Erstmals ist die Ransomware der heute als "Storm-0501" bekannten Gruppe im Jahr 2021 aufgefallen. Sie hatte es auf kritische IT-Infrastrukturen in Nordamerika abgesehen. Es gelang ihr, Server von öffentlichen Einrichtungen zu infizieren und Datenbereiche zu verschlüsseln. Die Angreifer traten dann über Social-Media-Kanäle an die Öffentlichkeit und boten gegen Lösegeld Schlüssel zur Dechiffrierung an.

Es wurde ein mehrstufiger Angriff von Storm-0501 in Hybrid-Cloud-Umgebungen beobachtet, berichtet Microsoft in seinem Securityblog. Es handelt sich dabei um eine IT-Infrastruktur, die private Cloud-Dienste mit öffentlichen kombiniert sowie den Austausch von Daten und Anwendungen ermöglicht.

Auf Daten der US-Regierung beziehungsweise Behördendaten sowie Daten von Unternehmen aus dem Fertigungs- und Transportbereich sowie von Strafverfolgungsbehörden in den USA zielten die jüngsten Angriffe ab. Zu den Cloud-Umgebungen verschafften sich die Angreifer Zugang, indem sie unsichere Anmeldeinformationen privilegierter Konten ausnutzten.

Laut Microsoft heißt es: "Storm-0501 nutzte die Administratorrechte auf den lokalen Geräten, die beim ersten Zugriff kompromittiert worden waren, und versuchte, auf verschiedene Weise Zugriff auf weitere Konten innerhalb des Netzwerks zu erhalten". "Die Malware nutzte in erster Linie das SecretsDump-Modul von Impacket, das Anmeldeinformationen über das Netzwerk extrahiert, und wandte es auf eine große Anzahl von Geräten an, um Anmeldeinformationen zu erhalten". Um auf noch mehr Geräte zuzugreifen und dadurch weitere Login-Daten zu extrahieren, nutzen die Angreifer die kompromittierten Anmeldeinformationen.

Microsoft weiter: "Sobald die Angreifer ausreichende Kontrolle über das Netzwerk erlangten und vertrauliche Dateien erfolgreich extrahierten sowie sich in der Cloud-Umgebung bewegen konnten, setzten sie ihre Ransomware im gesamten Unternehmen ein".

Im Blogbeitrag stellt Microsoft eine Reihe von Indikatoren bereit, die Hinweise darauf geben, ob eine Kompromittierung vorliegt oder nicht, um eigene Netzwerke und Cloud-Umgebungen abzusichern. Microsoft verweist dabei auf die aktuellen Sicherheitsforschungsergebnisse im Microsoft Threat Intelligence Blog.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE