Studie bestätigt: Cyberkriminelle verschleieren ihre Attacken zunehmend mit TLS

6. Mai 2021 Justine Ceppok
Sophos

Sophos hat die Ergebnisse einer neuen Studie mit dem Titel “Nearly Half of Malware Now Use TLS to Conceal Communications” veröffentlicht, die eindeutig zeigen, dass Cyberkriminelle zunehmend das Verschlüsselungsprotokoll Transport Layer Security (TLS) für ihre Angriffe verwenden, um ihre Kommunikation zu verschlüsseln. Der Trend ist enorm: bereits 45 Prozent der von Sophos von Januar bis März 2021 entdeckten Malware verwendete TLS, um ihre Aktivitäten zu verschleiern. Das ist ein enormer Anstieg gegenüber 23 Prozent von Anfang 2020. Die SophosLabs haben im vergangenen Jahr zudem einen Anstieg der TLS-Verwendung zur Durchführung von Ransomware-Angriffen festgestellt – insbesondere bei manuellen Attacken. Der Großteil des erkannten schädlichen TLS-Verkehrs besteht aus Malware, die eine initiale Kompromittierung zum Ziel hat, beispielsweise Loader, Dropper oder dokumentenbasierte Installer wie BazarLoader, GoDrop und ZLoader.

„Einerseits hat TLS zweifellos die Privatsphäre der Internetkommunikation zum Besseren verändert. Auf der anderen Seite gelingt es Angreifern mit TLS viel leichter, bösartige Schadsoftware zu laden und zu installieren, um beispielsweise Daten zu stehlen – direkt unter der Nase von IT-Sicherheitsteams”, so Dan Schiappa, Chief Product Officer bei Sophos. „Angreifer nutzen TLS-geschützte Web- und Cloud-Dienste für die Verbreitung von Malware und zu deren Steuerung. Dabei dient die initiale Kompromittierungs-Malware zur Vorbereitung der eigentlichen, meist größeren Angriffe.”

Wer sich näher mit dem Thema beschäftigen möchte, kann sich die komplette Studie (Englisch) hier zu Gemüte führen:

Sophos hat speziell als Antwort auf diese Entwicklung seine neuen Firewall-Modelle der XGS-Serie entwickelt. Die neuen Modelle mit dedizierten Xstream-Flow-Prozessoren ermöglichen neben einer großen Flexibilität eine enorm leistungsfähige TLS-Inspektion (Transport Layer Security) – einschließlich der nativen Unterstützung für TLS 1.3. Mehr Infos hier.