Ransomware greift lange vor der Verschlüsselung an : Citrix Bleed 2, BYOVD und Supply-Chain-Zugänge packen Erpressung in undurchsichtige Zugriffsketten

Auch The Gentlemen zeigt, wie weit Ransomware-Gruppen technische Eskalation und Tarnung treiben. Kaspersky beschreibt eine Go-basierte Backdoor, die Systeminformationen sammelt, an einen externen Server überträgt und Befehle über eine bidirektionale TCP-Verbindung entgegennimmt. Antwortet der Operator mit dem Byte „c“, führt das Implantat Kommandos über „cmd.exe“ aus; bei „s“ wird ein SOCKS-Proxy aufgebaut.

Kaspersky bewertet diese Funktion als Mittel zur Ausweitung der Angriffskette: Die Backdoor könne „Zwei-Wege-Kommunikation herstellen, Befehle ausführen, einen SOCKS-Proxy einrichten und Informationen sammeln“.

Expel beschreibt zudem einen besonders heiklen Angriffstrick: The Gentlemen nutzte eine bislang unbekannte Schwachstelle in dem wenig verbreiteten Treiber ktapi.sys, der zu einer Schnittstelle von Kontron gehört. Bei solchen BYOVD-Angriffen bringen Angreifer einen verwundbaren, aber grundsätzlich legitimen Treiber auf ein System, um tiefere Rechte zu erhalten. Im konkreten Fall gelangte die Gruppe bis auf Kernel-Ebene, also in einen besonders geschützten Bereich von Windows. Von dort aus konnte sie Schutzfunktionen umgehen und Sicherheitsprozesse von Microsoft, ESET, Palo Alto Networks und SentinelOne beenden. Marcus Hutchins von Expel warnt deshalb, BYOVD bleibe „eine enorme Bedrohung für Unternehmen“, weil Angreifer darüber moderne Endpoint-Security-Systeme binnen Sekunden ausschalten können.

Supply Chain Credentials als Ransomware-Treibstoff

Eine weitere Eskalationsstufe zeigt die Partnerschaft zwischen VECT und TeamPCP. Sophos Counter Threat Unit beschreibt sie als Verbindung von Supply-Chain-basierter Zugangsdaten-Diebstahlkampagne und Ransomware-Ausbringung. TeamPCP wurde in den vergangenen Monaten mit Angriffen auf Open-Source-Ökosysteme in Verbindung gebracht, bei denen bösartiger Code in weit verbreitete Pakete und Werkzeuge eingeschleust wurde. Ziel war der Abzug sensibler Daten aus Entwicklungs- und Unternehmenspipelines sowie eine wurmartige Weiterverbreitung.

Nach Einschätzung von Sophos ermöglicht die Kooperation VECT, Ransomware in Organisationen auszubringen, die zuvor über Trivy- und LiteLLM-Supply-Chain-Angriffe kompromittiert wurden. Zwar fanden Check Point und JUMPSEC technische Fehler im VECT-Encryptor: Dateien über 128 KB werden nicht verschlüsselt, sondern dauerhaft zerstört. TeamPCP erklärte daraufhin, diesen Encryptor nie eingesetzt zu haben, und verwies auf den eigenen Locker CipherForce.

Trotz solcher Schwächen sieht Sophos eine neue Qualität: „Die Verbindung aus großflächigem Supply-Chain-Credential-Diebstahl, reifender RaaS-Operation und Mobilisierung in Untergrundforen bildet ein beispielloses Modell industrialisierter Ransomware-Ausbringung.“

Persistentes Risiko durch gestohlene Zugänge

Das Federal Bureau of Investigation (FBI) warnt in einem Flash Alert, TeamPCP habe sich auch an Erpressung und Kooperationen mit anderen Akteursgruppen beteiligt, Opfer öffentlich benannt und mit der Veröffentlichung gestohlener Daten gedroht. Besonders kritisch ist der langfristige Wert kompromittierter Zugangsdaten: „Betroffene Organisationen sollten exfiltrierte Daten und Zugangsdaten als dauerhaftes Risiko behandeln“, so das FBI.

Für Unternehmen ergibt sich daraus eine klare technische Konsequenz: Ransomware-Abwehr darf nicht erst dort beginnen, wo die Verschlüsselung startet. Wer nur auf den eigentlichen Encryptor wartet, erkennt den Angriff meist zu spät. Moderne Ransomware-Kampagnen bestehen aus mehreren vorgelagerten Phasen: dem Einstieg über Schwachstellen oder gültige Zugangsdaten, der Ausbreitung im Netzwerk, dem Sammeln weiterer Credentials, der Deaktivierung von Schutzsystemen, dem Abfluss sensibler Daten und erst danach der Verschlüsselung oder Zerstörung von Dateien.

Entsprechend muss Verteidigung früher ansetzen. Besonders wichtig sind gehärtete und schnell gepatchte Gateways, konsequent durchgesetzte Multi-Faktor-Authentifizierung, strenge Kontrolle von VPN- und Administratorkonten sowie eine genaue Überwachung legitimer RMM-Werkzeuge. Gerade weil Angreifer Fernwartung, Dateiübertragung oder Cloud-Tunnel bewusst zweckentfremden, reicht es nicht, nur nach eindeutig schädlicher Malware zu suchen.

Hinzu kommen technische Kontrollen gegen BYOVD-Angriffe, etwa durch Treiber-Blocklisten, Endpoint-Regeln und die Einschränkung unnötiger Kernel-naher Komponenten. Nach jedem Vorfall sollten Zugangsdaten, Tokens und Schlüssel schnell rotiert werden, weil kompromittierte Credentials oft noch lange weiterverkauft oder erneut missbraucht werden. Ebenso wichtig sind manipulationssichere Protokolle, zentrale Telemetrie und eine klare Sicht auf Softwarelieferketten, Abhängigkeiten und Build-Umgebungen.

Die zentrale Lehre lautet: Die eigentliche Ransomware ist heute häufig nur noch der letzte Befehl einer bereits weit fortgeschrittenen Angriffskette. Wer diese Kette erst am Ende erkennt, hat wichtige Chancen zur Eindämmung bereits verpasst.

Die folgende Tabelle zeigt zentrale Phasen moderner Ransomware-Angriffsketten – vom Erstzugriff über Tarnung und Datenabfluss bis zur Verschlüsselung – sowie passende Schutzmaßnahmen für Unternehmen: