Der jüngste Ransomware-as-a-Service-Angriff lässt das bekannte Einzelhandelsunternehmen, Kmart, mit Serviceausfällen und einem kompromittierten Active Directory.
Nachdem die Ransomware „Maze“ im vergangenen Monat „in den Ruhestand“ gegangen ist, sind viele ihrer Partner zu dem neuen Akteur auf dem Ransomware-Markt, „Egregor“, gewechselt. Benannt nach einem okkulten Begriff, der die kollektive Energie oder Kraft einer Gruppe von Individuen bezeichnet (was angesichts des Partnermodells der Ransomware durchaus passend ist), tritt „Egregor“ in die Fußstapfen von „Maze“ und nutzt sowohl Verschlüsselung als auch Datendiebstahl und Erpressung als Mittel, um die erfolgreiche Zahlung des Lösegelds sicherzustellen.
Laut dem Angriffsbericht bei Bleeping Computerbestätigt die Lösegeldforderung, dass die Active-Directory-Domäne von Kmart im Rahmen des Angriffs kompromittiert wurde. Zwar wurden keine konkreten Details genannt, doch lassen sich auf der Grundlage früherer ähnlicher Angriffe, bei denen Maze, Ryukund „Save the Queen“ jeweils das Active Directory kompromittierten und nutzten, um die Ransomware-Nutzlast auf so viele Systeme wie möglich zu verbreiten. Jede dieser Varianten erlangte erweiterte Zugriffsrechte auf das Active Directory und nahm gezielte böswillige Änderungen vor. Dies bedeutet, dass im Verlauf des Angriffs mindestens ein Konto mit Administratorrechten für Teile oder das gesamte Active Directory kompromittiert wurde und ein Teil des Active Directory letztendlich unter der Kontrolle der Angreifer steht, unsicherem Zustand.
Dies ist in mehrfacher Hinsicht beunruhigend:
1. Active Directory hätte nicht anfällig sein dürfen – Wir alle wissen, dass Active Directory auch heute noch für einen wesentlichen Teil der Unternehmen als primärer zentraler Identitätsspeicher dient – selbst für diejenigen, die eine hybride Identitätsstrategie verfolgen. Die Tatsache, dass die „Domäne“ kompromittiert wurde, deutet zudem darauf hin, dass Active Directory nach wie vor ein Schlüsselelement des Netzwerks von Kmart ist. Active Directory ist häufig der Dreh- und Angelpunkt bei Ransomware-Angriffen, die sich rasch im Netzwerk ausbreiten. Ist Active Directory einmal kompromittiert, ist der Weg zu jedem verbundenen System in der Umgebung leider so gut wie frei. Da Active Directory so häufig ausgenutzt wird und gleichzeitig das Rückgrat des Unternehmens bildet, bedarf es eines besonderen Schutzes. Zumindest geht es dabei um die Überwachung von Änderungen und die Ausgabe entsprechender Warnmeldungen. Im Idealfall sollte es zudem eine Möglichkeit geben, Änderungen an bestimmten Konten mit erweiterten Rechten, Gruppen und anderen Objekten zu schützen, indem Workflow-Genehmigungen und/oder automatisierte Rollbacks ausgelöst werden.
2. Kmart hatte Glück – Aus allen Berichten geht hervor, dass offenbar nicht der gesamte Betrieb von Kmart lahmgelegt wurde. Dies bedeutet wahrscheinlich, dass Active Directory zwar kompromittiert, aber nicht außer Betrieb gesetzt wurde, sodass alle domänenabhängigen Dienste in der gesamten Gesamtstruktur weiterhin funktionieren konnten. Es gab jedoch Fälle, in denen Unternehmen nicht so viel Glück hatten, wie beispielsweise beim NotPetya-Angriff auf Maersk im Jahr 2018 , bei dem buchstäblich jeder einzelneDomänencontroller außer einem Offline-Server, den man in einer Außenstelle in Ghana gefunden hatte, außer Betrieb gesetztwurde. Es ist fahrlässig anzunehmen, dass ein Cyberangriff Active Directory niemals lahmlegen würde; die Fähigkeit, es einfach – und vor allem schnell – wiederherzustellen, ist von entscheidender Bedeutung.
3. Die Wiederherstellung eines als sicher bekannten Zustands von Active Directory war wahrscheinlich nicht einfach – In vielen Unternehmen bleiben böswillige Änderungen am Active Directory möglicherweise unbemerkt, werden jedoch sicherlich lange genug geduldet, bis sich die böswilligen Auswirkungen bemerkbar machen. Wenn Sie nicht wissen, was im Active Directory geändert wurde, wie können Sie dann wissen, was wiederhergestellt oder rückgängig gemacht werden muss, um böswillige Änderungen zu beheben? Wurden neue gefälschte Benutzerkonten angelegt? Änderungen bei der Mitgliedschaft in der Gruppe „Domain Admins“? Wie sieht es mit Änderungen an Gruppenrichtlinien aus, durch die Domänencontrollern oder allen Arbeitsstationen Rechte zum „Auftreten als Betriebssystem“ gewährt wurden? Die Liste ließe sich endlos fortsetzen. Kurz gesagt: Ohne den Schutz von Active Directory lassen sich vorgenommene Änderungen nicht ohne Weiteres rückgängig machen, was einen Wiederherstellungsaufwand erfordert, der wahrscheinlich nicht so einfach sein wird wie „die Domäne auf den Stand von gestern Mittag zurückzusetzen“.
Egregor ist ein relativ neuer Akteur in der Szeneund wir erwarten, dass sein Name in den kommenden Monaten noch häufiger in den Schlagzeilen auftauchen wird. Sie wissen bereits, dass, wenn Active Directory abstürzt, auch der Rest Ihres Netzwerks abstürzen kann. Der jüngste Egregor-Ransomware-Angriff auf Kmart sollte Sie also daran erinnern, dass Active Directory im Rahmen Ihrer Cybersicherheitsstrategie besondere Aufmerksamkeit erfordert. Schützen Sie es intensiv und halten Sie Bedrohungsakteure fern. Zweitens: Gehen Sie davon aus, dass selbst wenn Sie eine Strategie der Tiefenverteidigung nur für Active Directory einrichten, es trotzdem eines Tages einen Angriff geben wird, derwirdSie müssen dann in der Lage sein, Active Directory wieder in den Zustand vor dem Angriff zu versetzen - sei es eine einzelne Änderung, der gesamte Forest oder etwas dazwischen.
