"Gefährlichste Malware der Welt" attackiert Zürcher Spital

Das Wichtigste in Kürze

• Unbekannte Kriminelle haben einen Hackerangriff auf ein Spital im Zürcher Oberland verübt und den Betrieb beeinträchtigt, wie watson-Recherchen zeigen.

• Laut einem Informanten mussten medizinische Geräte vorübergehend vom Netz genommen werden.

• Es seien "keine grösseren Ausfälle der zentralen Systeme" entstanden, versichern die Verantwortlichen des Spitals in Wetzikon. Patienten seien nie in Gefahr gewesen.

• Gemäss der zuständigen IT-Firma wurde der Angriff mit der Schadsoftware Emotet ausgeführt. Sehr wahrscheinlich wurde der Windows-Trojaner über eine E-Mail-Nachricht mit gefälschtem Absender eingeschleust.

• Emotet gilt nach übereinstimmender Einschätzung von Sicherheitsexperten als eine der derzeit gefährlichsten Cyberbedrohungen für Unternehmen weltweit. Die wellenartigen Attacken haben 2019 massiv zugenommen.

• Hat sich die Malware erst einmal unbemerkt auf einem Computer eingenistet, können die Hacker ungehindert weitere Schadprogramme nachladen. Bei lohnenden Zielen versuchen sie, mithilfe eines Verschlüsselungstrojaners (Ransomware) ein Lösegeld zu erpressen.

• Das Schweizer Fernsehen SRF hatte im März 2019 über das Spital Wetzikon berichtet und dessen Bemühungen, sich mit einem neuen IT-Sicherheitskonzept gegen Cyberattacken zu wappnen. Die getroffenen Abwehrmassnahmen dürften nun Schlimmeres verhindert haben.

• Von der Emotet-Angriffswelle Mitte Oktober 2019 waren laut der IT-Firma Logicare auch andere Institutionen im Schweizer Gesundheitswesen betroffen.

• Bei Spitälern liegt die Sicherung der IT-Infrastruktur in der Eigenverantwortung der Betreibergesellschaften und es gibt keine generelle Meldepflicht für Cyberangriffe. Publik werden solche Vorfälle höchst selten. Die letzten bekannten Fälle stammen aus den Jahren 2016 und 2017, als "WannaCry" und "Petya" weltweit PCs infizierten.

• Auf nationaler Ebene ist die Fachstelle MELANI für den Schutz kritischer Infrastrukturen zuständig. Nach Kenntnisstand der Behörde sind bisher durch Emotet in der Schweiz keine Patienten zu Schaden gekommen.

• Angriffe auf Gesundheitseinrichtungen könnten verheerende Folgen haben, da der grösste Teil der medizinischen Geräte (auch lebenserhaltende Geräte wie z.B. Herz-/Lungenmaschinen) mit dem Internet verbunden ist.

• Es laufen politische Bestrebungen, die Meldepflicht für Hackerangriffe zu verschärfen. Der volkswirtschaftliche Schaden ist schwer zu beziffern, die Dunkelziffer gross.

Im Visier

Unsere Spitäler sind zunehmend von kriminellen Attacken betroffen. Hacker versuchen, Schadsoftware (Malware) in die geschützten Systeme einzuschleusen. Meist mit dem Ziel, wertvolle Daten zu stehlen oder zu verschlüsseln, um ein Lösegeld zu erpressen.

Über die Kosten, die solche Ransomware-Attacken verursachen, dringt kaum etwas an die Öffentlichkeit. Im Gesundheitsbereich wolle niemand Klartext reden, man schweige das Problem tot, sagte ein IT-Sicherheitsexperte vor zwei Jahren gegenüber der "NZZ am Sonntag".

Im März 2019 berichtete dann das Schweizer Fernsehen SRF in der Sendung "ECO" über Cyberangriffe auf Spitäler. In der TV-Sendung erhielt ein Regionalspital im Kanton Zürich einen prominenten Auftritt: das GZO Spital Wetzikon.

Die Zuschauer erfuhren im informativen SRF-Beitrag, wie die Spitalleitung einen Sicherheitstest durchführen liess, um Schwachstellen aufzudecken. Anschliessend zog der Direktor Bilanz und räumte ein, man gehe zu leichtsinnig mit Computern und sensiblen Daten um.

Um die IT-Sicherheit des Spitals entscheidend zu verbessern, erarbeiteten die Zürcher Oberländer gemeinsam mit der Firma Logicare AG, einem Gemeinschafts-Unternehmen von vier Zürcher Spitälern, ein neues Sicherheitskonzept.

Offenbar gerade noch rechtzeitig: Denn nun ist genau diese regionale Gesundheitseinrichtung, die jährlich über 55'000 Patienten aufnimmt, ins Visier raffinierter Cyberkrimineller geraten. Der Kommunikations-Verantwortliche des Spitals Wetzikon, Stephan Gervers, bestätigt auf Anfrage einen entsprechenden Hinweis eines watson-Users.

Was Ransomware-Attacken im schlimmsten Fall auslösen können, zeigte sich 2017 bei "WannaCry". Die Windows-Schadsoftware verbreitete sich wurmartig in Netzwerken und befiel weltweit Hunderttausende Computer und Server. Auch in Krankenhäusern wurde der Betrieb lahmgelegt:

• Ärzte kamen nicht an Patienten-Akten,

• Operationen mussten verschoben werden,

• Untersuchungen konnten nicht durchgeführt werden,

• Hilfesuchende wurden abgewiesen.

So weit kam es Mitte Oktober 2019 im Spital in Wetzikon nicht. Wobei der relativ glimpfliche Verlauf der Emotet-Attacke nicht mit Glück zu tun hat, sondern mit der professionellen Vorbereitung auf solche Bedrohungen und die schnelle Reaktion im Notfall. Dies zeigen die Antworten des IT-Sicherheitsexperten und Logicare-Geschäftsführers Stefan Steiner.

Um was für einen Angriff handelt es sich?

Um einen Angriff mit dem Windows-Trojaner Emotet.

Dazu Stefan Steiner:

"Der Angriff erfolgte mit grösster Sicherheit via E-Mail. Ursprünglich als E-Banking-Trojaner bekannt, wird Emotet heute vor allem für den Versand von Spam sowie das Nachladen von weiterer Schadsoftware (Malware) verwendet. Emotet versucht – mit gefälschten E-Mails im Namen von Kollegen, Geschäftspartnern oder Bekannten – mittels Social-Engineering den Empfänger zum Öffnen des Word-Dokuments sowie zum Ausführen der darin enthaltenen Office-Makros zu verleiten. Wenn ein Mailempfänger dieses 'Tor öffnet', wird aktiv nichts vom Benutzer bemerkt, sondern der Angriff läuft ruhig und (im Normalfall) unkontrolliert im Hintergrund."

Wie wurde die Malware eingeschleust?

Dazu Stefan Steiner:

"Es muss davon ausgegangen werden, dass mittels Social-Engineering eine 'glaubwürdige' (auf echten Gegebenheiten aus dem Umfeld des Empfängers angereicherten) Phishing-Attacke zum Befall geführt hat. Ein gutmütiger Click reicht dazu bereits aus. Normale Virenscanner können den sich selber verändernden Code in E-Mail-Anhängen grösstenteils nicht erkennen."

Sprich: Es musste ein PC-User dazu verleitet werden, ein Word-Dokument zu öffnen, direkt als Mail-Attachment, oder über einen Link. Die eigentliche Infektion erfolgt aber noch nicht beim Öffnen des präparierten Dokuments. Sie erfordert das Ausführen von Makros. Die Emotet-Autoren nutzen die an sich praktischen Steuerbefehle dafür, Schadsoftware aus dem Internet nachzuladen und zu installieren.

Standardmässig sind Makros zwar in Microsoft Office deaktiviert; sie lassen sich jedoch mit einem Mausklick einfach aktivieren, wie heise.de schreibt. Und die Malware-Autoren täten ihr Möglichstes, die User zu diesem Klick zu verleiten.

Was passierte nach der "Primärinfektion"?

Dazu Stefan Steiner:

"Emotet versucht in mehreren Phasen vorzugehen und im ersten Schritt unter anderem Passwörter, E-Mail-Adressbücher, E-Mail-Inhalte zu erhalten und weitere Schadsoftware nachzuladen. In einer weiteren Phase verbreitet sich der Angreifer auf allen erreichbaren Systemen, vor allem auch auf die Backup-Umgebungen. In einer letzten Phase beginnt die Verschlüsselung, zuerst die Backups, dann die Online-Systeme."

Man fängt sich also ein Multipaket an Schadsoftware ein. Nachdem der Emotet-Trojaner das System ausgekundschaftet hat, wird in der Regel der Banking-Trojaner TrickBot als "Türöffner" nachgeladen. Dieser sammelt und kopiert Zugangsdaten und übermittelt die wertvollen Information an einen von den Kriminellen kontrollierten Computer, einen sogenannten C&C-Server. Schliesslich wird der Verschlüsselungstrojaner Ryuk nachgeladen, der alle von TrickBot und Emotet als wichtig eingestuften Dateien zu verschlüsseln versucht.

Was macht Emotet so gefährlich?

Dazu Stefan Steiner:

"Das grösste Risiko liegt nicht auf der technischen, sondern viel mehr auf der menschlichen Ebene. Mittels inzwischen unglaublich cleveren Social-Engineering- bzw. Phishing-Attacken werden Benutzer unbemerkt zu Opfern. Hier hilft nur kontinuierliches Training und Sensibilisierung. Im GZO Wetzikon und auch in anderen Spitälern wird daran aktiv gearbeitet und alles daran gesetzt, dass dieses Risiko minimiert werden kann."

Wenn Emotet erst einmal einen PC befallen hat, liest er Inhalte aus Outlook-Postfächern des befallenen Systems aus – das wird als "Outlook-Harvesting" bezeichnet. Die gesammelten Informationen nutzen die Täter zur weiteren Verbreitung von Malware. Sie senden Opfern täuschend echt wirkende E-Mails eines bekannten Kontakts, was dazu führt, dass ein Dokument mit grosser Wahrscheinlichkeit geöffnet wird.

Der Geschäftsführer der Logicare AG empfiehlt allen Spitälern "dringend ein kontinuierliches Sensibilisieren der Mitarbeitenden mit entsprechenden Massnahmen". Seine Firma biete dazu eine spezielle, professionelle und kontinuierliche Online-Trainings-Lösung zur Phishing-Simulation und Steigerung des Sicherheitsbewusstseins für die Mitarbeitenden an.

Wie wurde die Ransomware-Attacke gestoppt?

Dazu Stefan Steiner:

"Glücklicherweise konnte eine Verschlüsselung dank Überwachung der Netze und sofortiger Intervention verhindert werden. Das Taskforce-Team konnte den Angriff soweit unter Kontrolle bekommen, dass mittels Sofortmassnahmen die Aktivitäten erkannt, verstanden/klassifiziert und bekämpft werden konnten."

Welche Auswirkungen gab es auf den Spital-Betrieb?

Dazu Stefan Steiner:

"Es entstanden glücklicherweise keine grösseren Ausfälle der zentralen Systeme. Einzelne Benutzer oder Systeme wurden kurzfristig isoliert und bereinigt, so dass lediglich teilweise 'mühsame' kurze Unterbrüche oder Workarounds notwendig wurden. Nicht zu unterschätzen waren die Auswirkungen auf die Ressourcenplanung der IT-Mitarbeitenden, alle Systeme mussten kurzfristig mit zusätzlichen Tools und Überprüfungen bearbeitet werden."

Spitäler erbringen wichtige medizinische Leistungen und gehören zu den kritischen Infrastrukturen des Landes. Die IT-Sicherheitsexperten des Bundes von der Melde- und Analysestelle Informationssicherung MELANI verfolgen rund um die Uhr, wie sich die Bedrohungslage entwickelt.

Attacken könnten potenziell tödliche Folgen haben, sagt der stellvertretende MELANI-Leiter, Max Klaus:

"Angriffe auf Spitäler können insofern verheerende Folgen haben, als der grösste Teil der medizinischen Geräte (auch lebenserhaltende Geräte wie z.B. Herz-/Lungenmaschinen) mit dem Internet verbunden sind. Im Spitalbereich kommt erschwerend dazu, dass diese medizinischen Geräte infolge Vorschriften von Herstellerseite nicht so einfach gepatcht werden können."

Sind alle medizinischen Geräte wieder am Netz?

Dazu Stefan Steiner:

"Grundsätzlich sind alle Geräte im Einsatz, einzelne Geräte wurden kurzfristig gezielt separiert, können aber verwendet werden."

Was unternimmt der Bund gegen Emotet und Co.?

Emotet sei eine schon länger bekannte Bedrohung, doch hätten einige Unternehmen die Warnungen von MELANI nicht ernst genommen, verrät uns Max Klaus:

"MELANI hat bereits im Frühjahr 2019 im Sinne einer Public-Private-Partnership mit verschiedenen Partnern Massnahmen ergriffen, um die Gefahr durch Emotet für die Schweizer Wirtschaft und für die Schweizer Bevölkerung zu minimieren. Betroffene Unternehmen erhalten von MELANI umgehend Informationen über die infizierten Systeme sowie Empfehlungen, wie mit der Infektion umzugehen ist. Wie die Unternehmen mit diesen Empfehlungen umgehen, liegt jedoch in ihrer alleinigen Entscheidungskompetenz. In der Vergangenheit gab es das eine oder andere Unternehmen, das unsere Warnung nicht ernst genommen und in der Folge eine Infektion mit Emotet erlebt hat."

Im August 2019 veröffentlichte die Fachstelle auf melani.admin.ch eine eindringliche Warnung, wonach Emotet aktiv dazu verwendet werde, um gezielt Computer und Server in Unternehmensnetzwerken mit einem Verschlüsselungstrojaner (Ransomware) namens "Ryuk" zu infizieren.

Emotet sei seit langer Zeit aktiv und greife immer wieder Unternehmen aus unterschiedlichsten Branchen an, betont Max Klaus. "Dazu gehören selbstverständlich auch Spitäler. Nach unserem Kenntnisstand sind in der Schweiz bisher jedoch keine Patienten zu Schaden gekommen."

Seine Behörde pflege im Sinne einer Public-Private-Partnership seit Jahren eine sehr enge Zusammenarbeit mit zahlreichen Schweizer Spitälern und versorge diese mit Informationen aus öffentlich nicht zugänglichen Quellen.

Bisher habe MELANI 4500 sogenannte Command & Control Server (C&C Server) identifiziert, die in Zusammenhang mit den Trojanern Emotet und Trickbot stehen. "156 C&C Server sind nach unseren Erkenntnissen zurzeit aktiv." Das sind mit dem Internet verbundene Computer, die irgendwem gehören und sich irgendwo auf der Welt befinden können, die aber von den Kriminellen missbräuchlich verwendet werden, um Malware-Attacken zu starten und zu administrieren.

Der Prävention komme nach wie vor sehr grosse Bedeutung zu, sagt der stellvertretende MELANI-Leiter. In den Unternehmen müssten die Mitarbeitenden laufend für die drohenden Gefahren sensibilisiert werden. Selbstverständlich brauche es überall auch technische Schutzmassnahmen. Mancherorts fehlten jedoch die organisatorischen Massnahmen, um die technischen Vorkehrungen zu ergänzen, wie zum Beispiel eine eingespielte Krisenkommunikation oder die rechtzeitige Beschaffung neuer (sicherer) Software.

"Im Bereich Prävention haben wir eine zusätzliche Stelle schaffen können, die wir voraussichtlich Anfang nächsten Jahres ausschreiben werden. Dies wird es uns ermöglichen, die Prävention bei Wirtschaft und Bevölkerung weiter voranzutreiben."

Was sollen Unternehmen und Mitarbeitende tun?

Durch verschiedene Massnahmen lassen sich Angriffe mit Emotet und Verschlüsselungstrojanern vermeiden. Es gilt:

• Backups regelmässig erstellen und alle wertvollen Daten automatisch sichern, und zwar so, dass sie ausser Reichweite von Malware sind. Am besten sei es, Datensicherung sowohl lokal als auch in der Cloud zu betreiben.

• Hardware und Software in Schuss halten und Sicherheits-Updates umgehend installieren.

• Antiviren-Software nutzen.

• Vorsichtiger Umgang mit elektronischer Post. Grundsätzlich gilt: Traue niemandem! Absender können gefälscht sein. Inhalte auch.

• Windows-User sollten die Option "Dateierweiterungen anzeigen" in den Windows-Einstellungen auf ihrem Computer aktivieren, um potenziell gefährliche ausführbare Dateien (".exe") zu erkennen.

Dazu Max Klaus:

"Die laufende Aktualisierung aller Software- und Hardware-Komponenten ist unabdingbar. Die Infektion mit Emotet erfolgt in erster Linie über verseuchte Mail-Anhänge oder Links auf infizierte Websites. Das Patchen von Systemen ergibt jedoch keine hundertprozentige Sicherheit, etwa dann, wenn durch die genannten Infektionsvektoren beispielsweise Zero-Day-Lücken ausgenützt werden."

Falls ein Angriff erfolgt ist, gilt es, kühlen Kopf zu bewahren. Betroffene Mitarbeitende sollten:

• Geöffnete Applikationen schliessen

• Die Arbeit am betroffenen Gerät sofort einstellen

• Das Gerät vom Netzwerk trennen, also das Ethernet-Kabel herausziehen und/oder die WLAN-Verbindung kappen.

• Das Gerät nicht ausschalten!

• Keine falsche Scham! Unverzüglich den Administrator, respektive den Notfall-Support, kontaktieren.

• Polizei und Sicherheitsexperten raten, auf keinen Fall ein gefordertes Lösegeld zu bezahlen. Wobei dies natürlich einfacher gesagt als getan ist, wenn unverzichtbare Daten verschlüsselt sind und kein Backup vorhanden ist.

Schliesslich sollte man auch noch Geschäftskontakte warnen. Wenn das auf dem PC gespeicherte Adressbuch durch Outlook-Harvesting in die Hände von Kriminellen gefallen ist, drohen weitere massgeschneiderte Phishing-Attacken.

Müssen Spitäler Emotet-Attacken melden?

Eine Strafanzeige bei der Polizei ist zu empfehlen. Am besten fotografiert man dazu die auf dem Bildschirm angezeigte Erpressermeldung mit dem Smartphone.

Cyberattacken müssten der Aufsichtsbehörde Swissmedic gemeldet werden, sofern ein "schwerwiegendes Vorkommnis" entstehe, schrieb die "NZZ am Sonntag". Die Swissmedic-Kommunikationschefin Danièle Bersier präzisiert auf Anfrage: "Bei der Zuständigkeit bei Cyberangriffen muss zwischen allgemeinen Angriffen auf die Spitalinfrastruktur (z.B. Patientendaten) oder Angriffe auf Medizinprodukte unterschieden werden. Die Sicherung der IT-Infrastruktur in den Spitälern ist in der Eigenverantwortung der Spitäler und es gibt keine Meldepflicht an Swissmedic. Die allgemeine Überwachung von Spitälern liegt bei den Kantonen."

Gemäss Heilmittelrecht müssten schwerwiegende Vorkommnisse mit einzelnen Medizinprodukten (inklusive Software) der Aufsichtsbehörde gemeldet werden. Swissmedic treffe sich bei Bedarf in unregelmässigen Abständen mit anderen behördlichen Experten, etwa von MELANI.

Dies wird vom stellvertretenden Leiter Max Klaus bestätigt. Auch andere eidgenössische Regulatoren wie die Finanzaufsicht (FINMA) oder das Bakom hätten für ihren Zuständigkeitsbereich gewisse Meldepflichten eingeführt. "Jedoch gibt es momentan in der Schweiz keine generelle Meldepflicht für Cyberangriffe", sagt Max Klaus, Melde- und Analysestelle Informationssicherung MELANI.

Wegen diverser parlamentarischer Vorstösse und im Zuge der Umsetzung der "Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken" (NCS 2.0) werde die Frage aktuell geprüft, sagt der IT-Sicherheitsexperte. Der Bundesrat werde bis Ende Jahr über die weiteren Schritte entscheiden.

Wer steckt hinter Emotet?

Eine kriminelle Gruppierung, die vermutlich aus Russland stammt. Im Programmcode der Malware fanden Sicherheitsexperten jedenfalls entsprechende Hinweise.

Emotet kann jeden treffen: So lautet die beunruhigende Erkenntnis der Heise-Gruppe. Im Mai versetzte der Verschlüsselungstrojaner den deutschen IT-Verlag in den Ausnahmezustand. Dies, nachdem die eigenen Sicherheitsexperten zu früh davon ausgegangen waren, die Verbreitung gestoppt und den Schädling aus dem Netzwerk entfernt zu haben.

Der Schock sass tief, doch das Unternehmen ging in die Informations-Offensive. In Vorträgen schildern Heise-Mitarbeiter die technischen und datenschutzrechtlichen Konsequenzen, die ein verheerender Malware-Angriff haben kann.

Ihre Kernbotschaft: Emotet sei "eine der zerstörerischsten Gefahren für Unternehmens-IT". Mit der Kombination aus Dynamit-Phishing und Ransomware könne sie für viele Firmen und Organisationen existenzbedrohend sein.

Dieser Artikel erschien zuerst bei Watson.