Das BSI hat nun einen Bericht veröffentlicht, der technische Details zum Einfallsweg des Angriffs erläutert. Darin steht, dass das Einfallstor eine Phishing E-Mail zu einer Fake-Captcha-Abfrage war.
Viele Schritte zur Kompromittierung
Fake-Captcha-Angriffe sind mittlerweile nichts Neues mehr. Sie werden im Laufe der Zeit nur immer wieder abgewandelt und angepasst, um weiterhin wirksam zu bleiben. Die Variante, die laut BSI die Berliner Senatsverwaltung traf, nennt sich TerminalFix. Hierbei fordert ein „Captcha“ auf einer kompromittierten Webseite dazu auf, Programmcode in der Eingabeaufforderung auszuführen. Dieser Code lädt jedoch Schadsoftware nach und führt sie aus. Diese nistet sich in versteckten Ordnern und Dateien ein und erstellt Scheduled Tasks sowie Registry-Run-Einträge, um ihre weitere Ausführung sicherzustellen.
Wichtig zu wissen: Dieser menschliche Fehler ist nur der Anfang einer Kette - die eigentliche Kompromittierung des Netzwerks und die Daten-Exfiltration erfordert noch deutlich mehr Arbeit und Zeit von Seiten der Angreifenden – hier die Erpresser-Gruppe Rhysida.
Laut BSI spähte Rhysida zunächst die IT-Infrastruktur aus, um unter anderem Rechtevergaben, weitere angeschlossene Systeme, insbesondere Server und deren Nutzer sowie Backupvorgänge zu ermitteln. Dies erlaubte den Angreifenden festzustellen, wo sich wertvolle Daten befinden und auf welchen Weg sie diese erreichen und nachhaltig verschlüsseln können, so dass sie auch mit den Backups nicht mehr wiederherstellbar sind.
Rhysida leitete dann die Daten über einen Cloud-Speicher aus und verwendete dazu vom Cloudanbieter herausgegebene Kopierwerkzeuge.
Um eine dauerhafte Verbindung zum kompromittierten Netzwerk sicherzustellen, richtete Rhysida einen Reverse-Tunnel zu einem Python-Backdoor ein. Das heißt, sie können sich unbemerkt immer wieder zum Zielsystem verbinden und beliebige Befehle ausführen.
Anschließend versuchte Rhysida, Ransomware auszuführen, und verlangte 30 Bitcoin von der Stadt. Die Gruppe scheiterte jedoch an ihrem Erpressungsversuch, da die Stadt sich entschied, die Erpressersumme nicht zu bezahlen. 30 Bitcoin entsprechen momentan 2.063.900 Euro. Eine stattliche Summe. Als Reaktion machte Rhysida ihre Drohung wahr und veröffentlichte die ausgeleiteten Daten im Netz.
Schutz vor Fake-Captcha reicht nicht
Wer den aktuellen Nachrichten glaubt, könnte meinen, dass ein falscher Klick bereits zum Datenleak führt. So einfach ist es jedoch nicht. Wie oben illustriert, erfordern die meisten dieser Angriffe viele Schritte und etwas Zeit, bis die Täter an ihr Ziel kommen.
Es wäre darum nicht korrekt, allein den Mitarbeitenden verantwortlich zu machen, der auf das Fake-Captcha hereingefallen ist. Einen 100-prozentigen Schutz vor Social-Engineering-Tricks wie Fake-Captchas gibt es ohnehin nicht und sollte auch nicht das Ziel sein. Erst das Zusammenspiel von mehreren Sicherheitsmaßnahmen verhindert limitiert den Schaden, den ein Eindringling anrichten kann. Dazu gehören zum Beispiel
- die Rechteverwaltung
- sichere Passwörter
- Sicherheitseinstellungen des Betriebssystems
- eingespielte Updates
- eine Absicherung sensibler Daten
- eine Überwachung durch Sicherheitssoftware.
Das bedeutet aber auch, dass diejenigen, die über Geldmittelverteilung und andere Ressourcen entscheiden, welchen Fokus die IT-Sicherheit erhalten soll, eine besondere Verantwortung in der Prävention solcher Fälle tragen.
IT-Sicherheit wissentlich vernachlässigt
In einem ZDF-Interview erläutert der Sicherheitsexperte und Gründer der AG KRITIS, Manuel Atug, die schwerwiegenden Folgen dieses Angriffs.
Zu den abgegriffenen Daten gehören unter anderem staatenhoheitliche Geheimschutzinformationen, die beschreiben, welche Gebäude im Kriegsfall besonders zu schützen sind. Terrorristen, Geheimdienste und Kriegstreibende hätten nun Informationen darüber, wo sich unsere empfindlichste Infrastruktur befindet, wie beispielsweise Heizkraftwerke für Krankenhäuser und Notstromanlagen.
Bekannt geworden seien auch personenbezogene Daten, wie solche über die Geschäftsleitung von Rüstungsunternehmen. Diese Menschen bräuchten nun Personenschutz, weil der Datenleak „zu Tötungen und Hetzkampagnen“ gegen sie führen kann.
Manuel Atug nimmt dabei kein Blatt vor den Mund und sagt, die Verantwortlichen hätten die IT-Sicherheit wissentlich vernachlässigt. Die Folgen des Leaks würden noch Jahrzehnte anhalten, da sich bauliche Gegebenheiten nicht einfach ändern lassen.
