Eine Analyse der Reaktion auf einen Ransomware-Angriff und der Bewältigung dessen Folgen

Die Anatomie eines Ransomware-Angriffs

Der COO eines großen Unternehmens für professionelle Dienstleistungen musste am eigenen Leib erfahren, wie heimtückisch Ransomware mittlerweile geworden ist. Das Unternehmen führte Backups durch. Es verfügte über eine tragfähige Notfallwiederherstellungsstrategie. Dennoch befall die Ransomware sein Unternehmen und hätte es beinahe lahmgelegt. Nur dank des Einsatzes von HYCU in seinem Unternehmen und der Bemühungen des HYCU-Supportteams konnte sich sein Unternehmen von diesem fast verheerenden Ransomware-Angriff erholen.

Die Ausgangslage

Der Chief Operating Officer (COO) war der Ansicht, dass sein großes Dienstleistungsunternehmen auf jede Art von Angriff, einschließlich eines Ransomware-Angriffs, vorbereitet sei. Er war seit über 20 Jahren im Unternehmen tätig und verfügte über fundierte Kenntnisse der IT-Umgebung, einschließlich der Backup-Strategie und der Notfallvorsorge.

Das im Südosten der Vereinigten Staaten ansässige Unternehmen nutzte die Nutanix Enterprise Cloud-Plattform. Es hostete den Großteil seiner Anwendungen auf Nutanix und verwaltete mehr als 50 Server, über 10 Millionen Dateien und mehr als 30 TB an Daten. Da das Unternehmen im medizinischen Bereich tätig war, speicherte es zudem zahlreiche Unterlagen, die den HIPAA-Vorschriften unterlagen.

Zum Schutz dieser Daten und Anwendungen verfolgte das Unternehmen einen zweigleisigen Ansatz. Im Front-End-Bereich setzte es Cybersicherheitssoftware ein, um Ransomware-Angriffe zu erkennen und zu verhindern. Für Backups setzte das Unternehmen „HYCU for Nutanix“ ein, um tägliche inkrementelle Backups sowie wöchentliche Vollbackups durchzuführen.

Zudem replizierte das Unternehmen alle seine Daten in ein zweites Rechenzentrum, das mehr als 100 Meilen entfernt lag. Diese Architektur stellte sicher, dass das Unternehmen sowohl lokal als auch aus der Ferne schnell ein Failover durchführen und Daten wiederherstellen konnte. Der COO ahnte nicht, wie gut Ransomware diese Abwehrmaßnahmen durchdringen und sie sogar gegen ihn selbst nutzen konnte.

Warnzeichen für Ransomware

Der Ransomware-Angriff auf das Unternehmen zeigte bis zu seinem Ausbruch kaum Frühwarnzeichen. Erste Warnmeldungen tauchten am Freitag vor Beginn des Angriffs in den Protokollen auf. Die im Unternehmen eingesetzte Cybersicherheitssoftware zeigte Anzeichen verdächtiger Aktivitäten. Allerdings erreichte keine dieser Warnmeldungen ein Ausmaß, das die Aufmerksamkeit der Mitarbeiter auf sich zog oder eine Reaktion auslöste.

Spätere Untersuchungen deckten schließlich die eigentliche Ursache des Angriffs auf. Eine an eine E-Mail angehängte Word-Datei gelangte in das Unternehmen. Darin war ein Makro eingebettet. Beim Öffnen dieser Word-Datei wurde der RYUK-Malware-Virus in die Umgebung eingeschleust, der einen zweigleisigen Angriff auslöste.

In der ersten Phase des Angriffs verbreitete sich die Malware im gesamten Unternehmensnetzwerk, indem sie Datei- und Windows-Server infizierte. Durch diese Infektion wurde eine ausführbare Datei platziert, die in der zweiten Phase aktiv wurde. Der ursprüngliche Virus löschte sich anschließend selbst. Dies erschwerte später die Ermittlung der Angriffsquelle und trug dazu bei, die Herkunft und Identität des Virus zu verschleiern.

Die Hölle bricht los … an einem Sonntag

Die Welt des COO begann an einem Sonntagmorgen gegen 11 Uhr aus den Fugen zu geraten, als der RYUK-Virus aktiv wurde. Da sich niemand im Büro befand, führte er sich mit denselben Sicherheitsberechtigungen aus, die der jeweilige Benutzer auf jedem Gerät besaß. Dies verschaffte dem Virus umfassenden Zugriff auf die Ressourcen des jeweiligen Systems sowie auf das Netzwerk.

„Der Ransomware-Angriff hinterließ nur eine einzige lesbare Datei. Darin war ein Link zur E-Mail-Adresse des Hackers enthalten, um über eine Lösegeldzahlung zu verhandeln.“

Der Angriff setzte sich fort, indem er die mit dem Netzwerk verbundenen sowie die lokal angeschlossenen Laufwerke, auf die er zugreifen konnte, erkannte und verschlüsselte. Anschließend verschlüsselte er alle Dateien und Daten auf dem lokalen Server oder PC. Auf jedem infizierten Gerät hinterließ diese Ransomware nur eine lesbare Datei: eine HTML-Datei. Diese Datei enthielt einen Link zur E-Mail-Adresse des Hackers, an die sich das Opfer wenden konnte, um die Zahlung eines Lösegelds auszuhandeln.

Kein guter Weg nach vorn

Als der Pager des COO losging, schien es bereits zu spät zu sein. Alle Windows-PCs, Laptops, Server und Netzwerkdateien waren verschlüsselt. Erschwerend kam hinzu, dass die im Unternehmen etablierten Prozesse die verschlüsselten Daten an den Notfallstandort replizierten. Dies hinderte das Unternehmen daran, eine Fernwiederherstellung durchzuführen.

Um das Ganze noch schlimmer zu machen, verschlüsselte die Ransomware zudem alle auf gemeinsam genutzten Netzlaufwerken gespeicherten Sicherungsdateien. Obwohl er sich zunehmend hoffnungslos fühlte, prüfte der COO die einzigen vier Möglichkeiten, die ihm zur Verfügung standen.

„Weitere Untersuchungen ergaben, dass der Auftragnehmer, der angeboten hatte, bei der Entschlüsselung der Daten zu helfen, möglicherweise nur eine Tarnung für die Hacker war, die seine Daten verschlüsselt hatten.“

1. Er kontaktierte die E-Mail-Adresse des Hackers über seine eigene anonyme E-Mail-Adresse, um die Höhe des geforderten Lösegelds in Erfahrung zu bringen.
2. Er überprüfte seine Sicherungsbänder, um festzustellen, welche Daten er gegebenenfalls wiederherstellen könnte.
3. Er beauftragte einen Dienstleister, der behauptete, Unternehmen bei der Bewältigung von Ransomware-Angriffen zu unterstützen, indem er ihnen bei der Entschlüsselung ihrer Daten half.
4. Er wandte sich an seinen Backup-Anbieter HYCU, um zu klären, ob dieser
   seinem Unternehmen bei der Wiederherstellung der Daten helfen könne.

Sackgassen

Die Rückmeldungen zu den ersten drei Vorgehensweisen bestätigten seine schlimmsten Befürchtungen. Die Hacker antworteten auf seine E-Mail mit einer Lösegeldforderung in Höhe von 92 Bitcoins (etwa 1 Mio. US-Dollar). Der COO war zwar fast bereit, einen gewissen Betrag zu zahlen, doch 1 Mio. US-Dollar kamen nicht in Frage.

Die Backup-Bänder boten zwar etwas Hoffnung, aber nicht viel. Das Unternehmen sicherte lediglich etwa 60 % seiner Daten auf Band, und dies geschah nur einmal monatlich. Zudem würde es Wochen dauern, die Daten von den Bändern wiederherzustellen und die Anwendungen neu aufzubauen. Der COO betrachtete die Verwendung von Bändern als Wiederherstellungsquelle lediglich als letzten Ausweg und hatte wenig Vertrauen, dass dies im Ernstfall funktionieren würde.

Der mit der Entschlüsselung beauftragte Dienstleister bot keine Beruhigung und ließ einige Alarmglocken läuten. Er verlangte mindestens 10.000 US-Dollar für die Entschlüsselung der Daten – vorausgesetzt, seine Entschlüsselungssoftware würde funktionieren. Weitere Nachforschungen ergaben jedoch, dass der Dienstleister durchaus eine Tarnfirma der Hacker sein könnte, die seine Daten verschlüsselt hatten. Daher schloss er diese Option aus.

HYCU: Der erste Hoffnungsschimmer

Der erste Hoffnungsschimmer zeigte sich am späten Sonntag, als sein Team eine unverschlüsselte Datei auf der HYCU-VM fand. Die Ransomware hatte alle auf den Netzwerk-Filern gespeicherten Backups verschlüsselt. HYCU hatte jedoch eine einzige, vom System generierte Datei auf seiner Host-VM beibehalten, die von der Ransomware weder infiziert noch verschlüsselt worden war.

Der COO und sein Team kontaktierten HYCU kurz nach der Entdeckung dieser unverschlüsselten Datei. Sie wollten herausfinden, ob es eine Möglichkeit gab, diese Datei für die Wiederherstellung zu nutzen.

Eine harte Nacht

Nach der Kontaktaufnahme räumte das HYCU-Supportteam dem Problem höchste Priorität ein. Die Herausforderung bestand darin, dass die auf der HYCU-VM gespeicherte Datei ursprünglich weder für die Wiederherstellung vorgesehen noch entsprechend formatiert war.

Die HYCU-Backup-Software nutzte diese Datei, um Daten zwischenzuspeichern, bevor die auf dem Netzwerkserver gespeicherten Backup-Dateien erstellt wurden. Obwohl sie unverschlüsselt war, war zunächst unklar, ob HYCU auf diese Datei zugreifen und sie für die Wiederherstellung nutzen konnte.

Während die HYCU-Supportmitarbeiter an dem Problem arbeiteten, wurden aus Minuten Stunden. Im Hintergrund wurde das Problem von HYCU von einem Support-Team zum nächsten rund um den Globus weitergeleitet. Auf diese Weise wurde das Problem stets mit frischem Blick angegangen. HYCU zog zudem Mitglieder seiner Entwicklungsabteilung hinzu, um das Problem zu diagnostizieren.

„Der COO hat nie erlebt, dass das HYCU-Supportteam sich geschlagen gegeben hätte. Vielmehr wurde er Zeuge ihrer Entschlossenheit, gemeinsam mit seinem Team so lange an dem Problem zu arbeiten, bis es gelöst war.“

Als der Montag kam, hatte HYCU das Problem diagnostiziert und behoben. HYCU gelang es, diese Datei zu entpacken, auf die darin enthaltenen Daten zuzugreifen und alle VMs des Unternehmens wiederherzustellen.

Unendlich dankbar

Der COO konnte gar nicht in Worte fassen, wie unendlich dankbar er war. HYCU hatte das sprichwörtliche Kaninchen aus dem Hut gezaubert und dabei geholfen, die Daten seines Unternehmens wiederherzustellen. Er erkannte, wie entscheidend es war, dass HYCU ihm diese Datei zur Wiederherstellung zur Verfügung gestellt hatte. Andernfalls hätte es Monate gedauert, bis sich sein Unternehmen vollständig erholt und seine IT-Umgebung wieder aufgebaut hätte.

Das Unternehmen hätte zwar überlebt, doch es wäre ein erheblicher Rückschlag gewesen. Er konnte die potenziellen Verluste des Unternehmens in Bezug auf Geld und Zeit nicht einmal ansatzweise beziffern.

Der COO hat nie erlebt, dass das HYCU-Supportteam sich geschlagen gegeben hätte. Vielmehr wurde er Zeuge ihrer Entschlossenheit, gemeinsam mit seinem Team an dem Problem zu arbeiten und es so lange zu begleiten, bis es gelöst war. Als HYCU die Arbeit abgeschlossen hatte, räumte der COO ein: „Es war ein Wunder, dass wir alle unsere Systeme und Daten zurückerhalten haben.“

Über DCIG

DCIG unterstützt die IT-Branche mit praxisorientierten Analysen, die es den Mitarbeitern in Unternehmen ermöglichen, Technologiebewertungen durchzuführen. DCIG liefert fundierte, aufschlussreiche Analysen und Kommentare von unabhängiger Seite zu IT-Technologien. DCIG entwickelt eigenständig die „DCIG Buyer’s Guides“ und „Top 5 Reports“ und vergibt Lizenzen für den Zugriff darauf. Darüber hinaus erstellt das Unternehmen im Auftrag Inhalte in Form von Blogbeiträgen, Whitepapers für Führungskräfte, Podcasts, Wettbewerbsberichten, Webinaren, Whitepapers und Videos. Weitere Informationen finden Sie unter www.dcig.com.