29 Schutz-Lösungen im Abwehr-Test gegen Ransomware

Test: 10 harte Gegner für jede Lösung

Jedes der 10 Test-Szenarien ist definiert und in den untenstehenden Grafiken technisch genau beschrieben. So geht zum Beispiel einem Angriff eine Spear-Phishing-Attacke voraus und eine Mail mit einem Anhang wird entpackt. Eine darin versteckte Datei wird ausgeführt und beginnt mit dem praktischen Angriff auf das System und der Verschlüsselung. Alle in der Grafik angegebenen Schritt des Szenarios gibt das Labor in „Techniques“ Codes von MITRE ATT&CK an. Somit ist das Szenario selbst für Fachleute ganz genau nachvollziehbar. Die technischen Schritte eines Advanced Threat Protection-Tests erklärt das Labor für Interessierte auch im bereits erschienenen Artikel Neue Abwehrkräfte: EPPs und EDRs im Test gegen APT- und Ransomware-Attacken.

Die einzelnen Ergebnis-Grafiken sind so zu verstehen: Der Testablauf ist pro angreifender Ransomware in einer Reihe dargestellt. Es finden sich daher 10 Reihen mit Ergebnissen. Wird eine Ransomware in einem Szenario von der Schutzlösung in einem der ersten beiden Schritte erkannt (initial access oder execution), dann gilt der Angriff als abgewehrt. Ist dies der Fall, zeigt die Farbkodierung die Farbe Grün: Angriff gestoppt. Gelb bedeutet: nur teilweise gestoppt. Orange signalisiert: Angriff nicht gestoppt (no detection). Das gelbe Feld am Ende kann zwei Ergebnisse anzeigen: wurde der Angriff nur teilerkannt, dann sind entweder diverse Dateien verschlüsselt (some files encrypted) oder die Ransomware wurde zwar am Verschlüsseln gehindert, verbleibt aber auf dem System (malware remains on system). Steht am Ende der Grafikreihe ein oranges Feld, gilt die Attacke als nicht erkannt und die Ransomware konnte sich komplett ausführen (files encrypted).

Für jede komplett erkannte und gestoppte Ransomware vergibt das Labor 4 Punkte. Bei Teilerkennungen gibt es einen Punktabzug. Bei einer Nichterkennung gibt es natürlich keine Punkte. In diesem Test kann eine Lösung pro Szenario 4 Punkte erreichen – 40 Punkte für ihren Schutz-Score insgesamt. Achtung: die Advanced Threat Protection-Tests erfolgen zwar regelmäßig alle zwei Monate, aber die Szenarien können variieren und somit auch die maximalen Punkte des Schutz-Score.
 

Testszenarien

Alle Angriffs-Szenarien sind dokumentiert nach dem Standard der MITRE ATT&CK-Datenbank. Die einzelnen Unterpunkte, z.B. „T1059.001“ stehen in der MITRE-Datenbank für „Techniques“ unter 1059.001 „Command and Scripting Interpreter: PowerShell“. Jeder Testschritt ist so unter Fachleuten definiert und lässt sich nachvollziehen.

Guter Schutz der Privatanwender

Im Test zeigten die meisten der 16 untersuchten Schutzpakete für private Anwender, dass sie nicht nur guten Schutz versprechen, sondern ihn auch leisten. 10 der 16 Systemschützer erkennen alle Angreifer einwandfrei und unterbinden auch jede weitere Aktion. Sie alle erhalten die maximalen 40 Punkte für den Schutz-Score: Ahnlab, Avast (mit beiden Versionen), AVG, Avira, Bitdefender, Microsoft, Microworld, PC Matic und Trend Micro.

Die folgenden 6 Produkte erkennen zwar ebenfalls alle Ransomware-Angreifer, können sie aber nur zu großen Teilen und nicht komplett aufhalten. Malwarebytes mit 37,5 Punkten sowie G DATA und McAfee mit 37 Punkten haben zwar teilweise Probleme bei der Erkennung, können aber in fast allen Fällen die Ransomware in späteren Schritten stoppen. Bei Malwarebytes wurden in einem Fall einzelne Dateien verschlüsselt. Bei fast allen Fällen wurde in der Windows-Registry noch ein „Run Key“ angelegt, der aber dann keine weitere Bewandtnis mehr hatte.

Bei VIPRE Security mit 36 und NortonLifeLock mit 35,5 Punkten gestaltet sich das Bild ähnlich. Die Zahl der nicht erkannten Fälle, die aber dann später gestoppt wurden, ist höher. Auch hierbei wurden Registry-Keys angelegt. Bei VIPRE Security wurden in einem Fall auch einzelne Dateien verschlüsselt.

K7 Computing erreichte nur 31 der 40 möglichen Punkte. Das Produkt erkennt zwar alle Angreifer im Test, kann aber im weiteren Verlauf die Attacke nur teilweise aufhalten. So wird in mehreren Fällen der Eintrag eines Registry Schlüssel zugelassen und auch die teilweise Verschlüsselung von Daten wird nicht verhindert.

Alle Produkte erhalten nach dem Test das Zertifikat „Advanced Certified“. Die Grundlage für das Zertifikat ist das Erreichen von mindestens 75 Prozent (30 Punkte) der maximalen 40 Punkte des Schutz-Score.
 

Unternehmenslösungen gegen Ransomware

Die Tabelle zu den Unternehmenslösungen zeigt schnell, dass 12 der 13 untersuchten Produkte alle Angreifer erkennen. Lediglich Trend Micro muss in einem Fall passen. Aber die Erkennung bedeutet nicht automatisch die komplette Abwehr des Ransomware-Angriffs. Erfreulich: 8 der 13 Produkte gelingt die Erkennung und die komplette Abwehr der Attacken. Sie erhalten damit die vollen 40 Punkte für den Schutz-Score: Ahnlab, Avast, Bitdefender (mit beiden Versionen), Comodo, G DATA, Malwarebytes und Microsoft.

Die Lösungen von Check Point und Seqrite folgen knapp mit 38,5 Punkten. Sie haben beide bei einem Angriff das Problem, dass die Ransomware erste Schritte machen kann und auch einen „Run Key“ in der Windows-Registry anlegt. Erst danach halten die Wächter den Angriff auf, wodurch auch der Registry-Schlüssel seine Gefährlichkeit verliert.

Trellix hat in einem Fall das gleiche Problem, wie die beiden Produkte zuvor. Allerdings wird der Angriff nicht vollends gestoppt und es kommt zu einer Verschlüsselung von einzelnen Dateien. Am Ende stehen so 37,5 Punkte für Trellix.

VMware und Trend Micro beenden den Test mit jeweils 36 Punkten. VMware hat Probleme mit zwei Angriffen im Test. Der erste wird in weiteren Schritten abgewehrt und hinterlässt nur einen Registry-Schlüssel. Beim zweiten Angriff ist die Abwehr etwas schlechter und es kommt zu einer Verschlüsslung weniger Dateien.

Trend Micro zeigt in 9 von 10 Fällen eine perfekte Abwehr. Bei der 10. Attacke wird der Angreifer allerdings weder zu Beginn noch durch seine Aktionen erkannt, wodurch der Angriff der Ransomware erfolgreich ist.

Damit ein Produkt nach einem Test das Zertifikat „Advanced Approved Endpoint Protection“ erhält, muss es 75 Prozent (30 Punkte) der maximalen 40 Testpunkte erreichen. Der niedrigste Wert im Test liegt bei 36 Punkten. Somit erhalten alle geprüften Lösungen das Zertifikat.
 

Erkennung ist gut – komplette Abwehr ist besser

Der aktuelle Test verdeutlicht die Schwierigkeit bei der Abwehr von Ransomware. Alle Produkte im Test – für private Anwender und Unternehmen – haben bis auf eine Ausnahme alle Angreifer sofort erkannt. Allerdings können diverse Lösungen die Ransomware in wenigen Fällen erst in einem weiteren Schritt aufhalten. Vereinzelt kommt es sogar zu einer Verschlüsselung von einzelnen Dateien.

Dennoch zeigt der Test, dass das Gros der Produkte ein verlässlicher Partner in der Abwehr von Ransomware ist. Bei den Unternehmenslösungen erreichen 8 von 13 den maximalem Schutz-Score mit 40 Punkten. Bei den privaten Anwendern sind es 10 von 16 Schutzpaketen. Die restlichen Produkten halten die Ransomware erst in einem weiteren Schritt auf. Es entsteht zwar kaum Schaden, aber dennoch gibt es für die Fehler einen Punkteabzug. Nur in ganz wenigen Fällen kommt es zu einer Verschlüsselung von einzelnen Dateien. Lediglich bei einem Fall von 290 untersuchten Szenarien, war die Ransomware-Attacke komplett erfolgreich; ein Ergebnis, dass sich sehen lassen kann und Sicherheit vermittelt.