WannaCry reloaded: EternalRocks verwendet weitere NSA-Tools zur Weiterverbreitung

Your ads will be inserted here by

Easy Plugin for AdSense.

Please go to the plugin admin page to
Paste your ad code OR
Suppress this ad slot.

Was ist EternalRocks?

Der Sicherheitsforscher Miroslav Stampar – Mitglied des kroatischen CERT (Computer Emergency Response Team) – hat vor kurzem eine neue WannaCry-Variante entdeckt, die er EternalRocks getauft hat. Dieser Name basiert vermutlich auf der Tatsache, dass EternalRocks sieben Tools aus dem NSA-Arsenal verwendet, um Sicherheitslücken in Windows-Systemen aufzuspüren und auszunutzen. Folgende Exploits werden von EternalRocks verwendet:

– EternalBlue
– EternalChampion
– EternalRomance
– EternalSynergy

Darüber hinaus macht EternalRocks Gebrauch von SMBTouch und ArchiTouch, zwei weiteren NSA-Tools, die zum Aufspüren von verwundbaren Systemen verwendet werden. Last but not least kommt natürlich auch DoublePulsar zum Einsatz, mit dessen Hilfe der Wurm sich auf anderen verwundbare Systemen verbreiten kann.

Im aktuellen Zustand kann man sich EternalRocks als einsatzbereite Rakete ohne Gefechtskopf vorstellen. Es ist jedoch nur eine Frage der Zeit, bis eine scharfe Variante von EternalRocks erscheint, die weitere Funktionalität mitbringt.

Wie funktioniert EternalRocks?

Nach dem der Wurm ein Opfer infiziert hat, verwendet er ein zweistufiges Verfahren, um weiteren Schadcode nachzuladen, wobei die zweite Phase verzögert eintritt, um Abwehrmaßnahmen zu unterlaufen. Im ersten Schritt lädt EternalRocks den Tor-Client herunter und sendet ein Signal an seinen Command & Control-Server im Tor-Netzwerk. Der C2-Server sendet dann nach 24 Stunden ein Echo zurück; diese Verzögerung kommt häufig bei Malware zum Einsatz, um die Infektion eines Systems zu verschleiern. EternalRocks enthält übrigens keinen Killswitch-Mechanismus und ist daher auch nicht so einfach auszuschalten wie WannaCry.

Im zweiten Schritt der Installation von EternalRocks wird ein Archiv heruntergeladen, das weitere Malware enthält. Anschließend führt der Wurm einen Scan durch und versucht sich zu einem zufällig ausgewählten anderen Endpoint zu verbinden.

Your ads will be inserted here by

Easy Plugin for AdSense.

Please go to the plugin admin page to
Paste your ad code OR
Suppress this ad slot.

Was macht EternalRocks so gefährlich?

Während WannaCry eher der sprichwörtliche Elefant im Porzellanladen und viel Schaden angerichtet hat, ist EternalRocks offensichtlich für unauffälligere Operationen entwickelt worden. Durch den modularen Aufbau und die Fähigkeit, weitere Malwarekomponenten wie Trojaner, Ransomware oder sonstiges nachzuladen, ist EternalRocks deutlich vielseitiger und auch gefährlicher.

Fazit

Wenn man so möchte, dann hat WannaCry die Büchse der Pandora geöffnet. Nach wie vor gibt es weltweite viele ungepatchte und damit anfällige Windows-Systeme, und da es keine Frage des ob, sondern des wann ist, bis eine vollständig aufmunitionierte Variante von EternalRocks erscheint, sollte man sich unbedingt Gedanken über einen zeitgemäßen und wirksamen Schutz vor Malware sowohl auf Endgeräten als auch auf Servern machen, denn was aktuell geschieht, ist erst der Anfang dessen, was noch alles auf uns zukommen wird.

Übrigens: Lassen Sie sich nicht von der Erkennungsrate hinsichtlich der bislang bekannten EternalRocks-Samples täuschen. Zum einen wurden diese bereits vor vier bzw. fünf Tagen (Stand: 23.05.17) auf Github hochgeladen, und zum anderen sollten fünf Tage selbst dem langsamsten AV-Hersteller in Bezug auf aktualisierte Signaturen genügen, diese auf Vordermann zu bringen.

Selbst ein tagesaktuelles Sample, das vor exakt 16 Stunden und 9 Minuten zu VirusTotal hochgeladen wurde, wird aktuell (23.05.17/2059h) gerade mal von 39 von 61 Virenscannern erkannt:

https://www.virustotal.com/en/file/44472436a5b46d19cb34fa0e74924e4efc80dfa2ed491773a2852b03853221a2/analysis/

Ich glaube, dieses niederschmetternde Ergebnis spricht für sich und bedarf nicht mehr vieler Worte…

Welche traditionelle AV-Software ist heutzutage noch empfehlenswert? Keine!

Your ads will be inserted here by

Easy Plugin for AdSense.

Please go to the plugin admin page to
Paste your ad code OR
Suppress this ad slot.

Zugegebenermaßen, die Headline klingt etwas reißerisch. Soll sie aber auch. Nach der WannaCry-Kampagne, von der wohl jeder durch zahlreiche Berichte in Funk und Fernsehen Mitte Mai 2017 gehört haben dürfte, wurde ich nach Empfehlungen für ein “sicheres” AV-Programm gefragt, das aber natürlich nach Möglichkeit auch nichts kosten sollte. Zum letzteren Thema möchte ich nur folgendes sagen: Wer bereits am Virenschutz sparen möchte, der muss auch damit leben, dass sein Monitor als Reklametafel verwendet wird – wer freie Versionen von bekannter AV-Software wie beispielsweise Avast oder Avira verwendet, wird wissen, was ich meine.

Das soll jetzt aber nicht das Thema sein. Ich kann tatsächlich niemand guten Gewissens einen Malwareschutz empfehlen, der das erste WannaCry-Sample am Tag des Ausbruchs (12.05.17) auch nach mehreren Stunden(!) in der Umlaufbahn nicht erkannt hat. Dies trifft gemäß folgendem Screenshot (Quelle: http://blog.fefe.de/?mon=201705) dann wohl auf alle Virenscanner zu, die bei VirusTotal zum Einsatz kommen, und das sind immerhin an die 60(!) Scan Engines. Da darunter auch Virenscanner sind, die nur ausführbare Dateien scannen, verringer sich die Anzahl auf 56:

Jetzt wird natürlich der ein oder andere zunächst entrüstet aufschreien und darauf hinweisen, dass bei VirusTotal üblicherweise die Kommandozeilenscanner der jeweiligen Produkte zum Einsatz kommen und deshalb nur rein signaturbasiert gescannt wird. Dieses Argument ist natürlich richtig, aber dem halte ich entgegen, dass primär signaturbasierte Scanner sowieso ein Relikt aus der Vergangenheit sind und auch ein Kommandozeilenscanner in der Regel cloudbasiert scannen kann, d.h. Hashwerte, die über die jeweiligen Clouds der einzelnen Hersteller aktualisiert und verteilt werden, kommen üblicherweise schneller auf dem Endpoint an als Signaturupdates.

Oder lag es daran, dass das Wochenende vor der Türe stand und auch Malwareanalysten gerne  Feierabend machen möchten? Das sei ihnen auf jeden Fall gegönnt, doch dann muss man sich auch die Frage stellen, wie wirkungsvoll der Schutz durch Antiviren-Software ist, die keine zeitnahen Updates via Cloud oder was auch immer (z.B. Signaturen) erhält. Vergleichen Sie am besten selbst einmal die vollmundigen Werbeaussagen von der “intelligenten Cloud”, die mittels “maschinenbasierten Lernen” unbekannte Bedrohungen in Echtzeit sofort und zuverlässig abwehren kann mit der harten Realität – aus meiner Sicht klafft da eine gewaltige Lücke.

Wie das mit einer modernen Next-Generation-Lösung wie Cylance aussehen kann, zeigt dieser Blogartikel von Cylance zum Thema WannaCry.  Der Vollständigkeit halber möchte ich erwähnen, dass ich aus zuverlässiger Quelle weiß, dass auch eine ältere Version von CylancePROTECT WannaCrypt problemlos entdeckt und gestoppt hätte:

CylancePROTECT and WannaCry

Über DeepArmor von SparkCognition hatte ich bereits berichtet; auch diese Next-Gen AV-Lösung hat WannaCry erkannt und gestoppt, ohne vorher jemals das Sample gesehen zu haben:

Ich möchte es an dieser Stelle jedem selbst überlassen, sich Gedanken darüber zu machen, wie die Zukunft im AV-Bereich aussehen wird – für mich ist es mittlerweile glasklar, und das manifestiert sich auch in der Überschrift.

Sparkcognition DeepArmor Next-Gen AV bietet Schutz vor WannaCry-Ransomware

In meinem Artikel von gestern hatte ich über die weltweite Ausbreitung der WannaCry-Ransomware berichtet. Dass eine Sicherheitslücke in Windows-Betriebsystemen ausgenutzt wird, ist die eine Sache, dass aber offensichtlich auch AV-Software WannaCry/Wana Decrypt0r nicht erkannt hat, die andere. Ehrlich gesagt verblüfft mich das aber auch nicht weiter, denn traditionelle AV-Software tut sich zunehmend schwerer damit, Ransomware zu erkennen und wirkungsvoll zu stoppen. Erpresstes Lösegeld aus Ransomware-Infektionen ist schnell und leicht verdientes Geld, und deshalb versuchen Cyberkriminelle natürlich auch, ihre Ransomware so gut wie möglich vor der frühzeitigen Entdeckung durch AV-Software zu schützen, was ihnen in den meisten Fällen auch gelingt.

Selbst mit Techniken wie verhaltensbasierter Kontrolle oder Sandboxing bekommt man Ransomware nicht effektiv in den Griff – hier hilft aus meiner Sicht nur Application Whitelisting und der Einsatz von Anti-Malware-Lösungen der nächsten Generation. Dass ich mit meiner Einschätzung nicht ganz falsch liege, zeigt ein Blogbeitrag von Sparkcognition, der mit DeepArmor eine Next Gen AV-Software im Portfolio hat. Während wie bereits erwähnt offensichtlich zahlreiche traditionelle AV-Lösungen WannaCry nicht erkannt haben, hat DeepArmor ohne Signaturenupdates oder dergleichen die Ransomware identifiziert und gestoppt:

Bemerkenswert daran ist, dass DeepArmor diese Ransomware-Variante noch nie zuvor gesehen hat, aber aufgrund seiner Funktionsweise (machine learning und artificial intelligence) in der Lage war, sie zu erkennen und unschädlich zu machen. DeepArmor wurde mit mit tausenden von sauberen und bösartigen Programmen trainiert und konnte deshalb Ähnlichkeiten zwischen den in WannaCry und vorhergehenden Ransomware-Varianten verwendeten Techniken erkennen. Wer glaubt, dass das alles auf dem Mist der Marketingabteilung von Sparkcognition gewachsen ist, den möchte ich eines besseren belehren: Ich habe mittlerweile einiges an Erfahrung mit einem adäquaten Produkt sammeln können, das ebenfalls signaturenlos und auf Basis von mathematischen Modellen und machine learning arbeitet, und wer eine derartige Lösung einmal im praktischen Einsatz erlebt hat, möchte nichts anderes mehr haben.

Abschließend möchte ich nochmal deutlich betonen, dass die Zukunft im Bereich Endpoint Security aus meiner Sicht ganz klar den AV-Lösungen der nächsten Generation gehört. Das sage ich nicht, weil ich es schick finde, jeden Trend mitmachen zu müssen, sondern weil ich als IT Security Analyst und Incident Responder täglich sehe, was in der Praxis funktioniert – oder eben auch nicht. Insbesondere im Unternehmensumfeld sollte man sich vor Augen führen, dass Endgeräte aus IT Security-Sicht der schwächste Punkt im Glied sind und dementsprechend auch effektiv geschützt werden müssen.

Wana Decrypt0r Ransomware verbreitet sich weltweit und nutzt fortgeschrittene Angriffs- und Infektionsvektoren

Einführung

Es vergeht kaum ein Tag, an dem nicht über eine neue Ransomware-Variante berichtet wird, aber die heute (12. Mai 2017) gestartete WannaCrypt0r-Campaign ist in mehrfacher Hinsicht herausragend:

  • Wana Decrypt0r/WannaCrypt/WanaCrypt0r ist extrem virulent und nutzt dazu eine Schwachstelle unter Windows aus. Alle Windows-Systeme, auf denen der Patch MS17-010 noch nicht eingespielt wurde, sind für diese Schwachstelle und somit auch für Wana Decrypt0r anfällig
  • Zusätzlich bringt Wana Decrypt0r die Malware DOUBLEPULSAR mit, die sehr tief ins System eingreift (Windows Kernel Ring-0) und zum Nachladen und installieren weiterer Malware verwendet wird

Die Kombination dieser beiden Angriffstechniken hat bislang dazu geführt, dass innerhalb weniger Stunden bereits über 57.000 Wana Decrypt0r-Infektionen weltweit aufgetreten sind. Besonder schwer betroffen sind Hospitale und Kliniken in UK, aber auch Firmen in Spanien im Telekommunikations- und Energiesektor sowie in weiteren Ländern. Wer auch immer hinter dieser fiesen neuen Ransomware-Variante steckt, hat ganze Arbeit geleistet, wie diese Infografik zeigt:

 

Quelle: bleepingcomputer.com

 

Infektionsvektor

Wana Decrypt0r verbreitet sich zunächst per Mail mit maliziösen Attachments. Sobald ein System erfolgreich kompromittiert wurde, versucht Wana Decrypt0r, sich wurmartig auf andere Systeme zu verbreiten und nutzt dazu u.a. auch offene RDP-Sitzungen. Um die weitere Verbreitung zu ermöglichen, scannt Wana Decrypt0r weitere Endgeräte in einem Netzwerk und versucht dann ebenfalls, die bereits erwähnte Schwachstelle auszunutzen.

Mitigationsstrategien

  • Sofern der MS Patch MS17-010 noch nicht per Windows Update automatisch installiert wurde, sollte dieser so schnell wie möglich installiert werden, da nur damit die Sicherheitslücke geschlossen wird, die von Wana Decrypt0r ausgenutzt wird
  • Mails von unbekannten Absendern mit zweifelhaftem Inhalt oder Attachments sollten nicht geöffnet, sondern sofort gelöscht werden. Klicken Sie ebenfalls nicht auf Links in Mails, die von unbekannten Absendern stammen!
  • Verwenden Sie eine zuverlässige Endpoint Protection-Lösung wie SecureAPlus auf Basis von Application Whitelisting, um das Ausführen von unbekannten Programmen zu unterbinden. Verlassen Sie sich nicht auf die Erkennung von Wana Decrypt0r durch Ihre AV-Software, da davon auszugehen ist, dass es schon bald polymorphe Varianten geben wird
  • Erstellen Sie regelmäßig Backups und stellen Sie sich sicher, dass diese sich an einem sicheren Ort befinden

 

Unterstützung im Schadensfall

Sie sind bereits betroffen und benötigen schnelle Hilfe? Nutzen Sie unser Kontaktformular und senden uns eine Nachricht.

 

Weiterführende Informationen

https://www.bleepingcomputer.com/news/security/wana-decrypt0r-ransomware-using-nsa-exploit-leaked-by-shadow-brokers-is-on-a-rampage/

https://blog.malwarebytes.com/threat-analysis/2017/05/the-worm-that-spreads-wanacrypt0r/

Einfache und sichere Backups mit Strato HiDrive und Iperius Backup/Duplicati – Teil 1

Mit schöner Regelmäßigkeit werde ich von Kunden auf das Thema Backup angesprochen, meist in Zusammenhang mit Ransomware. Wer einmal erlebt hat, wie Ransomware innerhalb kurzer Zeit wichtige Daten verschlüsselt und dann feststellen muss, dass sein Backup bzw. die Rücksicherung nicht funktioniert, wird mit mit Sicherheit kein zweites Mal vor dieser sehr unangenehmen (und bei KMUs vielleicht sogar existenzbedrohenden!) Situation stehen wollen. Ich möchte mich an dieser Stelle primär dem Thema Cloud Backup widmen, weil es dazu einige wichtige Aspekte zu beachten gilt – einfach nur drauslossichern sollte man weder als Privatanwender noch als Unternehmen. Da sich Strato HiDrive als Online-Speicher nach meinen Erfahrungen als sehr zuverlässig herausgestellt hat, spreche ich unseren Kunden auch eine klare Empfehlung dafür aus; auf die Gründe dafür gehe ich noch näher ein.

Last but not least möchte ich mit diesem Artikel hauptsächlich KMUs (Kleine und mittlere Unternehmen) sowie Privatanwender im Home-Bereich ansprechen, da es in diesen Bereichen oftmals an funktionierenden und praxiserprobten Backupkonzepten mangelt oder diese im schlimmsten Fall gar nicht vorhanden sind. Größere Unternehmen verfügen üblicherweise über eine dedizierte Backup-Infrastruktur mit entsprechender Soft- und Hardware (Tape Libraries o.ä.) für den Einsatz im Enterprise-Bereich.

Rechtliche Aspekte beim Cloud Backup mit Strato HiDrive

Ich möchte an dieser Stelle gleich vorweg nehmen, dass ich nicht in allen Punkten ein großer Verfechter von Cloud-Strategien bin. Es gibt mit Sicherheit Situationen bzw. Anwendungsbereiche, in denen eine Datenspeicherung in der Cloud Sinn macht, aber genauso wenig sinnvoll ist es, krampfhaft die komplette IT-Infrastruktur in die Cloud auslagern zu wollen. Das ist aber ein anderes Thema, deshalb werde ich das an dieser Stelle auch nicht weiter vertiefen.

Sinn macht auf jeden Fall das Thema Cloud Backup, allerdings nur unter folgenden Rahmenbedingungen:

  • Zu sichernde Daten müssen sicher verschlüsselt sein, bevor sie in die Cloud gelangen
  • Die Verschlüsselung sollte auf als sicher geltenden Standards wie AES basieren, obskuren selbstprogrammierten Algorithmen in Backup-Software sollte man besser aus dem Weg gehen
  • Sowohl Unternehmensdaten als auch private Datenbestände wie Urlaubsbilder, Dokumente, Mailarchive usw. sollten unbedingt bei einem Cloud Provider gespeichert werden, der seinen Unternehmenssitz in Deutschland hat und – noch wichtiger – seine Rechenzentren ausschließlich in Deutschland betreibt, denn dann kommt das strenge deutsche Datenschutzgesetz zur Anwendung
  • Wer seine Daten bei einem ausländischen Anbieter oder in einem Rechenzentrum im Ausland speichert, muss damit rechnen, dass ausländische Nachrichtendienste wie die NSA auf diese Daten zugreifen können. Es ist ein offenes Geheimnis, dass speziell amerikanische Nachrichtendienste sich nicht an bestehende Gesetze halten, sondern sich einfach darüber hinweg setzen
  • Nach Möglichkeit TÜV-Zertifizierung nach ISO 27001

Technische Aspekte beim Cloud Backup mit Strato HiDrive

Neben den rechtlichen Aspekten gibt es auch noch technische, die nicht ganz unwichtig sind. An erster Stelle stehen hier die unterstützten Protokolle, die für Cloud Backups verwendet werden können. Grundsätzlich gilt hier: Je mehr, desto besser, und hier kann Strato HiDrive ganz klar punkten. Obwohl der Protokollstack nur optional gegen Aufpreis erhältlich ist, sollte diese Option unbedingt hinzu gebucht werden. Der Grund dafür liegt auf der Hand: Je mehr Endgeräte gesichert werden sollen, desto größer ist die Vielzahl der Protokolle, die unterstützt werden müssen. Im Strato HiDrive-Protokollpaket sind folgende Zugriffsmöglichkeiten enthalten:

  • FTP
  • FTPS
  • WebDav
  • SFTP
  • rsync (auch SSH-verschlüsselt)
  • SMB/CIFS
  • GIT-Versionsmanagement

Ohne das optionale Protokollpaket ist nur der Zugriff über die Weboberfläche sowie die von Strato bereitgestellte Windows-Software zur Synchronisierung von Daten möglich, was vielleicht noch für den Privatanwender brauchbar, aber spätestens im Unternehmenseinsatz unzureichend ist. Hinzu kommt, dass automatisierte Backups damit ebenfalls nicht möglich sind, sondern immer von Hand angestoßen werden müssen. Als Workaround kann man beispielsweise auf ein NAS im lokalen Netzwerk sichern und die Daten von dort über das Webinterface in die Cloud kopieren, doch komfortabel ist was anderes.

Selbstverständlich muss auch die verwendete Backup-Software in der Lage sein, Cloud Backups zu erstellen und das Protokollpaket von Strato HiDrive zu unterstützen. Zu einem vernünftigen Backup-Konzept gehört u.a. auch die Frage nach Art und Umfang der zu sichernden Daten sowie Endgeräte, die unterstützt werden müssen. Ich konzentriere mich an dieser Stelle auf Clients mit Windows-Betriebssystem und werde in zweiten Teil dieses Beitrags zwei Backup-Lösungen für Windows vorstellen, die sich in der Praxis hervorragend bewährt haben.

SecureAPlus 4.6.0 verfügbar

Am 18. April wurde SecureAPlus 4.6.0 released. Das Changelog mit den Änderungen finden Sie nachfolgend:

 

Was ist neu:

  • Treiber wurden zusätzlich von Microsoft signiert 
  • Export-/Import-Funktion für USB-Speicher
  • Beschreibung für USB-Speicher-Richtlinien wurde hinzugefügt
  • Der Einstellungsdialog für entfernbare Medien (USB) wude überarbeitet

 

Beseitigte Fehler:

  • SecureAPlus konnte die Benachrichtigung für nicht vertraute Eingaben in der Befehlszeile nicht anzeigen, wenn die Kommandozeile zu lang war
  • Fehler in der Farbdarstellung beseitigt (Messagebox wurde in schwarz dargestellt, es hätte aber stattdessen die Einstellung aus dem aktuellen Theme verwendet werden sollen)
  • Übersetzung wurde angepasst
  • Wenn die Trusted-Gruppe leer war, dann wurde dieser Status nicht an den SecureAge Management Server übermittelt
  • Nachdem die Whitelist erfolgreich komprimiert wurde, hat sich die Beschriftung der Buttons in der Messagebox geändert (von “Cancel” auf “Ok”)
  • Die Hintergrundfarbe für Benachrichtigungen und das manuelle Scannen folgte nicht den Farbeinstellungen im aktuellen Theme

 

Modifikationen

  • Darstellungen in hochauflösenden Bildschirmeinstellungen wurden optimiert
  • Bei der Bearbeitung von Scripten im interaktiven Modus wird nun der Elternprozess angezeigt, der den Script-Interpreter gestartet hat
  • Crash beseitigt, der auftrat, wenn über das Kontextmenü im Explorer ein digitales Zertifikat überprüft wurde
  • Dialoge überarbeitet, es werden nun die Einstellungen für die Hintergrundfarbe aus dem aktuellen Theme verwendet
  • Der weiße Rahmen in den Standard-Buttons wurde entfernt
  • Deutsche Übersetzung wurde aktualisiert

 

Obgleich keine tiefgreifenden neuen Features eingeführt wurden, ist das Update dennoch empfehlenswert, da einige Fehler beseitigt und die Übersetzung ins deutsche optimiert wurden. Sie erhalten den Lizenzkey für die Premium-Version von SecureAPlus 4.6.0 im MSITC Shop. Sehen Sie darüber hinaus, wie effizient Application Whitelisting auf Basis von SecureAPlus im Einsatz gegen Ransomware funktioniert:

 

SparkCognition DeepArmor: Next-Generation AV-Lösung auf Basis von Machine Learning, Artificial Intelligence und Natural Language Processing (NLP)

Diesen Hersteller habe ich auch schon seit geraumer Zeit auf dem Radar. Wie andere Mitbewerber auch verspricht SparkCognition mit seinem Endpoint Protection-Produkt DeepArmor einen deutlich besseren Schutz auf Endgeräten (Windows, Android, IoT devices) vor Bedrohungen durch Malware und Ransomware. Grundsätzlich kommen hier auch bereits bekannte Merkmale wie machine learning, AI/KI, signaturenlose Scans sowie NLP für Threat Intelligence zum Einsatz. DeepArmor bietet mehrere Endpoint Protection Features wie

  • Execution Control
  • Background Threat Detection
  • Realtime file monitoring
  • Application Control
  • Script Control
  • Memory Protection

Sobald ich die Möglichkeit habe, einen Produkttest durchzuführen, werden selbstverständlich weitere Artikel zu SparkCognition DeepArmor folgen.

SAMAS RansomWorm: Next-Generation Ransomware

Wer glaubt, dass Cyberkriminellen die Ideen ausgehen, der irrt gewaltig. Neben der Tatsache, dass es mittlerweile täglich über 4000 neue Ransomware Samples gibt, geht auch die technologische Entwicklung bei den Cryptolockern weiter. Die neueste Errungenschaft ist der SAMAS RansomWorm; wie der Name schon sagt, handelt es sich dabei um eine Mischung aus Ransomware und Wurm. Das heimtückische daran ist, dass sich dieses Exemplar in einem Netzwerk mit Hilfe von lateral movement und Windows-Bordmitteln fortpflanzen kann, indem beispielsweise das Active Directory zur Informationsgewinnung genutzt wird.

SAMAS RansomWorm

Obwohl das momentan nur Firmennetzwerke betrifft, dürfte es wohl nur eine Frage der Zeit sein, bis eine Version erscheint, die auch kleinere Heimnetzwerke infiltrieren kann. Was es bedeutet, wenn nicht nur ein Endgerät in einem Netzwerk infiziert wird, sondern gleich mehrere, muss ich an dieser Stelle nicht weiter ausführen – für kleine und mittelständische Unternehmen ohne funktionierendes Backup-Konzept und einem wirkungsvollen Endgeräteschutz auf Basis von effektiven Technologien wie Application Whitelisting kann das eine echte Katastrophe bedeuten.

Ab 25. Mai 2018 kommt noch erschwerend hinzu, dass nach der bisherigen Übergangsfrist die Europäische Datenschutz-Grundverordnung (EU-DS-GVO) voll greift. Diese sieht u.a. vor, dass Unternehmen Breaches, also sicherheitsrelevante Vorfälle im Bereich der Informations- und IT-Sicherheit innerhalb von 72 Stunden der zuständigen Behörde melden müssen. Wird dies versäumt, dann können drastische Geldbußen verhängt werden. Eine Ransomware, die im schlimmsten Fall Dokumente mit Kundendaten ins Internet überträgt, um damit der Forderung nach Lösegeld mehr Nachdruck zu verleihen, muss auf jeden Fall gemeldet werden.

Aus technischer Sicht ist es deshalb schon jetzt sehr ratsam, zu effizienten Schutzmaßnahmen zu greifen. Bislang ist eine der sichersten Möglichkeiten zum Schutz vor Ransomware der Einsatz einer Application Whitelisting Lösung wie SecureAPlus, die eine Infektion mit Ransomware und Malware deutlich wirkungsvoller verhindern kann, wie es bei traditioneller AV-Software der Fall ist. Als IT Security Analyst und Incident Responder bin ich bestens mit dem täglich wachsenden Bedrohungspotential durch Ransomware und Malware vertraut und berate Sie gerne beim Thema Endpoint Security.

Überzeugen Sie sich anhand des nachfolgenden Videos selbst von der Wirksamkeit von Application Whitelisting:

SecureAPlus vs. Ransomware

Heilig Defense Correlate – Next Generation Signatureless Malware Detection

Bereits seit Ende letzten Jahres stehe ich mit David Heilig, dem CEO von Heilig Defense, in Verbindung. Auf der Suche nach Next-Generation AV-Lösungen bin ich auf Correlate aufmerksam geworden und hatte einige Fragen zu diesem Produkt, und so entstand ein interessanter Informationsaustausch. Dave hat mir ausführlich die Funktionsweise von Correlate erläutert, und mein Eindruck ist der, dass die Leute von Heilig Defense ihr Handwerk sehr gut verstehen.

Correlate verwendet ähnliche Technologien wie Produkte von Wettbewerbern wie Cylance, Invincea, SparkCognition oder Endgame. Selbst wenn es unterschiedliche Bezeichnungen für Next-Gen-Technologien wie machine based learning oder deep learning gibt, so ist die Funktionsweise in etwa doch ähnlich. Leider steht Correlate bislang noch nicht für den SOHO-Bereich zur Verfügung, im Fokus stehen momentan Firmenkunden. Von Dave habe ich erfahren, dass eine solche Version kommen soll, allerdings liegt der Entwicklungsschwerpunkt wie gesagt momentan im Enterprise- und SMB-Bereich.

Völlig überraschend hat mich nun aber gestern die Info ereilt, dass Heilig Defense in einigen Wochen einen Teil des Funktionsumfangs von Correlate als Freeware herausbringen möchte. Konkret ist das der Ransomware-Schutz, und das macht die Sache wiederum für den Heimbereich interessant. Sobald Heilig Defense diese Version veröffentlicht, werde ich sie auf jeden Fall einem ausgiebigen Test mit Ransomware unterziehen und die Testresultate in einem Blogbeitrag veröffentlichen.

Auf Youtube gibt es übrigens bereits ein paar Videos zu Correlate.

 

 

 

 

Review: SecureAPlus – Next Generation Endpoint Protection and Application Whitelisting

 

Einführung

Um mit aktuellen Bedrohungen durch Malware und Ransomware Schritt halten zu können, bedarf es heutzutage mehr als nur einer signaturbasierten AV-Lösung. Insbesondere beim Thema Ransomware kommt es regelmäßig vor, dass traditionelle AV-Software, die primär auf Signaturen basiert, kläglich versagt und Signaturen zur Erkennung von Bedrohungen teilweise erst Tage später vom jeweiligen Hersteller bereitgestellt werden. Ich möchte an dieser Stelle keine Namen erwähnen, aber seien Sie versichert, dass ich mehrfach erlebt habe, dass Ransomware in Unternehmen nicht von der dort installierten Enterprise AV-Lösung entdeckt geschweige denn geblockt wurde.

Bereits im Heimbereich ist eine Infektion mit Ransomware nicht nur sehr ärgerlich, sondern kann auch ernste Folgen haben, wenn persönliche Daten, Bilder oder Dokumente irreversibel verschlüsselt werden. Ich bin sicher, dass in den wenigsten Haushalten oder Heimnetzwerken ein vernünftiges Backupkonzept existiert, mit dessen Hilfe sich im Schadensfall wichtige Daten schnell und zuverlässig wiederherstellen lassen. Für kleine und mittelständische Unternehmen (SMB/SOHO) kann die Kombination aus nicht entdeckter Ransomware und einem nicht vorhandenen Backup dazu führen, dass der Geschäftsbetrieb unterbrochen wird und wichtige Daten (Kundenaufträge, Konstruktionszeichnungen, Buchhaltungsdaten usw.) verloren gehen – was das konkret bedeutet, überlasse ich der Phantasie jedes einzelnen. Im schlimmsten Fall muss der Geschäftsbetrieb mit allen entsprechenden Konsequenzen eingestellt werden.

Mitigationsstrategien

Ich möchte an dieser Stelle nicht allzu sehr in die Tiefe abdriften, aber zu einer Mitigationsstrategie gehören für mich ganz klar u.a. folgende Faktoren:

Wirkungsvoller Schutz vor Malware und Ransomware auf dem Endgerät – das Endgerät ist das schwächste Glied in der Kette, auf den Perimeterschutz sollte man sich nicht verlassen
Durchdachtes und funktionierendes Backup-Konzept, das auf seine Wirksamkeit hin verifiziert wurde
Im Unternehmensumfeld: Schutz vor schädlichen Downloads/URLs durch Web Gateways/Proxies und Device Control, um die (nichtauthorisierte) Verwendung von Wechselmedien u.a. an USB-Ports zentral managen und kontrollieren zu können
Arbeiten mit normalen Benutzerrechten

Da in einem großen Unternehmen üblicherweise auch eine entsprechende IT-Abteilung existiert, die sich um derartige Themen kümmert, möchte ich mich im folgenden auf den SOHO-Bereich (Small Office/Home User) konzentrieren, da SecureAPlus dort meines Erachtens ein äußerst hohes Maß an Sicherheit bietet, das von konventionellen AV-Lösungen nur teilweise erreicht wird. Warum das so ist, werde ich nachfolgend näher erläutern.

Begriffsdefinition

Bevor es nun gleich ans eingemachte geht, halte ich es für wichtig, häufig verwendete Begriffe kurz zu erläutern, um das Review verständlich zu halten.

  • Endgerät oder Endpoint: Wird in diesem Review als Abkürzung für Windows-basierte Endgeräte verwendet (keine Smartphones!)
  • Whitelisting oder Application Whitelisting: Bezeichnet eine Technik, die von vielen Fachleuten als die sicherste Methode zum Schutz der Ausführung von unbekanntem Programmcode oder Anwendungen angesehen wird. Dazu wird ein Snapshot (Bestandsaufnahme) auf einem Endgerät erstellt und anschließend das Endgerät sozusagen versiegelt, d.h. nach dem initialen Snapshot wird keine Software mehr ausführt, egal ob sie vom Internet heruntergeladen oder von einer CD oder einem USB-Stick gestartet wurde. Dies ist dann nur noch nach expliziter Zustimmung des Anwenders möglich. Betriebssystem- oder Software-Updates sind davon natürlich nicht betroffen.
  • Universal AV Scan: Diese Bezeichnung wird von SecureAge, dem Hersteller von SecureAPlus, für die Anbindung von cloudbasierten Virenscannern verwendet. SecureAPlus bietet die Möglichkeit, beliebige Dateien mit Hilfe von 12 verschiedenen Scan Engines (u.a. von Eset, AVG, McAfee usw.) zu überprüfen. Dazu werden in der Standardeinstellung ausführbare Dateien in die Cloud zur Analyse hochgeladen, was sich aber auch deaktivieren lässt, falls man das nicht möchte. Der Universal AV Scan setzt eine Internetverbindung voraus, ansonsten kann diese Option nicht verwendet werden.
  • Offline AV Scan: Ist für Situationen gedacht (z.B. mobile Anwender ohne bestehende Internetverbindung), in denen der Universal AV Scan nicht zur Verfügung steht und dennoch Dateien gescannt werden sollen. In diesem Fall kommt der Open Source-Virenscanner ClamAV zum Einsatz. Ich möchte an dieser Stelle eindrücklich darauf hinweisen, dass ClamAV mittlerweile zwar auch brauchbare Ergebnisse erzielt, aber unter keinen Umständen als gleichwertiger Ersatz für ein kommerzielles AV-Programm betrachtet werden sollte. Hinter ClamAV steckt kein Hersteller, der regelmäßig neue Signaturen bereitstellt, sondern eine Community, in der Freiwillige diesen Job übernehmen.
  • Traditionelle AV-Software: Vor ungefähr zwei Jahren begann eine sehr interessante Entwicklung im AV-Bereich, die bis heute andauert. Die meisten AV-Programme wurden zwar im Laufe der Jahre weiterentwickelt, aber dennoch arbeitet ein Großteil immer noch mit Signaturen zur Erkennung von Bedrohungen. Signaturen alleine reichen heute aber nicht mehr aus, wenn man sich vor Augen hält, dass Stand Februar 2017 täglich über 300.000(!) neue Malware-Samples generiert werden, und selbst mit heuristischer oder verhaltensbasierter Analyse hinken traditionelle AV-Programme denen der nächsten Generation (Next-Gen AV) hinterher.

Next-Gen AV-Software: Lässt sich auf deutsch am besten mit “AV-Software der nächsten Generation” übersetzen. Next-Gen AV kommt vollständig ohne Signaturen aus und arbeitet üblicherweise mit fortschrittlichen Methoden wie maschinenbasiertem Lernen, mathematischen Modellen oder künstlicher Intelligenz (AI). Das klingt zunächst nach vielen Marketing-Buzzwords, und genau das ist es bei einigen Herstellern auch. Insbesondere bekannte Namen aus dem Bereich der traditionellen AV versuchen nun auch auf diesen gewinnbringenden Zug aufzuspringen, aber in der Regel bleibt es bei diesem Versuch. Ohne Namen zu nennen, kann ich an dieser Stelle sagen, dass ich die Möglichkeit hatte, über mehrere Monate hinweg einen Proof Of Concept zu begleiten, in dem es um die Evaluierung einer Next-Gen-Lösung für den Unternehmenseinsatz ging, und bei sämtlichen Tests – egal, ob es sich um Trojaner, 0-day malware, Backdoors oder Ransomware handelte – lag die Next-Gen-Lösung stets vor der traditonellen AV-Lösung und lieferte absolut überzeugende Ergebnisse.

Natürlich könnte ich noch viel mehr dazu schreiben, aber ich belasse an dieser Stelle beim gesagten. Fakt ist aber, dass traditionelle AV-Programme für mich keine Zukunft haben – die Zukunft gehört ganz klar Next-Gen AV-Lösungen, da hier neue Methoden zur Erkennung von Malware und Ransomware zum Einsatz kommen und die neben einer ausgezeichnten Erkennungsrate auch deutlich ressourcenschonder ans Werk gehen als konventionelle AV-Programme. Noch wichtiger: Für mich ist uninteressant, mit welchen Buzzwords Hersteller um sich werfen, ich mache mir lieber ein eigenes Bild, und meine persönlichen Erfahrungen mit Next-Gen AV-Software sind einfach äußerst vielversprechend.

SecureAPlus, eine interessante Endpoint Protection-Lösung?

Ja, definitiv. SecureAPlus vereint nämlich mehrere Konzepte unter einer Haube:

  • Application Whitelisting
  • Universal AV Scan
  • Offline Scan

Ich möchte gleich beim ersten Punkt beginnen, und zwar beim Thema (Application) Whitelisting. Wer sich damit bereits auseinandergesetzt hat, weiß, dass Whitelisting zwar den bestmöglichen Schutz auf Endgeräten bietet, aber gleichzeitig mit einem immensen Pflegeaufwand verbunden ist. Das gilt zwar weniger für den SOHO-Bereich, aber dafür umso mehr im Unternehmensumfeld, denn dort heißt es bei jedem Applikationsupdate die Whitelist zu pflegen. Glücklicherweise bietet SecureAPlus einen ebenso einfachen wie wirkungsvollen Ansatz, um den Pflegeaufwand so gering wie möglich zu halten – dazu gleich noch mehr.

Den zweiten Punkt hatte ich auch schon erläutert, möchte aber dennoch etwas näher darauf eingehen. Stellen Sie sich folgende Situation vor: Sie laden eine Datei aus dem Internet herunter und prüfen diese mit Ihrem Virenscanner. Dieser kann nichts schädliches entdecken, und somit kann der Download als sicher gelten. Oder etwa doch nicht? Was, wenn Ihr Virenscanner schädlichen Programmcode einfach nicht entdeckt hat? Sie können die heruntergeladene Datei beispielsweise nun manuell zu Virustotal hochladen, um sie dort mit über 55 Virenscannern überprüfen zu lassen, doch ganz ehrlich: Wer macht das schon? Wer nimmt diesen Aufwand auf sich? Meiner Erfahrung nach so gut wie niemand.

Anders hingegen sieht es aus, wenn die Überprüfung per Kontextmenü und Mausklick über den Windows Explorer stattfinden kann, denn genau diese Funktionalität bietet SecureAPlus mit dem Universal AV Scan. Darüber hinaus wird der Universal AV Scan auch bei der Erstinstallation von SecureAPlus aktiv, um sicherzustellen, dass sich keine Malware im System befindet. Würde die Überprüfung nicht stattfinden, dann könnte dies im worst case dazu führen, dass bereits aktive Malware nicht erkannt wird und stattdessen auf der Whitelist landet. Mittels Universal AV Scan lassen sich Dateien mit 12 Scan Engines in der Cloud überprüfen, was die Wahrscheinlichkeit deutlich erhöht, auch aktuelle Malware zu erkennen.

Den Offline Scan möchte ich nur der Vollständigkeit halber erwähnen, weil hier ClamAV zum Einsatz kommt. ClamAV ist ein Open Source-Virenscanner, dessen Erkennungsrate nicht mit der von kommerziellen Produkten mithalten kann – er ist sicher besser als nichts, aber ich würde jederzeit dem Univeral AV Scan den Vorzug geben.

Das schärfste Schwert im Sortiment ist für mich ganz klar das Whitelisting. Ich habe SecureAPlus in meinem Lab mit hunderten von Samples getestet, darunter waren sowohl brandheiße Malware als auch aktuelle Ransomware. In keinem einzigen Fall wurde ein unbekanntes Programm ausgeführt, was einer Erfolgsquote von 100% entspricht. Natürlich besteht immer die Möglichkeit, dass ein findiger Hacker Mittel und Wege findet, auch eine Whitelisting-Lösung zu umgehen, doch dazu bedarf es eines erheblichen Aufwandes, und Wald- und Wiesen-Malware wird definitiv durch das Whitelisting-Konzept abgewehrt, was im übrigen auch für Ransomware gilt.

Ein weiterer wichtiger Punkt ist für mich das Thema Systemauslastung. Generell bremst ein Virenscanner bedingt durch seine Funktionsweise jedes System aus, auf älteren Endgeräten macht sich das allerdings noch viel stärker bemerkbar als auf einem Rechner der neuesten Generation. Das ist bei SecureAPlus anders, denn im Vergleich mit einem traditionellen AV-Programm ist es eher ein Leichtgewicht und lässt sich deshalb auch problemlos auf älteren Endgeräten einsetzen.

 

Installation und Konfiguration

Das Setup steht in zwei Varianten zur Verfügung. Bei der einen werden zu Beginn der Installation weitere Komponenten aus dem Internet nachgeladen, und bei der anderen befindet sich bereits alles benötigte im Setup. Nach der Installation beginnt SecureAPlus mit der Überprüfung des Systems, um eine Kompromittierung durch aktive Malware auszuschließen. Anschließend beginnt der Whitelisting-Prozess, der je nach Rechnergeneration bis zu mehreren Stunden dauern kann. Dieser Vorgang ist einmalig (Initial Full Scan) und die Grundlage für Application Whitelisting. Ab diesem Zeitpunkt ist ein Endgerät vollständig geschützt, d.h. die Ausführung von Programmen oder Scripts wird nun defaultmäßig unterbunden. Die Installation bzw. die Ausführung von neuen Programmen oder Scripts muss explizit erlaubt werden, damit sie der Whitelist hinzugefügt und als legitime Anwendung betrachtet werden; das ist am Anfang vielleicht etwas umständlich, aber dafür erhält man im Gegenzug einen Security Level, den ein traditioneller AV-Scanner nicht bieten kann.

SecureAPlus verfügt übrigens über ein deutsches Sprachpaket, das nach der Installation aktiviert werden kann. Leider steht die Support-Webseite von SecureAge nur auf englisch zur Verfügung, es lohnt sich aber definitiv, dort die Einführung in die Funktionsweise von SecureAPlus durchzulesen: https://support.secureaplus.com/

sap_language_settings

 

Arbeiten mit SecureAPlus

Wie ich bereits erwähnte, ist das Endgerät nach der Installation sozusagen versiegelt und lässt ohne explizite Erlaubnis weder die Installationv von Software noch die Ausführung von Scripts zu. Im Klartext bedeutet das, dass z.B. auch Ransomware, die üblicherweise durch maliziöse Dokumente verbreitet wird, keine Chance mehr hat, aktiv zu werden. Um bei diesem Beispiel zu bleiben, möchte ich kurz den Infektionsverlauf skizzieren:

1. Anwender erhält ein maliziöses Office-Dokument per Mail und wird per Social Engineering dazu gebracht, die Ausführung von Office-Makros in Dokumenten zu erlauben, die aus dem Internet heruntergeladen wurden

2. Im nächsten Schritt wird bösartiger Makrocode ausgeführt, der entweder direkt eine ausführbare .exe-Datei oder ein Script (Powershell oder Javascript) aus dem Office-Dokument extrahiert oder aus dem Internet nachlädt und ausführt

3. Was jetzt folgt, ist hinlänglich bekannt: Entweder wird der Schadcode vom Virenscanner erkannt oder eben auch nicht. Man sollte sich auch nicht verlassen, dass die User Account Control (UAC) von Windows zuschlägt, denn aktuelle Ransomware kennt auch üble Tricks, um die UAC zu umgehen (https://www.bleepingcomputer.com/news/security/erebus-ransomware-utilizes-a-uac-bypass-and-request-a-90-ransom-payment/). Damit bekommt der Anwender noch nicht einmal mehr mit, dass im Hintergrund möglicherweise etwas läuft, das dort besser nicht laufen sollte.

Im worst case – und das ist es in den meisten Fällen – hat der Anwender nun den Schaden und verschlüsselte Dateien auf der Festplatte.

Glücklicherweise schlägt genau diese Vorgehensweise bei Verwendung von SecureAPlus fehl, und zwar aus dem simplen Grund, weil die extrahierten oder heruntergeladenen Dateien nicht auf der Whitelist stehen und deshalb auch nicht ausgeführt werden. Soll eine legitime Software installiert werden, dann wird einfach das entsprechende Installationsprogramm gestartet und im Whitelist-Dialog die Option “Freigeben & Vertrauen” angeklickt. Damit wird die Whitelist um diese Anwendung erweitert, außerdem besteht an dieser Stelle die Möglichkeit, heruntergeladene Dateien direkt über den Universal/AV Cloud Scan auf Malware prüfen zu lassen. Selbstverständlich ist auch der Import und Export von Whitelists möglich.

sap_whitelisting_app

Für Anwender im Firmenumfeld gibt es auch noch die Möglichkeit, eine Freigabe von Anwendungen über das SecureAgePlus-Portal beim zuständigen Administrator zu beantragen; darauf möchte ich an dieser Stelle aber nicht näher eingehen, da Software in der Regel dort zentral gemanaged und verteilt wird und somit auch das Application Whitelisting durch die IT und nicht durch den Anwender erfolgt. Hinzu kommt, dass SecureAge die zentralen Managementmöglichkeiten gerade stark überarbeitet und in Zukunft das Portal zur Verwaltung von mehreren Endgeräten mit SecureAPlus über das Internet um weitere Funktionalitäten erweitern wird.

Sonstiges

Ich habe es schon mehrfach zum Ausdruck gebracht, deshalb mache ich es an dieser Stelle kurz: Application Whitelisting bietet ein Schutzniveau, das von einer herkömmlichen AV-Lösung nicht erreicht werden kann. Obwohl damit zumindest rein theoretisch ein 100%-Schutz vor Malware und Ransomware möglich ist, möchte ich zu bedenken gaben, dass es immer ein Wettlauf bleiben wird.

Dem Einfallsreichtum von Angreifern sind keine Grenzen gesetzt, deshalb hinken die Verteider immer hinterher. Gleichwohl gilt, dass es aus meiner Sicht deutlich schwieriger ist, eine Application Whitelisting-Lösung zu unterlaufen als eine tradtionelle AV-Lösung. Da SecureAPlus sehr leichtgewichtig ist und kaum Systemressourcen verbraucht, lässt es sich zusätzlich zu einem vorhandenen Virenscanner betreiben. Beachten Sie jedoch bitte, dass keine vollständige Kompatibilität zu sämtlicher AV-Software gewährleistet werden kann, deshalb möchte ich an dieser Stelle keine Empfehlungen für eine bestimmte AV-Lösung aussprechen – hier hilft notfalls nur testen und ggf. auch Ausschlüsse im Virenscanner definieren, falls doch Probleme beim Parallelbetrieb auftreten sollten.

Sobald die ersten Next-Gen AV-Lösungen auf Basis von machine based/deep learning für den SOHO-Bereich verfügbar sind (ich gehe von Mitte des Jahres aus), kann ich jedem Anwender nur empfehlen, auf eine derartige Lösung umzusteigen und diese als optimale Ergänzung zum Application Whitelisting zu verwenden. Ich hatte im vergangenen Jahr die Möglichkeit, an einem längeren Proof Of Concept einer Next-Gen-Lösung teilzunehmen, und die Ergebnisse dieses PoCs haben für mich ganz klar gezeigt, wem die Zukunft gehört – es sind definitiv nicht signaturbasierte traditionelle AV-Lösungen. Sobald Verfahren wie machine based learning und AI (Artifical Intelligence) zum Einsatz kommen, kann signaturbasierte AV einpacken, aber dazu ein anderes Mal mehr.

Videos

Der Anfang ist bereits gemacht, und für die Zukunft habe ich schon weitere Videos geplant, in denen SecureAPlus im Einsatz zu sehen sein wird. Ein Bild sagt bekanntlich mehr als tausend Worte, für ein Video gilt das natürlich umso mehr. Vergleichen Sie selbst, wie leistungsfähig SecureAPlus im Vergleich mit adäquaten Programmen oder diversen Antiviren-Lösungen ist. Abonnieren Sie unseren MSITC Youtube-Kanal, um keine neuen Videos zu verpassen. 

SecureAPlus vs Cerber Ransomware

 

Fazit

Als Incident Responder und IT Security Analyst bin ich bestens mit digitalen Bedrohungen jeglicher Art vertraut, denen Endgeräte heutzutage ausgesetzt sind. Da ein zuverlässiger und sicherer Endgeräteschutz immer wichtiger wird, um mit der permanent wachsenden Zahl von Bedrohungen Schritt halten zu können, bietet eine Application Whitelisting-Lösung ein sehr hohes und adäquates Schutzniveau. Egal, ob Ransomware, Malware, Backdoors, drive-by-downloads, phishing mails oder maliziöse Office-Dokumente: Ich habe SecureAPlus lange und intensiv getestet und kann daher sagen, dass in keinem einzigen Fall schädlicher Code ausgeführt werden konnte. Während moderne AV-Scanner von Avast, Avira, Bitdefender, Kaspersky usw. zwar auch gute Erkennungsleistungen zeigen, besteht dennoch immer die Möglichkeit, dass ein gut getarntes und erst wenige Minuten oder Stunden altes Malware- oder Ransomware-Sample nicht erkannt wird. Da spielt es dann auch keine Rolle, ob die Erkennungsrate ansonsten bei 99% oder höher liegt – das eine Ransomware-Sample schlägt ein und führt dann zu den bekannten unangenehmen Konsequenzen für den Anwender.

Da mir der Hersteller von SecureAPlus einen Einblick in die Entwicklungspläne zuteil werden ließ, kann ich an dieser Stelle nur sagen, dass noch sehr interessante Dinge kommen werden, die den jetzt schon sehr guten Schutz, den SecureAPlus bietet, noch weiter erhöhen werden. Auch für das zentrale Management in Firmen wird es in naher Zukunft deutlich mehr Möglichkeiten geben; ich werde darauf in einem follow-up eingehen, sobald es spruchreif ist.

Wenn man den Leistungsumfang betrachtet, den man mit dem Erwerb einer Premium-Lizenz von SecureAPlus erhält, dann bekommt man aus meiner Sicht ein Komplettpaket mit einem Rundumschutz vor aktuellen Bedrohungen zu einem sehr guten Preis-/Leistungsverhältnis.

 

Bezugsquelle

Wir sind offizieller SecureAPlus Reseller, SecureAPlus Premium-Lizenzen sind bei uns im Shop erhältlich. Für weitere Fragen zu SecureAPlus oder Supportanfragen können Sie uns gerne über das Kontaktformular im Shop .