Spirals-Ransomware legt Netzwerke in weniger als 24 Stunden lahm

Eine neu entdeckte Ransomware-Gruppe namens Spirals zeigt, wie schnell sich ein Cyberangriff entwickeln kann. Bei einem kürzlich untersuchten Vorfall übernahmen die Angreifer die Kontrolle über ein Unternehmensnetzwerk, breiteten sich auf mehrere Systeme aus, stahlen sensible Daten und verschlüsselten die gesamte Umgebung innerhalb von weniger als 24 Stunden.

Der Vorfall verdeutlicht, dass moderne Ransomware-Gruppen nicht mehr mehrere Tage damit verbringen, die IT-Umgebung ihrer Opfer auszukundschaften. Stattdessen wechseln sie innerhalb weniger Stunden vom ersten Eindringen zur vollständigen Verschlüsselung und lassen Sicherheitsteams kaum Zeit, den Angriff zu erkennen und zu stoppen.

Angreifer handelten ohne Verzögerung

Der Angriff begann, nachdem sich die Cyberkriminellen über einen öffentlich erreichbaren Webserver Zugang verschafft hatten.

Unmittelbar nach dem Eindringen sicherten sie ihren Zugriff und verschafften sich höhere Berechtigungen. Sie aktivierten den Fernzugriff, legten Administratorkonten an und sammelten Anmeldedaten kompromittierter Windows-Systeme.

Mit den gestohlenen Zugangsdaten übernahmen sie rasch die Kontrolle über weitere Geräte. Innerhalb weniger Stunden hatten sie die Voraussetzungen geschaffen, um die Ransomware im gesamten Netzwerk auszurollen.

Sicherheitslösungen wurden ausgeschaltet

Bevor die Angreifer mit der Verschlüsselung begannen, nahmen sie gezielt die Sicherheitslösungen des Unternehmens ins Visier.

Sie deaktivierten Schutzfunktionen, schalteten Microsoft Defender ab und stoppten Dienste von Backup-Software, Virtualisierungsplattformen und Datenbankservern.

Gleichzeitig richteten sie mehrere alternative Zugangswege ein. Dadurch konnten sie den Zugriff aufrechterhalten, selbst wenn eine Verbindung entdeckt oder blockiert wurde.

Nachdem sie die Sicherheitsmaßnahmen geschwächt hatten, starteten sie die letzte Phase des Angriffs.

Spirals setzt auf schnelle Verschlüsselung

Die Forscher stellten fest, dass Spirals in der Programmiersprache Rust entwickelt wurde, die unter Ransomware-Entwicklern immer beliebter wird.

Die Schadsoftware verschlüsselt große Dateien nicht vollständig. Stattdessen verwendet sie eine sogenannte intermittierende Verschlüsselung, bei der nur ausgewählte Bereiche einer Datei verschlüsselt werden. Trotzdem bleiben die Dateien unbrauchbar.

Mit dieser Methode können Angreifer große Unternehmensnetzwerke deutlich schneller verschlüsseln als mit herkömmlichen Verfahren.

Um möglichst unauffällig zu bleiben, tarnt sich die Ransomware außerdem als legitimer Windows-Prozess und nutzt administrative Werkzeuge, die bereits in vielen Unternehmensumgebungen vorhanden sind, um sich weiter auszubreiten.

Datendiebstahl erhöht den Druck auf die Opfer

Die Verschlüsselung stellte nur einen Teil des Angriffs dar.

Bevor die Angreifer die Systeme sperrten, kopierten sie sensible Unternehmensdaten. Anschließend hinterließen sie eine Lösegeldforderung, in der sie damit drohten, die gestohlenen Informationen zu veröffentlichen, falls das Unternehmen nicht innerhalb von sechs Tagen Verhandlungen aufnimmt.

Diese Form der doppelten Erpressung gehört inzwischen zum Standard moderner Ransomware-Gruppen. Selbst Unternehmen, die ihre Systeme aus Backups wiederherstellen, müssen damit rechnen, dass vertrauliche Daten veröffentlicht werden.

Schnelle Angriffe erfordern schnellere Abwehrmaßnahmen

Der Fall Spirals zeigt, wie rasant sich Ransomware-Angriffe weiterentwickeln.

Cyberkriminelle führen heute Operationen innerhalb weniger Stunden durch, für die sie früher mehrere Tage benötigten. Dadurch gewinnt die frühzeitige Erkennung eines Angriffs weiter an Bedeutung.

Unternehmen sollten öffentlich erreichbare Systeme absichern, ungewöhnliche Administratoraktivitäten überwachen, privilegierte Konten besonders schützen und Backups konsequent von Produktivsystemen trennen.

Je schneller sich Ransomware entwickelt, desto wichtiger wird die Fähigkeit, einen Angriff bereits in seiner frühen Phase zu erkennen und einzudämmen.