IT-Mensch versus REvil – eine Live-Attacke

IT-Mensch versus REvil – eine Live-Attacke

Beitrag teilen

Das Managed-Threat-Response-Team von Sophos im direkten Schlagabtausch mit REvil-Ransomware. Ein konkreter Fall zeigt, wie die Cyberkriminellen vorgegangen sind, wie das Managed-Threat-Response (MTR)-Team schließlich die Oberhand gewonnen hat und welche Lehren Unternehmen aus dem Vorfall ziehen sollten.

Die Erpressungssoftware REvil dient den Cyberkriminellen wie viele andere Ransomware-Familien dazu, Daten zu stehlen und zu verschlüsseln, um im Anschluss ein möglichst hohes Lösegeld zu fordern. Was REvil allerdings besonders macht, ist die Art, wie die Ransomware zur Verfügung gestellt wird. Als wäre es ein ganz normales Geschäft, bieten die Macher ihr „Produkt“ als einen Service an, den man sogar leasen kann – daran lässt dich gut erkennen, dass es in den Gefilden der Cyberkriminellen um millionenschwere Geschäfte geht.

REvil-Attacke: 2 Millionen Dollar Lösegeld

Wie die Attacke abläuft und wie man den Kriminellen wirkungsvoll entgegentreten kann, zeigt das aktuelle Beispiel eines Medienunternehmens, bei dem die Erpresser über zwei Millionen Lösegeld forderten. Mit rund 600 vernetzten Geräten, darunter 25 Server und drei Active Directory Domains für den 24/7-Betrieb, war auch dieses Unternehmen ab der COVID-19-Welle angehalten, viele der täglichen Arbeiten in Remote Offices zu verlegen. Externe Arbeitsplätze wurden mit dem Netzwerk verbunden und die Internetanbindung angepasst – alles gut gemeinte Aktionen im Sinne der notwendigen Anforderungen. Doch es öffnete der REvil-Attacke die Tür.

Im Netzwerk eingedrungen, bahnten sich die Verbrecher ihren Weg zu den ungeschützten Geräten und anderen Online-Systemen, installierten ihre Angriffswerkzeuge und nutzten diese, um den Angriff auf weitere Geräte auszudehnen.

Schnelle Eingreiftruppe

Als das Rapid Response Team von Sophos gerufen wurde und den Tatort genau untersuchte war schnell klar, dass die REvil-Angreifer bereits eine Reihe von Konten kompromittiert hatten und sich ungehindert zwischen ungeschützten Computern bewegten. Ein genauerer Blick auf die Applikationen zeigte, dass 130 Endpoints mit der Software Screen Connect 130 ausgerüstet waren, das häufig als Kollaborations-Tool für Remote Offices genutzt wird. Tatsächlich wusste das Unternehmen allerdings nichts von diesen Installationen, was darauf hindeutete, dass die Angreifer dieses Tool neben diversen anderen Programmen für ihre kriminellen Zwecke installiert hatten.

Direkter Schlagabtausch

Als die Angreifer begannen, intensiver im Netzwerk zu arbeiten, war ihnen klar, dass man sie vermutlich entdecken und blockieren würde, und dass das MTR-Team hinter ihnen her war. Sie wussten, dass man sie mit verhaltensbasierten Erkennungs-Tools aufzuspüren versuchte und dass CryptoGuard eine Verschlüsselung erkennt und blockiert. Daraufhin versuchten die Angreifer in weitere ungeschützte Endpoints einzudringen, um die Ransomware dort auszuführen.

Der direkte Schlagabtausch zwischen MTR-Team und Angreifer war intensiver und komplexer als üblich, da das Medienunternehmen die meisten Server online halten musste, um die 24/7-Systeme und Übertragungen aufrecht zu erhalten. Schließlich begann der Ansturm zu erlahmen. Am zweiten Tag wurden zwar sporadisch noch eingehende Angriffe entdeckt, aber es war klar, dass der Hauptangriffsversuch vorbei und gescheitert war. Der Sieger in diesem Kampf stand fest: das MTR-Team.

Bilanz und Erkenntnisse

Es hätte deutlich schlimmer kommen können. Das IT-Sicherheitsteam stellte fest, dass sich der Schaden hauptsächlich auf die ungeschützten Geräte und Domänen beschränkte. Die zuvor per Air-Gap (Netzwerksicherheitsoption) geschützte Online-Domäne war komplett zerstört und musste neu aufgebaut werden, ebenso waren die Online-Backups gelöscht Die gute Nachricht: Obwohl die Angreifer es schafften, ins Netzwerk zu gelangen, wurde das Unternehmen nicht völlig lahmgelegt und musste auch kein exorbitantes Lösegeld zahlen.

“In den meisten Fällen findet der Angriff bereits statt, wenn wir gerufen werden. Wir können dann bei der Eindämmung, Neutralisierung und Untersuchung der Nachwirkungen helfen”, sagt Peter Mackenzie, Manager Sophos Rapid Response. “Bei diesem Fall wurden wir um Hilfe gebeten und waren vor Ort, als die letzte Phase des Angriffs entfaltet wurde und wir konnten sowohl die anfängliche Entschlossenheit als auch die dann wachsende Frustration der Angreifer verfolgen. Und sie setzten alle verfügbaren Waffen gegen uns ein und schossen aus so vielen Richtungen, wie sie konnten.”

Zwei besonders wichtige Erkenntnisse

Die erste betrifft das Risikomanagement. Wenn ein Unternehmen Änderungen an einer Umgebung vornimmt, z.B. ein Netzwerk von Air-Gapped auf Online umstellt, wie im Fall dieses Unternehmens, ändert sich das Risiko. Es entstehen neue Schwachstellen, die von den IT-Sicherheitsteams erkannt und beseitigt werden müssen.
Bei der zweiten Erkenntnis geht es um den Schutz von Daten. Das erste kompromittierte Konto bei diesem Angriff gehörte einem Mitglied des IT-Teams. Alle Daten waren gelöscht worden. Das bedeutet, dass wertvolle Informationen, wie z. B. Details des ursprünglichen Einbruchs, die für die forensische Analyse und Untersuchung hätten verwendet werden können, verloren gingen. Je mehr Informationen intakt bleiben, desto einfacher ist es nachzuvollziehen, was passiert ist und um sicherzustellen, dass so etwas nicht wieder passieren kann.

Mehr bei Sophos.com

 


Über Sophos

Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.


 

Passende Artikel zum Thema

Forensik realer Cyberangriffe lüftet Taktiken der Angreifer

Detaillierte Untersuchung der vom Sophos Incident Response Team übernommen Fälle macht deutlich, dass Angreifer immer kürzer im infiltrierten Netzwerk verweilen, ➡ Weiterlesen

EU-NIS2-Direktive: Wie bereiten sich Unternehmen am besten vor?

Von der Neuauflage der EU-NIS2-Direktive sind viele Unternehmen betroffen. Mit ihr erhöhen sich die Mindestanforderungen an die Cybersicherheit kritischer Infrastrukturen. ➡ Weiterlesen

EU-NATO-Papier: KRITIS vor Cyberangriffen schützen

EU-NATO-Taskforce über die Resilienz der Kritischen Infrastruktur (KRITIS) in Europa erklärt Energie, Verkehr, digitale Infrastruktur und Weltraum als besonders schützenswerte ➡ Weiterlesen

Cyber-Risiko: Ladestationen für Elektrofahrzeuge

Ladestationen und Anwendungen für Elektrofahrzeuge sind oft nur unzureichend gegenüber Sicherheitsrisiken geschützt. Erfolgreiche Cyberangriffe auf solche Anwendungen ermöglichen Aktionen von ➡ Weiterlesen

Drastische Zunahme von Malware-Bedrohungen

Sicherheitsbedrohungen in OT- und IoT-Umgebungen nehmen stark zu. Das Gesundheitswesen, der Energiesektor und die Fertigung sind besonders davon betroffen. Die ➡ Weiterlesen

E-Mail-Erpressung auf dem Vormarsch

Bei Erpressungs-E-Mails drohen Cyberkriminelle damit, kompromittierende Informationen ihrer Opfer zu veröffentlichen, etwa ein peinliches Foto, und fordern eine Zahlung in ➡ Weiterlesen

Risiken des Quantencomputings in der Automobilbranche

Auswirkungen der Quantencomputer-Technologie auf die Automobilindustrie, die potenziellen Cybersicherheitsrisiken der neuen Technologie und die Möglichkeiten der Risikominderung für die Automobilhersteller. ➡ Weiterlesen

Mobile Geräte: Hohe Gefährdung durch KI-generierte Angriffe

Bei mobilen Geräten ist die Gefahr einer Cyber-Attacke durch verseuchte Apps, gefälschte KI-Websites, Fake-Proxy-Server und Phishing hoch. Tools der generativen ➡ Weiterlesen