IT-Mensch versus REvil – eine Live-Attacke

IT-Mensch versus REvil – eine Live-Attacke
Anzeige

Beitrag teilen

Das Managed-Threat-Response-Team von Sophos im direkten Schlagabtausch mit REvil-Ransomware. Ein konkreter Fall zeigt, wie die Cyberkriminellen vorgegangen sind, wie das Managed-Threat-Response (MTR)-Team schließlich die Oberhand gewonnen hat und welche Lehren Unternehmen aus dem Vorfall ziehen sollten.

Die Erpressungssoftware REvil dient den Cyberkriminellen wie viele andere Ransomware-Familien dazu, Daten zu stehlen und zu verschlüsseln, um im Anschluss ein möglichst hohes Lösegeld zu fordern. Was REvil allerdings besonders macht, ist die Art, wie die Ransomware zur Verfügung gestellt wird. Als wäre es ein ganz normales Geschäft, bieten die Macher ihr „Produkt“ als einen Service an, den man sogar leasen kann – daran lässt dich gut erkennen, dass es in den Gefilden der Cyberkriminellen um millionenschwere Geschäfte geht.

Anzeige

REvil-Attacke: 2 Millionen Dollar Lösegeld

Wie die Attacke abläuft und wie man den Kriminellen wirkungsvoll entgegentreten kann, zeigt das aktuelle Beispiel eines Medienunternehmens, bei dem die Erpresser über zwei Millionen Lösegeld forderten. Mit rund 600 vernetzten Geräten, darunter 25 Server und drei Active Directory Domains für den 24/7-Betrieb, war auch dieses Unternehmen ab der COVID-19-Welle angehalten, viele der täglichen Arbeiten in Remote Offices zu verlegen. Externe Arbeitsplätze wurden mit dem Netzwerk verbunden und die Internetanbindung angepasst – alles gut gemeinte Aktionen im Sinne der notwendigen Anforderungen. Doch es öffnete der REvil-Attacke die Tür.

Im Netzwerk eingedrungen, bahnten sich die Verbrecher ihren Weg zu den ungeschützten Geräten und anderen Online-Systemen, installierten ihre Angriffswerkzeuge und nutzten diese, um den Angriff auf weitere Geräte auszudehnen.


Schnelle Eingreiftruppe

Als das Rapid Response Team von Sophos gerufen wurde und den Tatort genau untersuchte war schnell klar, dass die REvil-Angreifer bereits eine Reihe von Konten kompromittiert hatten und sich ungehindert zwischen ungeschützten Computern bewegten. Ein genauerer Blick auf die Applikationen zeigte, dass 130 Endpoints mit der Software Screen Connect 130 ausgerüstet waren, das häufig als Kollaborations-Tool für Remote Offices genutzt wird. Tatsächlich wusste das Unternehmen allerdings nichts von diesen Installationen, was darauf hindeutete, dass die Angreifer dieses Tool neben diversen anderen Programmen für ihre kriminellen Zwecke installiert hatten.

Direkter Schlagabtausch

Als die Angreifer begannen, intensiver im Netzwerk zu arbeiten, war ihnen klar, dass man sie vermutlich entdecken und blockieren würde, und dass das MTR-Team hinter ihnen her war. Sie wussten, dass man sie mit verhaltensbasierten Erkennungs-Tools aufzuspüren versuchte und dass CryptoGuard eine Verschlüsselung erkennt und blockiert. Daraufhin versuchten die Angreifer in weitere ungeschützte Endpoints einzudringen, um die Ransomware dort auszuführen.

Der direkte Schlagabtausch zwischen MTR-Team und Angreifer war intensiver und komplexer als üblich, da das Medienunternehmen die meisten Server online halten musste, um die 24/7-Systeme und Übertragungen aufrecht zu erhalten. Schließlich begann der Ansturm zu erlahmen. Am zweiten Tag wurden zwar sporadisch noch eingehende Angriffe entdeckt, aber es war klar, dass der Hauptangriffsversuch vorbei und gescheitert war. Der Sieger in diesem Kampf stand fest: das MTR-Team.

Bilanz und Erkenntnisse

Es hätte deutlich schlimmer kommen können. Das IT-Sicherheitsteam stellte fest, dass sich der Schaden hauptsächlich auf die ungeschützten Geräte und Domänen beschränkte. Die zuvor per Air-Gap (Netzwerksicherheitsoption) geschützte Online-Domäne war komplett zerstört und musste neu aufgebaut werden, ebenso waren die Online-Backups gelöscht Die gute Nachricht: Obwohl die Angreifer es schafften, ins Netzwerk zu gelangen, wurde das Unternehmen nicht völlig lahmgelegt und musste auch kein exorbitantes Lösegeld zahlen.

“In den meisten Fällen findet der Angriff bereits statt, wenn wir gerufen werden. Wir können dann bei der Eindämmung, Neutralisierung und Untersuchung der Nachwirkungen helfen”, sagt Peter Mackenzie, Manager Sophos Rapid Response. “Bei diesem Fall wurden wir um Hilfe gebeten und waren vor Ort, als die letzte Phase des Angriffs entfaltet wurde und wir konnten sowohl die anfängliche Entschlossenheit als auch die dann wachsende Frustration der Angreifer verfolgen. Und sie setzten alle verfügbaren Waffen gegen uns ein und schossen aus so vielen Richtungen, wie sie konnten.”

Zwei besonders wichtige Erkenntnisse

Die erste betrifft das Risikomanagement. Wenn ein Unternehmen Änderungen an einer Umgebung vornimmt, z.B. ein Netzwerk von Air-Gapped auf Online umstellt, wie im Fall dieses Unternehmens, ändert sich das Risiko. Es entstehen neue Schwachstellen, die von den IT-Sicherheitsteams erkannt und beseitigt werden müssen.
Bei der zweiten Erkenntnis geht es um den Schutz von Daten. Das erste kompromittierte Konto bei diesem Angriff gehörte einem Mitglied des IT-Teams. Alle Daten waren gelöscht worden. Das bedeutet, dass wertvolle Informationen, wie z. B. Details des ursprünglichen Einbruchs, die für die forensische Analyse und Untersuchung hätten verwendet werden können, verloren gingen. Je mehr Informationen intakt bleiben, desto einfacher ist es nachzuvollziehen, was passiert ist und um sicherzustellen, dass so etwas nicht wieder passieren kann.

Mehr bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Entwicklung 2022: Cyberkriminalität, Kriege, Ransomware

In seinem Bericht "2023 State of Malware" stellt Security-Experte Malwarebytes die Entwicklungen des Jahres 2022 zusammen: Geopolitische Cyberkriminalität, Ransomware und ➡ Weiterlesen

Top Malware im Q1-2023: Qbot, Formbook, Emotet

Der Global Threat Index für das Frühjahr 2023 von Check Point zeigt, dass die Malwares Qbot, Formbook und Emotet am ➡ Weiterlesen

Plus 8 Prozent: Mehr Geld für IT-Sicherheit in Unternehmen

Kleine und mittelständische sowie Großunternehmen in Deutschland haben beschlossen, in den kommenden drei Jahren einen größeren Teil ihres IT-Budgets in ➡ Weiterlesen

70 Prozent der XIoT-Schwachstellen kritisch oder hoch

Der neue State of XIoT Security Report: 2H 2022 zeigt, dass 71 Prozent der Schwachstellen mit dem CVSS v3-Score „kritisch“ (9,0-10) ➡ Weiterlesen

Security Report 2023: Mehr Stör- und Zerstörungs-Malware

Wie der Security Report 2023 von Chech Point zeigt, gibt es eine Zunahme von Cyberangriffen um 38 Prozent und über ➡ Weiterlesen

Unternehmen in Sachen Cybersecurity gut aufgestellt?

Sind Unternehmen in Sachen Cybersecurity wirklich gut aufgestellt? 61 Prozent der in einer Bitdefender-Studie befragten weltweiten Unternehmen attestieren sich eine ➡ Weiterlesen

US-Regierung: Neue Cyber-Security-Strategie

Die US-Regierung unter Präsident Biden hat eine neue Cybersicherheitsstrategie veröffentlicht. In dem fast 40-seitigem Strategiepapier geht es auch klar darum ➡ Weiterlesen

DACH-Umfrage: Cyberangriffe seien keine Chefsache

Laut einer Umfrage bei Führungskräften (C-Level): Über 60 Prozent der DACH-Manager im verarbeitenden Gewerbe rechnen mit einem Cyberangriff – dennoch ➡ Weiterlesen