Thought Leadership
Ein Akira-Ransomware-Partner deaktivierte EDR-Software über den abgesicherten Windows-Modus, die Verschlüsselung scheiterte jedoch.
Nach Angaben des auf Managed Detection and Response spezialisierten Unternehmens Huntress verschaffte sich der Angreifer am 4. August zunächst über ein exponiertes, ohne Multi-Faktor-Authentifizierung abgesichertes SonicWall-VPN-Gerät Zugang zum Netzwerk. Rund zwei Stunden nach der erfolgreichen VPN-Anmeldung verband er sich per RDP mit dem Domänencontroller, listete dort Benutzer und Rechner in Active Directory auf und wechselte anschließend zu einem Anwendungsserver. Mit dem Programm WinRAR archivierte der Angreifer freigegebene Dateifreigaben und lud die Daten über das Kommandozeilenwerkzeug s5cmd in einen von ihm kontrollierten S3-Speicherbereich hoch, bevor er zusätzlich die Fernwartungssoftware AnyDesk installierte.
Über AnyDesk zwang der Angreifer den kompromittierten Rechner anschließend, in den abgesicherten Modus mit Netzwerktreibern neu zu starten, und deaktivierte darüber sowohl den Huntress-Agenten als auch den Echtzeitschutz von Microsoft Defender. Der abgesicherte Modus ist eigentlich für Diagnose- und Fehlerbehebungszwecke vorgesehen und startet Windows nur mit einem eingeschränkten Satz an Treibern und Diensten, wodurch die meisten Programme und Dienste von Drittanbietern gar nicht erst geladen werden. Huntress erklärte dazu:
„Zehn Minuten lang, während sich das System im abgesicherten Modus befand, hatte der Rechner keine funktionierende EDR-Lösung, und der Virenschutz war blind.“
Huntress
Um den Zugang über einen Neustart hinweg abzusichern, trugen die Angreifer AnyDesk zusätzlich in die für den abgesicherten Modus zuständige Windows-Registrierung ein.
Verschlüsselungsversuch scheitert an Arbeitsspeicherfehler
Als der Angreifer anschließend versuchte, die eigentliche Ransomware-Datei akira.exe über AnyDesk im abgesicherten Modus zu starten, schlug die Ausführung fehl. Das System meldete zu wenig virtuellen Arbeitsspeicher und erzeugte entsprechende Fehlermeldungen sowie PowerShell-Fehler. Ein regulärer, geplanter Scan von Microsoft Defender erkannte die Akira-Datei zwar auch im abgesicherten Modus trotz deaktiviertem Echtzeitschutz, konnte sie jedoch nicht entfernen, solange sich das System in diesem Modus befand. Erst nachdem der Angreifer den Rechner wieder in den normalen Modus zurückversetzte und dadurch den Echtzeitschutz reaktivierte, isolierte Defender die Datei in Quarantäne.
Trotz der gescheiterten Verschlüsselung gelang es dem Akira-Partner dennoch, Zugangsdaten und Dateien für eine anschließende Erpressung zu entwenden, den gesamten Vorgang von der ersten Anmeldung bis zum Datendiebstahl schlossen die Angreifer dabei in weniger als fünf Stunden ab. Nach Angaben von Huntress nutzen andere Ransomware-Familien wie Snatch und AvosLocker diese Technik bereits seit Jahren, es handelt sich jedoch um den ersten von dem Unternehmen beobachteten Fall bei einem Akira-Angriff.
Empfohlene Gegenmaßnahmen
Huntress empfiehlt Unternehmen, für sämtliche VPN-Konten eine Multi-Faktor-Authentifizierung einzurichten, Erkennungsmechanismen gegen das systematische Ausprobieren gestohlener Zugangsdaten zu implementieren sowie gezielt auf Veränderungen an der Boot-Konfiguration für den abgesicherten Modus sowie auf dort neu eingetragene Fernzugriffswerkzeuge in der Registrierung zu überwachen.
(red)
