Benutzer und Administratoren auf, diese Schwachstellen zu beheben.
Brad Paket wies darauf hin, dass Finastra letztes Jahr auch veraltete Pulse Secure VPN-Server sowie Anfang des Jahres vier veraltete Citrix-Server (Netscaler) betrieben hatte. Beide Servertypen wurden in den letzten Monaten von staatlich geförderten Hackern und Ransomware-Räubern ausgenutzt.
Takeaways
Das US-amerikanische Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) stellte eine Liste veralteter Software-Patches mit Schwachstellen zur Verfügung und warnte Benutzer:
Es gibt keine praktikable Lösung, außer die vom Anbieter bereitgestellten Patches und Updates anzuwenden. Es ist falsch anzunehmen, dass die Verwendung von Client-Zertifikaten oder der Zwei-Faktor-Authentifizierung (2FA) die RCE-Sicherheitslücke CVE-2019-11510 vor der Authentifizierung verhindern kann.
Die National Security Agency stellt Einzelheiten zu relevanten Updates und zur Behebung aktueller VPN-Schwachstellen bereit. Kürzlich verwies CISA Administratoren auf die folgenden Upgrades:
- Palo Alto Sicherheitshinweis PAN-SA-2019-0020
- FortiGuard-Sicherheitshinweis FG-IR-18-384
- Pulse Secure Sicherheitshinweis SA44101
Unterdessen warnte das US-Heimatschutzministerium Organisationen, dass sie bei der Umstellung auf Remote-Arbeit aufgrund von COVID-19 ihre Aufmerksamkeit auf die Cybersicherheit richten und besonders auf die von ihren Mitarbeitern verwendeten VPNs achten sollten.
Lesen Sie mehr: Vorfall der Woche
Foto mit freundlicher Genehmigung von StockPhotoSecrets
Quelle: https://www.cshub.com/attacks/articles/incident-of-the-week-finastras-ransomware-attack
