Sicherheitsforscher schlagen Alarm wegen einer Taktik, die das Akira-Ransomware-Syndikat besonders schwer erkennbar macht: den Missbrauch legitimer Fernwartungs- und Verwaltungssoftware (RMM). Statt sich ausschließlich auf eigene Schadsoftware zu verlassen, setzen Akira-Mitglieder zunehmend auf weit verbreitete, vertrauenswürdige Tools wie TeamViewer und AnyDesk, um in kompromittierten Netzwerken Fuß zu fassen und gleichzeitig Endpoint-Erkennungs- und Reaktionssysteme (EDR) zu umgehen.
Das ist kein neues Konzept in der Welt der Cyberkriminalität, aber Akiras anhaltende und verfeinerte Nutzung dieser Methode unterstreicht ein größeres Problem: Die Software, auf die Unternehmen für legitimen IT-Support vertrauen, kann genauso gut zu einer Hintertür für Angreifer werden – und herkömmliche Sicherheitstools sind oft nicht darauf ausgelegt, den Unterschied zu erkennen.
Warum legitime Remote-Zugriffstools ideale Angriffsvektoren sind
RMM-Tools existieren aus gutem Grund. IT-Abteilungen und Managed Service Provider nutzen sie täglich, um Geräte zu beheben, Updates einzuspielen und Remote-Mitarbeiter zu unterstützen. Genau diese Legitimität macht sie für Ransomware-Betreiber so wertvoll.
Wenn Akira-Mitglieder Tools wie TeamViewer und AnyDesk im Netzwerk eines Opfers installieren oder kapern, sehen die daraus resultierenden Verbindungen oft wie normale administrative Aktivitäten aus und nicht wie bösartiger Command-and-Control-Verkehr. Sicherheitssoftware, die unbekannte ausführbare Dateien oder ungewöhnliche Netzwerk-Signale markiert, lässt diese Verbindungen möglicherweise einfach durch, da die Tools selbst digital signiert, weit verbreitet und selten von Unternehmensrichtlinien blockiert sind.
Dieser Ansatz wird manchmal als "Living off the Land"-Technik bezeichnet, obwohl Angreifer in diesem Fall nicht nur Tools verwenden, die bereits auf einem System vorhanden sind. Sie setzen aktiv vertrauenswürdige Drittanbieter-Software ein, um sich in normale Geschäftsabläufe einzufügen und einen persistenten, wenig auffälligen Kanal zurück ins Netzwerk zu erhalten – selbst nachdem eine erste Eindringung entdeckt und teilweise behoben wurde.
Persistenz, nicht nur Erstzugriff
Was diesen Trend besonders besorgniserregend macht, ist der Persistenz-Aspekt. Ransomware-Gruppen gehen nicht immer sofort von der ersten Kompromittierung zur Verschlüsselung über. Akira-Mitglieder haben ein Muster gezeigt, bei dem sie mehrere Zugangspunkte etablieren, und RMM-Tools geben ihnen eine zuverlässige Möglichkeit, den Zugriff über einen längeren Zeitraum aufrechtzuerhalten, selbst wenn ein Einstiegspunkt geschlossen wird.
Das ist wichtig, weil es die Incident-Response-Kalkulation für Organisationen verändert. Allein das Entfernen bekannter Schadsoftware reicht nicht aus, wenn Angreifer weiterhin ein legitim aussehendes Remote-Zugriffstool auf einem Server oder Arbeitsplatzrechner haben, das nur darauf wartet, reaktiviert zu werden. Sicherheitsteams müssen unerwartete oder unbefugte Installationen von Remote-Zugriffssoftware als ernstes Warnsignal behandeln, nicht als geringfügige Richtlinienverletzung.
Die technische Raffinesse der Gruppe bei der Umgehung von Erkennung wurde bereits dokumentiert. In einem Fall, über den wir in unserer Berichterstattung über den EDR-Umgehungsversuch eines Akira-Mitglieds, der den eigenen Angriff zum Absturz brachte, berichtet haben, fanden Forscher von Huntress heraus, dass die eigenen Bemühungen eines Angreifers, den Endpunktschutz zu deaktivieren, nach hinten losgingen und versehentlich genau den Angriff störten, den sie ausführen wollten. Dieser Vorfall erinnert daran, dass Akiras Methoden zwar fortgeschritten sind, aber nicht unfehlbar – und dass Verteidiger, die genau beobachten, Fehler der Angreifer aufdecken können.
Die Datenschutz-Risiken für Einzelpersonen und Unternehmen
Während Akira-Ransomware in erster Linie Organisationen und nicht einzelne Verbraucher angreift, sind die nachgelagerten Datenschutzauswirkungen erheblich. Wenn Akira erfolgreich Daten eines Unternehmens verschlüsselt und exfiltriert, enthalten diese Daten oft Kundendatensätze, Mitarbeiterinformationen, Finanzdetails und andere personenbezogene Daten von Menschen, die keinen direkten Bezug zur Sicherheitsverletzung haben.
Ransomware-Gruppen wie Akira kombinieren Verschlüsselung zunehmend mit Datendiebstahl und drohen damit, gestohlene Dateien zu veröffentlichen, wenn kein Lösegeld gezahlt wird. Das bedeutet, dass jeder, dessen persönliche Informationen in den Systemen einer kompromittierten Organisation gespeichert sind – sei es als Kunde, Patient oder Mitarbeiter – riskiert, dass seine privaten Daten offengelegt werden, unabhängig davon, wie stark die eigenen persönlichen Sicherheitsgewohnheiten sind.
Was das für Sie bedeutet
Wenn Sie in der IT- oder Sicherheitsabteilung arbeiten, ist diese Entwicklung ein direkter Aufruf, zu prüfen, welche Remote-Zugriffstools in Ihrem Netzwerk autorisiert sind, und auf unbefugte Installationen von Software wie TeamViewer oder AnyDesk zu achten. Unerklärliche Remote-Zugriffstools auf Endpunkten sollten dieselbe Prüfstufe auslösen wie unbekannte Schadsoftware.
Für normale Nutzer und Verbraucher ist die Botschaft indirekter, aber dennoch wichtig. Da Akira-Ransomware-Angriffe personenbezogene Daten preisgeben können, die von Unternehmen gespeichert werden, mit denen Sie interagieren, lohnt es sich, auf Benachrichtigungen über Datenschutzverletzungen von Unternehmen zu achten, mit denen Sie Geschäfte machen, und schnell zu handeln, wenn Ihre Informationen betroffen sind.
Konkrete Handlungsempfehlungen
Organisationen sollten einschränken, welche Remote-Zugriffstools im Netzwerk erlaubt sind, und bei allen anderen Alarm schlagen. Die Überwachung auf RMM-Software, die außerhalb genehmigter IT-Workflows installiert wurde, ist entscheidend, da Angreifer darauf angewiesen sind, dass diese Tools sich in normalen Verkehr einfügen. Multi-Faktor-Authentifizierung für Remote-Zugriffskonten, regelmäßige Audits der installierten Software und eine genaue Prüfung ungewöhnlicher ausgehender Verbindungen tragen alle dazu bei, das Risiko zu verringern, dass Akira-Ransomware oder ähnliche Gruppen stillen Zugriff aufrechterhalten können. Für Einzelpersonen bleibt das Aufmerksamsein auf Benachrichtigungen über Datenschutzverletzungen und die Verwendung einzigartiger Passwörter über Konten hinweg eine der einfachsten Möglichkeiten, die Auswirkungen zu begrenzen, wenn ein Unternehmen, auf das Sie sich verlassen, zum Ziel wird.
