Studierende und Beschäftigte der Vanderbilt University können die Geräte der Universität wieder einschalten. Was die Angreifer möglicherweise erbeutet haben, ist weiterhin ungeklärt.
Die Universität in Nashville gab am 9. Nov. einen Cyberangriff bekannt. Die Ransomware-Gruppe BYOD behauptet, mehr als 1 Million Sozialversicherungsnummern sowie Daten von Studierenden, Beschäftigten und aus der Forschung gestohlen zu haben. Vanderbilt hat den angeblichen Diebstahl, die Zahl und die Beteiligung der Gruppe bislang nicht öffentlich bestätigt.
Die unmittelbare Herausforderung besteht darin, den Zugriff wiederherzustellen und gleichzeitig den Eindringversuch zu untersuchen. Für Personen, deren Daten möglicherweise betroffen sind, macht die Ungewissheit es außerdem wichtig, offizielle Anweisungen von den Behauptungen der Angreifer zu unterscheiden.
Der Campuszugang wird schrittweise wiederhergestellt
Vanderbilt hatte ihre Hochschulangehörigen zunächst aufgefordert, Geräte der Universität herunterzufahren und die Verbindung zum Campus-WLAN zu trennen. Das Update vom 10. Nov. um 9 Uhr erlaubte Studierenden, Lehrkräften und Beschäftigten, die Geräte der Universität wieder zu nutzen, und führte folgende verfügbare Dienste auf:
- Campus-WLAN.
- Okta-Authentifizierung, weiterhin mit Multi-Faktor-Authentifizierung.
- Vanderbilt-E-Mail über Outlook.
- Brightspace, Zoom und Your Enrollment Services.
Nach dem morgendlichen Update der Universität vom 10. Nov. blieben alle anderen Systeme und Anwendungen von Vanderbilt, einschließlich CampusPrint, weiterhin eingeschränkt. Die Universität teilte mit, dass ihr IT-Team mit Behörden und anderen Partnern zusammenarbeite.
Vanderbilt erklärte, dass die Maßnahmen zur Eindämmung und Reaktion auch die reguläre Kommunikation eingeschränkt hätten.
Gary Barlet, CTO für den öffentlichen Sektor bei Illumio, sagte, die Störung zeige, warum die Aufrechterhaltung des Betriebs Teil der Sicherheitsplanung von Universitäten sein müsse.
„Universitäten können nicht davon ausgehen, jeden Eindringversuch zu verhindern. Sie müssen sicherstellen, dass sie kompromittierte Systeme schnell isolieren und den Rest der Institution weiterbetreiben können“, sagte Barlet.
Für Sicherheitsteams sollten Hinweise zur Wiederherstellung ausweisen, welche Dienste zur Nutzung freigegeben sind und welche Einschränkungen weiterhin gelten. Eine funktionierende WLAN-Verbindung allein beantwortet diese Fragen nicht.
Die Zahl von 1 Million Sozialversicherungsnummern stammt von den Angreifern
BleepingComputer berichtete, dass BYOD Vanderbilt auf seiner Leak-Seite aufgeführt und behauptet habe, Datenbanken verschlüsselt sowie Namen, E-Mail-Adressen, Telefonnummern, Sozialversicherungsnummern und Forschungsdaten erlangt zu haben.
Das Medium erhielt außerdem ein Foto eines offenbar zu Vanderbilt gehörenden Computers, auf dem eine Lösegeldforderung von BYOD angezeigt wurde, sowie ein Video mit einer Audiowarnung auf betroffenen Geräten.
Diese Materialien belegen nicht, wie viele Daten gestohlen wurden. Vanderbilt hat weder die Verschlüsselung von Datenbanken noch den von BYOD behaupteten Zugriff auf den Domain-Controller der Universität öffentlich bestätigt. Die angebliche Zahl der Sozialversicherungsnummern sollte nicht als verifizierte Zahl der betroffenen Personen behandelt werden.
Die Untersuchung muss getrennte Fragen beantworten: Auf welche Systeme hatten die Angreifer Zugriff, haben Daten diese Systeme verlassen und wessen Datensätze waren betroffen?
Diese Unterscheidung ist auch bei der Wiederherstellung nach einem Ransomware-Angriffwichtig. Die Wiederherstellung von Anwendungen stellt deren Verfügbarkeit wieder her; die Untersuchung unbefugter Zugriffe und eines möglichen Datendiebstahls erfordert zusätzliche Beweise.
„Wenn Sozialversicherungsnummern gestohlen wurden, macht die Wiederherstellung der Server diese Offenlegung nicht rückgängig“, sagte Darin Fredde, Senior Director und Evangelist für offensive Sicherheit bei Ridge Security.
Was Campus-Nutzer jetzt tun sollten
Vanderbilts Leitlinien nennen unerwartete Authentifizierungsanfragen, unbekannte Aufforderungen und nicht erklärbare Änderungen an Dateien oder Cloud-Speicherberechtigungen als Warnzeichen. Wer verdächtige Aktivitäten feststellt, sollte das betroffene Gerät sofort herunterfahren, nicht auf Aufforderungen klicken oder selbst Nachforschungen anstellen und die IT über ein separates Gerät oder per Telefon kontaktieren.
Nutzer sollten außerdem:
- Anweisungen zur Wiederherstellung unabhängig überprüfen. Eine bekannte Website der Universität öffnen oder einen etablierten IT-Kontakt nutzen, bevor sie einer unerwarteten Aufforderung zum Zurücksetzen von Zugangsdaten oder zur Installation von Software folgen.
- Unbekannte Authentifizierungsanfragen ablehnen. Aufforderungen melden, die sie nicht selbst ausgelöst haben. Angriffe, die auf Sitzungstoken und Authentifizierungsabläufe abzielen, zeigen, warum ein vertrauter Anmeldedienst nicht jede Anfrage vertrauenswürdig macht.
- Identitätsschutz erwägen, ohne von einem Datenleck auszugehen.Die Federal Trade Commission erklärt, dass eine kostenlose Kreditsperre helfen kann, Identitätsdiebstahl bei der Eröffnung neuer Konten zu verhindern, und dass Betroffene nicht auf eine bestätigte Datenschutzverletzung warten müssen, um eine solche Sperre zu beantragen. Kontaktieren Sie Equifax, Experian und TransUnion jeweils separat.
Was Sicherheitsteams vor einer Ausweitung des Zugriffs überprüfen sollten
Für andere Institutionen, die ihre Reaktionspläne überprüfen, bietet die Störung bei Vanderbilt eine konkrete Übung: Könnten Beschäftigte verbindliche Anweisungen finden, wenn ihre üblichen Kommunikationsmittel eingeschränkt wären?
Sicherheitsverantwortliche sollten dieses Szenario zusammen mit der technischen Wiederherstellung testen. Richten Sie einen öffentlich erreichbaren Informationskanal ein, legen Sie fest, wer die Wiederherstellung von Diensten genehmigt, und erklären Sie, wie Nutzer verdächtiges Verhalten melden sollen, ohne auf ein betroffenes Gerät angewiesen zu sein.
Roy Katmor, Mitgründer und CEO von Orchid Security, verwies darauf, wie wichtig es sei zu verstehen, worauf eine kompromittierte Identität zugreifen könnte.
„Wir wissen noch nicht, wie die Angreifer eingedrungen sind, aber die wichtigere Frage lautet, wie weit sie vordringen konnten“, sagte Katmor. „Das eigentliche Risiko ist die Lücke zwischen den Zugriffsrechten, die jemand haben sollte, und dem, worauf seine Identität tatsächlich zugreifen kann.“
Institutionen, die dieses Risiko bewerten, sollten überprüfen, worauf Konten von Studierenden, Beschäftigten, Diensten und Administratoren tatsächlich zugreifen können. Ermitteln Sie übermäßige Berechtigungen und Abhängigkeiten, durch die ein einziges kompromittiertes Konto weitere Systeme gefährden könnte.
Ermittler sollten außerdem anhand der Beweislage Identitätssysteme, privilegierte Zugriffe, Cloud-Aktivitäten und die Integrität von Backups untersuchen. Unabhängige Untersuchungen zu GlobalProtect-Ransomware haben gezeigt, dass Angreifer Virtualisierungs- und Backup-Infrastrukturen erreichen konnten. Das ist ein Grund, diese Schutzmaßnahmen zu testen, aber kein Beleg für den Einstiegspunkt bei Vanderbilt.
Fredde empfahl einen regelmäßigen Zyklus aus offensiven Tests, Behebung und erneuten Tests, um zu überprüfen, dass nutzbare Angriffswege geschlossen wurden. Er warnte außerdem, dass die Wiederherstellung auch die Prüfung möglicher Rückkehrwege der Angreifer erfordert; der Eindringweg bei Vanderbilt und die Testverfahren sind weiterhin unbekannt.
„Systeme wieder online zu bringen, ist ein Fortschritt. Festzustellen, dass der Zugriff des Angreifers entfernt wurde, ist ein weiterer Teil der Aufgabe“, sagte Fredde.
Für die Vanderbilt-Gemeinschaft wird das nächste wichtige Update den Umfang des unbefugten Zugriffs und eine bestätigte Offenlegung von Daten klären. Bis dahin sollten Sie die aktuellen dienstspezifischen Hinweise befolgen, nicht erklärbare Aktivitäten melden und jede spätere Benachrichtigung über eine Datenschutzverletzung daran messen, welche tatsächlich betroffenen Informationen darin genannt werden.
Mehr lesen: Wie Angreifer Phishing im Stil von Passkeys nutzen, um Microsoft-365-Konten zu kompromittieren erklärt, warum unerwartete Aufforderungen zur Aktualisierung von Authentifizierungseinstellungen während der Wiederherstellung nach einem Sicherheitsvorfall kritisch geprüft werden sollten.