Fallstudie : Chronologie eines Datendiebstahls : Datendiebstahl im Mittelstand: G DATA rekonstruiert einen Angriff über eine gefälschte Bewerbung
Das Computer Security Incident Response Team (CSIRT) von G DATA untersuchte vor wenigen Monaten einen Angriff auf ein mittelständisches Unternehmen, bei dem Täter mehrere Terabyte an Daten kopierten, um es zu erpressen. Entdeckt wurde er nicht durch interne Alarme, sondern durch einen Hinweis der Polizei. Der Autor schildert die Angriffskette von der Erstinfektion bis zum Datenabfluss.
TL;DR
- Eine gefälschte Bewerbung führte zur ersten Infektion.
- Identische lokale Administrator-Passwörter erleichterten weitere Zugriffe.
- Die Täter archivierten Unternehmensdaten und übertrugen sie nachts in einen Cloudspeicher.
- Ein Polizeihinweis löste die Untersuchung aus; die Internettrennung unterbrach weitere Übertragungen.
Der Vorfall begann ungewöhnlich. Nicht interne Monitoring-Systeme schlugen Alarm, sondern die Polizei informierte das betroffene Unternehmen über verdächtigen Netzwerkverkehr. Konkret bestand der Verdacht, dass Systeme mit einer bekannten Angreifer-Infrastruktur kommunizierten. Unter den IT-Fachkräften gab es zunächst gegensätzliche Einschätzungen. Die Verantwortlichen hielten einen Angriff für unwahrscheinlich – unter anderem, weil keine offensichtlichen Meldungen vorlagen. Diese Reaktion ist nicht untypisch. Denn fehlende oder übersehene Alarme werden häufig als Indikator für Sicherheit interpretiert, obwohl sie in vielen Fällen lediglich eine mangelnde Sichtbarkeit widerspiegeln.
Nachdem das Unternehmen das G DATA CSIRT eingeschaltet hatte, bewerteten die Fachleute die Lage. Ihre Empfehlung lautete, die Internetverbindung umgehend zu trennen, um den aktiven Zugriff der Angreifer zu unterbrechen. Anschließend forderte das CSIRT sogenannte Triage-Daten an, um die IT-forensische Analyse zu starten. Dabei geht das Team minimalinvasiv vor und kopiert nicht die gesamten Festplatten. Forensisch relevante Informationen wie Logdateien, Registry-Einträge und Prozessdaten erfasst das Programm Velociraptor. Schon bald deutete alles auf einen mehrstufigen Angriff hin, der bereits die Kernsysteme kompromittiert hatte. Außerdem hatten die Täter mehrere Terabyte an unternehmenskritischen Daten exfiltriert.
Wie blieb die Schadsoftware dauerhaft aktiv?
In der frühen Analysephase stieß das Team auf mehrere Auffälligkeiten. Besonders ins Auge fiel eine manipulierte „dllhost.exe“-Datei, die sich als legitimer Windows-Prozess tarnte. Tatsächlich kommunizierte sie jedoch aktiv mit einer Command-and-Control-(C2)-Infrastruktur der Täter. Diese Datei wurde über eine geplante Aufgabe regelmäßig gestartet – ein klassischer Mechanismus zur Sicherstellung der Persistenz. Solche Tasks dienen Angreifern dazu, ihre Schadsoftware dauerhaft im System zu verankern, ohne sofort aufzufallen. Die IT-Forensik identifizierten eine bislang unbekannte C2-IP und lieferte damit einen Ermittlungsansatz für die Strafverfolgungsbehörden. Bereits zu diesem Zeitpunkt deutete vieles darauf hin, dass es sich nicht um einen isolierten Vorfall handelte, sondern um eine koordinierte Kampagne mit mehreren Opfern der gleichen Branche.
Die stille Expansion
Ein zentraler Bestandteil der IT-forensischen Analyse war die Rekonstruktion der lateralen Bewegung innerhalb der Unternehmens-IT. Dabei zeigte sich ein Muster, das sich nur selten so eindeutig rekonstruieren lässt. Die Angreifer nutzten stark verschleierte PowerShell-Skripte, um Schadcode im Arbeitsspeicher auszuführen. Diese Skripte enthielten Base64-kodierte und zusätzlich XOR-verschlüsselte Inhalte, die erst zur Laufzeit entschlüsselt wurden. Ziel war es, möglichst wenige Spuren auf der Festplatte zu hinterlassen.
Auffällig war zudem die Nutzung legitimer Prozesse wie „dllhost.exe“ und „ping.exe“. Diese Prozesse gehören zur Standardausstattung von Windows und wirken auf den ersten Blick unverdächtig. In der IT-forensischen Analyse zeigten sie jedoch ungewöhnliche Aktivitätsmuster, etwa erhöhte CPU-Auslastung oder unbekannte Netzwerkverbindungen.
Die IT-Forensik rekonstruierte das Vorgehen der Angreifer mithilfe von Event-Logs und User-Access-Logging-(UAL)-Daten, die Anmeldevorgänge über längere Zeiträume speichern. Schritt für Schritt ließ sich so nachvollziehen, von welchen Systemen aus die Täter weitere Teile der IT-Infrastruktur kompromittiert hatten. Das Ergebnis legte eine Art Bewegungsdiagramm offen: Spuren auf kompromittierten Servern zeigten immer wieder auf ein zentrales Client-System. Dieses fungierte offenbar als Ausgangspunkt, um große Teile zu infiltrieren.
Kompromittierte Passwörter als Türöffner
Besonders aufschlussreich war die Analyse der verwendeten Zugangsdaten. Die Angreifer nutzten gezielt lokale Administrator-Konten, deren Passwörter innerhalb bestimmter Systemgruppen identisch waren. Dieses Konzept gruppenweise identischer Passwörter wird häufig eingesetzt, um die Administration zu vereinfachen. Es erleichtert die Verwaltung, schafft jedoch gleichzeitig ein erhebliches Risiko. Sobald ein Passwort kompromittiert ist, können Angreifer potenziell auf alle Systeme dieser Gruppe zugreifen.
Es stellte sich heraus, dass das Domain-Administrator-Passwort kompromittiert war. Allerdings nutzten die Angreifer dieses Konto offenbar nicht direkt, sondern arbeiteten sie sich über lokale Administratoren vor. Eine plausible Erklärung liefert der Einsatz von Tools wie „Rubeus“, mit denen sich gecachte Anmeldeinformationen aus dem Speicher auslesen lassen. In solchen Szenarien reicht oft der Hash eines Passworts aus, um sich weiter im Netzwerk zu authentifizieren – ein klassischer Pass-the-Hash-Angriff.
Gut getarnte Schadsoftware
Die IT-forensische Analyse zeigte, wie technisch ausgefeilt die Cyberkriminellen vorgingen. Im Kern nutzten die Angreifer gezielt ein legitimes Windows-Tool. Durch sogenanntes DLL-Side-Loading wurde beim Start dieser Anwendung eine manipulierte Bibliothek geladen. Diese enthielt den eigentlichen Schadcode und übernahm die Kontrolle über den Prozess. Der Vorteil dieses Ansatzes: Sicherheitslösungen sehen zunächst eine legitime Anwendung, während der schadhafte Teil im Hintergrund ausgeführt wird.
Die Schadsoftware selbst war mehrstufig aufgebaut. Nach dem ersten Start entschlüsselte und startete sie einen verschlüsselten Payload. Anschließend wurden weitere Module nachgeladen und ausgeführt. Die Kommunikation erfolgte über verschlüsselte Verbindungen mit der Angreifer-Infrastruktur, teilweise über WebSockets. Die Schadsoftware verfügte über zahlreiche Funktionen: Sie konnte Dateien übertragen, Screenshots erstellen, Tastatureingaben protokollieren, Event-Logs manipulieren oder zusätzliche Prozesse starten. Besonders kritisch ist die Möglichkeit, Protokollierungsdienste zu deaktivieren. Dadurch verlieren Unternehmen wichtige IT-forensische Daten – oft genau in der Phase, in der sie am dringendsten benötigt werden.
Klar orchestrierte Exfiltration
Der gravierendste Schaden entstand nicht durch die Kompromittierung selbst, sondern durch die anschließende Daten-Exfiltration. Auslöser für die Entdeckung war eine scheinbar unspektakuläre Monitoring-Meldung. Bei einem Server war in der Nacht eine ungewöhnlich hohe Netzwerkaktivität registriert worden. Diese Information erwies sich als entscheidender Hinweis.
Bei der Analyse zeigte sich, dass die Angreifer systematisch Daten gesammelt und in Archive verpackt hatten. Dafür nutzten sie WinRAR. Anschließend luden die Angreifer die Archive mit dem Kommandozeilentool ‚AzCopy‘ in einen Azure-Cloudspeicher hoch.
Dieses Vorgehen war bemerkenswert strukturiert. Über mehrere Tage hinweg wurden jede Nacht Daten übertragen – immer im gleichen Zeitfenster zwischen Mitternacht und den frühen Morgenstunden. Insgesamt entstanden 231 Archive, von denen der Großteil erfolgreich exfiltriert wurde. Lediglich 27 Archive blieben durch die rechtzeitige Internettrennung im Netzwerk.
Die Gesamtmenge der betroffenen Daten von rund 2,5 Terabyte verdeutlicht die Dimension des Angriffs. Betroffen waren vertrauliche und unternehmenskritische Daten.
Gefälschte Bewerbung als erster Zugang zum Netzwerk
Die Fachleute verfolgten den Angriff bis zu einem einzelnen Rechner zurück. Dort wurde die Ursache für die erste Infektion gefunden: eine präparierte Datei, die der Nutzer im Rahmen eines Bewerbungsprozesses ausgeführt hatte. Der Angreifer hatte sich als Bewerber ausgegeben, einen Lebenslauf über einen Cloud-Link bereitgestellt und das Passwort telefonisch übermittelt. Die Datei selbst war so gestaltet, dass sie wie ein PDF wirkte, tatsächlich jedoch eine ausführbare Datei war. (siehe auch: Binance-Hack: Gefälschte Jobinterviews als Einfallstor)
Die Schadsoftware prüfte beim Start sogar, ob bestimmte Antivirenlösungen aktiv waren, und passte ihr Verhalten entsprechend an. In diesem Fall wurde sie erfolgreich ausgeführt. Dieses Vorgehen zeigt, wie ausgefeilt Social Engineering inzwischen ist. Denn die Täter hatten zudem ein gefälschtes LinkedIn-Profil erstellt und damit die Glaubwürdigkeit des Kandidaten untermauert. So wurde technische Täuschung mit glaubwürdiger Kommunikation kombiniert und gezielt das menschliche Verhalten ausgenutzt.
Erpressung ohne Verschlüsselung: Was der Fall zeigt
Der vorliegende Angriff steht exemplarisch für eine Entwicklung, die sich in den letzten Jahren deutlich verstärkt hat. Angreifer agieren zunehmend arbeitsteilig, nutzen legitime Werkzeuge und setzen auf leise, präzise Operationen statt auf sichtbare Zerstörung.
Die fehlende Verschlüsselung ist dabei kein Zufall, sondern eine strategische Entscheidung. Daten sind oft das wertvollere Druckmittel – insbesondere in Branchen, in denen Vertraulichkeit essenziell ist. Für Unternehmen verschieben sich dadurch die Anforderungen an die IT-Sicherheit. Es reicht nicht mehr aus, auf klassische Schadsoftware-Erkennung zu setzen. Entscheidend ist die Fähigkeit, ungewöhnliche Muster zu erkennen – sei es im Anmeldeverhalten, in der Prozessausführung oder im Datenverkehr.
Impulse für die Sicherheitsstrategie
Die wichtigste Erkenntnis lässt sich einfach formulieren: Ein einzelner erfolgreicher Einstieg reicht aus, um eine komplexe Angriffskette auszulösen. Der Fall wirft einige grundlegende Fragen auf, die sich Verantwortliche stellen sollten:
- Wie sichtbar sind Datenbewegungen im eigenen Netzwerk?
- Welche Rolle spielt das Identitätsmanagement, insbesondere bei administrativen Konten?
- Und wie gut sind Mitarbeitende auf glaubwürdige Social-Engineering-Angriffe vorbereitet?
Entscheidend ist nicht, ob ein Angriff stattfindet, sondern wie schnell er erkannt und gestoppt wird.
Autor
Leonard Rapp ist Security Engineer (DFIR – Digital Forensics and Incident Response) bei G DATA Advanced Analytics.