N0n

Taktiken & Vorgehen

Der Zugang zu den Zielumgebungen erfolgt über gültige Konten (Valid Accounts), die zugleich zur dauerhaften Verankerung im Netzwerk genutzt werden. Ergänzend wird Persistenz über automatisch startende Mechanismen beim Boot- oder Anmeldevorgang (Boot or Logon Autostart Execution) hergestellt. Die Ausführung der Schadkomponenten erfolgt über Kommandozeilen- und Skript-Interpreter (Command and Scripting Interpreter), wobei Dateien und Informationen verschleiert werden (Obfuscated Files or Information), um der Erkennung zu entgehen. Sicherheitswerkzeuge werden deaktiviert oder manipuliert (Disable or Modify Tools). Die seitliche Ausbreitung im Netzwerk erfolgt über Remote-Dienste, insbesondere das Remote Desktop Protocol. Vor der eigentlichen Wirkung werden Daten an zentraler Stelle zusammengeführt (Data Staged). In der Schadensphase werden Daten verschlüsselt (Data Encrypted for Impact), Dienste gestoppt (Service Stop) und Wiederherstellungsmechanismen des Systems unterbunden (Inhibit System Recovery).

Schutzmaßnahmen

Konten sollten konsequent mit Mehr-Faktor-Authentisierung abgesichert und auf auffällige Anmeldungen hin überwacht werden, um den Missbrauch gültiger Zugangsdaten zu erschweren. Remote-Desktop-Zugänge sollten nicht direkt aus dem Internet erreichbar sein, sondern über VPN und strikte Segmentierung abgeschirmt werden. Die Ausführung von Skripten und Kommandozeilen-Interpretern sollte eingeschränkt, protokolliert und auf verschleierte Befehlsketten hin ausgewertet werden. Autostart-Einträge und Anmeldemechanismen sollten regelmäßig auf unberechtigte Änderungen geprüft werden. Sicherheitslösungen sollten manipulationsgeschützt betrieben werden, damit deren Abschalten auffällt. Ungewöhnliche Datensammlungen an zentralen Ablageorten sowie das Stoppen von Diensten oder das Löschen von Schattenkopien sollten alarmieren.