Blick hinter die Kulissen: Mensch versus REvil

Jörg Schindler

3 years ago

Am Wochenende hat die Ransomware-Attacke über den IT-Dienstleister Kaseya die REvil-Hackergruppe einmal mehr weltweit in die Schlagzeilen katapultiert. Was zeichnet REvil aus? Anhand eines konkreten Falls zeigen die SophosLabs, wie die Cyberkriminellen vorgegangen sind, wie das Managed-Threat-Response (MTR)-Team schließlich die Oberhand gewonnen hat und welche Lehren Unternehmen aus dem Vorfall ziehen sollten

Die Erpressungssoftware REvil dient den Cyberkriminellen wie viele andere Ransomware-Familien dazu, Daten zu stehlen und zu verschlüsseln, um im Anschluss ein möglichst hohes Lösegeld zu fordern. Was REvil allerdings besonders macht, ist die Art, wie die Ransomware zur Verfügung gestellt wird. Als wäre es ein ganz normales Geschäft, bieten die Macher ihr „Produkt“ als einen Service an, den man sogar leasen kann – daran lässt dich gut erkennen, dass es in den Gefilden der Cyberkriminellen um millionenschwere Geschäfte geht.

Wie die Attacke abläuft und wie man den Kriminellen wirkungsvoll entgegentreten kann, zeigt das aktuelle Beispiel eines Medienunternehmens, bei dem die Erpresser über zwei Millionen Lösegeld forderten. Mit rund 600 vernetzten Geräten, darunter 25 Server und drei Active Directory Domains für den 24/7-Betrieb, war auch dieses Unternehmen ab der COVID-19-Welle angehalten, viele der täglichen Arbeiten in Remote Offices zu verlegen. Externe Arbeitsplätze wurden mit dem Netzwerk verbunden und die Internetanbindung angepasst – alles gut gemeinte Aktionen im Sinne der notwendigen Anforderungen. Doch es öffnete der REvil-Attacke die Tür. Im Netzwerk eingedrungen, bahnten sich die Verbrecher ihren Weg zu den ungeschützten Geräten und anderen Online-Systemen, installierten ihre Angriffswerkzeuge und nutzten diese, um den Angriff auf weitere Geräte auszudehnen.

Schnelle Eingreiftruppe
Als das Rapid Response Team von Sophos gerufen wurde und den Tatort genau untersuchte war schnell klar, dass die Angreifer bereits eine Reihe von Konten kompromittiert hatten und sich ungehindert zwischen ungeschützten Computern bewegten. Ein genauerer Blick auf die Applikationen zeigte, dass 130 Endpoints mit der Software Screen Connect 130 ausgerüstet waren, das häufig als Kollaborations-Tool für Remote Offices genutzt wird. Tatsächlich wusste das Unternehmen allerdings nichts von diesen Installationen, was darauf hindeutete, dass die Angreifer dieses Tool neben diversen anderen Programmen für ihre kriminellen Zwecke installiert hatten.

Direkter Schlagabtausch
Als die Angreifer begannen, intensiver im Netzwerk zu arbeiten, war ihnen klar, dass man sie vermutlich entdecken und blockieren würde, und dass das MTR-Team hinter ihnen her war. Sie wussten, dass man sie mit verhaltensbasierten Erkennungs-Tools aufzuspüren versuchte und dass CryptoGuard eine Verschlüsselung erkennt und blockiert. Daraufhin versuchten die Angreifer in weitere ungeschützte Endpoints einzudringen, um die Ransomware dort auszuführen. Der direkte Schlagabtausch zwischen MTR-Team und Angreifer war intensiver und komplexer als üblich, da das Medienunternehmen die meisten Server online halten musste, um die 24/7-Systeme und Übertragungen aufrecht zu erhalten. Schließlich begann der Ansturm zu erlahmen. Am zweiten Tag wurden zwar sporadisch noch eingehende Angriffe entdeckt, aber es war klar, dass der Hauptangriffsversuch vorbei und gescheitert war. Der Sieger in diesem Kampf stand fest: das MTR-Team.

Bilanz und Erkenntnisse
Es hätte deutlich schlimmer kommen können. Das IT-Sicherheitsteam stellte fest, dass sich der Schaden hauptsächlich auf die ungeschützten Geräte und Domänen beschränkte. Die zuvor per Air-Gap (Netzwerksicherheitsoption) geschützte Online-Domäne war komplett zerstört und musste neu aufgebaut werden, ebenso waren die Online-Backups gelöscht Die gute Nachricht: Obwohl die Angreifer es schafften, ins Netzwerk zu gelangen, wurde das Unternehmen nicht völlig lahmgelegt und musste auch kein exorbitantes Lösegeld zahlen.

“In den meisten Fällen findet der Angriff bereits statt, wenn wir gerufen werden. Wir können dann bei der Eindämmung, Neutralisierung und Untersuchung der Nachwirkungen helfen”, sagt Peter Mackenzie, Manager Sophos Rapid Response. “Bei diesem Fall wurden wir um Hilfe gebeten und waren vor Ort, als die letzte Phase des Angriffs entfaltet wurde und wir konnten sowohl die anfängliche Entschlossenheit als auch die dann wachsende Frustration der Angreifer verfolgen. Und sie setzten alle verfügbaren Waffen gegen uns ein und schossen aus so vielen Richtungen, wie sie konnten.”

Es gibt zwei wichtige Erkenntnisse , die Firmen aus diesem Vorfall mitnehmen sollten:

Die erste betrifft das Risikomanagement. Wenn ein Unternehmen Änderungen an einer Umgebung vornimmt, z.B. ein Netzwerk von Air-Gapped auf Online umstellt, wie im Fall dieses Unternehmens, ändert sich das Risiko. Es entstehen neue Schwachstellen, die von den IT-Sicherheitsteams erkannt und beseitigt werden müssen.
Bei der zweiten Erkenntnis geht es um den Schutz von Daten. Das erste kompromittierte Konto bei diesem Angriff gehörte einem Mitglied des IT-Teams. Alle Daten waren gelöscht worden. Das bedeutet, dass wertvolle Informationen, wie z. B. Details des ursprünglichen Einbruchs, die für die forensische Analyse und Untersuchung hätten verwendet werden können, verloren gingen. Je mehr Informationen intakt bleiben, desto einfacher ist es nachzuvollziehen, was passiert ist und um sicherzustellen, dass so etwas nicht wieder passieren kann.

Detaillierte Berichte zu diesem Vorfall und Tippszur generellen Vorbeugung und zum Schutz stehen in diesen englischen Beiträgen: