In seinem Cyber Weapons Reports 2016 zeigt LightCyber, ein Anbieter für Behavioral Attack Detection, die meistgenutzten Tools von Cyberkriminellen auf. Dabei fällt auf, dass Hacker hauptsächlich sehr bekannte Netzwerk- und Administrationstools verwenden, und dass Malware offensichtlich eine untergeordnete Rolle spielt. Schädlinge dienen laut LightCyber als Hilfsmittel beim Einbruch in das Netzwerk, kommen aber nach dem Eindringen nicht mehr zum Einsatz.

Spitzenplätze nehmen etwa Tools wie Angry IP Scanner, PingInfoView und Nmap ein. Die Programme sind keine Schädlinge, können aber für Angriffe missbraucht werden. Im Gegensatz zu bekannter Malware können solche Programme lange Zeit im Netzwerk nach Daten wühlen, ohne durch klassische Threat Intelligence entdeckt zu werden. Verschiedene Berichte sehen daher eine durchschnittliche Detektionszeit von fünf Monaten.

"Der Cyber Weapons Report lässt uns in einer noch nie da gewesen Form erkennen, dass Malware nicht das Mittel der Wahl für Angreifer ist, nachdem sie in Netzwerke eingedrungen sind," sagt Jason Matlof, Executive Vice President bei LightCyber. "Die IT-Sicherheitsbranche ist besessen von Malware, obwohl die Realität anders aussieht. Die vielen Sicherheitseinbrüche und Informationsdiebstähle zeigen, dass klassische IT-Sicherheitsansätze auf Basis von Schädlingserkennung nicht mehr ausreichend sind."

Grundlage der Studie sind Informationen aus über 100.000 Endpunkten weltweit. Sie wurden über sechs Monate in Organisationen unterschiedlicher Grösse mit 1000 bis 50.000 Endgeräten gesammelt. Dabei waren verschiedene Branchen wie Finance, Logisitk, Governance, Healthcare, Telekommunikation und Forschung vertreten.

• SecureCRT, ein SecureShell (SSH) und Telnet-Client führt die Liste der eingesetzten Administrationstools an und wurde in 28,5 Prozent aller Angriffe eingesetzt. Das Programm viel auf, nachdem es immer wieder in Verbindung zu verdächtigem Verhalten wie Fernzugriffe, Erstellung neuer Administrationskonten und Umkehrung von Verbindungen (Remote Shell) stand.
• Das populärste Programm für Fernzugriffe ist TeamViewer, ein Tool das aus der Cloud oder lokal gehostet werden kann, um Remote Desktop Zugriff oder Web Konferenzen zu ermöglichen. Es wurde in 37,2 Prozent der Fälle entdeckt und tritt häufig in Verbindung mit Command and Control Aktionen (Tunneling) und ungewöhnlicher Netzwerkbewegungen auf.
• Angreifer setzen auch Enduser-Programme wie Browser, File Transfer Clients oder native Systemprogramme ein, um Command and Control und Datendiebstähle zu ermöglichen. Die einfachste Applikation in den falschen Händen birgt somit ein grosses Risiko und kann für bösartige Aktionen eingesetzt werden.

Der vollständige Bericht steht auf der Webseite von LightCyber zum Download zur Verfügung.