Wie die Vice-Society-Ransomware OneDrive für Datendiebstahl missbrauchte

Ein vertrautes Cloud-Tool, das zu einem Exfiltrationskanal wurde

Als Incident-Responder von Sygnia einen Doppelerpressungs-Ransomware-Angriff untersuchten, stießen sie auf etwas, das jeden beunruhigen sollte, der sich für Geschäftsabläufe auf Cloud-Speicher verlässt: Die Angreifer hinter dem Eindringen, identifiziert als die Ransomware-Gruppe Vice Society, hatten Microsoft OneDrive als ihren primären Kanal zum Stehlen von Unternehmensdaten genutzt. Anstatt maßgeschneiderte Exfiltrations-Malware einzusetzen, die Alarme auslösen könnte, verließen sich die Bedrohungsakteure auf ein Tool, dem fast jede Organisation bereits vertraut und das sie auf die Whitelist gesetzt hat.

Doppelerpressung ist zum Standard-Playbook großer Ransomware-Operationen geworden. Angreifer verschlüsseln nicht nur Dateien und fordern ein Lösegeld für den Entschlüsselungsschlüssel. Sie stehlen auch zuerst sensible Daten und drohen dann, sie öffentlich zu machen, wenn das Opfer nicht ein zweites Mal zahlt. Diese Taktik ist in jüngsten Vorfällen immer wieder aufgetaucht, einschließlich der laufenden LockBit-5.0-Doppelerpressungskampagne, die weiterhin Organisationen weltweit trifft. Was den Fall Vice Society bemerkenswert macht, ist nicht das Erpressungsmodell selbst, sondern die Methode, mit der gestohlene Daten leise aus dem Unternehmen bewegt wurden.

Warum das Verstecken im OneDrive-Verkehr so gut funktioniert

Die meisten Unternehmenssicherheitstools sind darauf ausgelegt, ungewöhnliche ausgehende Verbindungen, unbekannte IP-Adressen oder nicht erkannte Anwendungen zu kennzeichnen, die Kontakt zum Internet aufnehmen. OneDrive löst diese Alarme nicht aus, weil es ein legitimer, weit verbreiteter Microsoft-Dienst ist, den Sicherheitsteams in der Regel standardmäßig zulassen. Indem sie gestohlene Dateien über OneDrive-Synchronisierungsaktivitäten leiteten, konnten die Betreiber von Vice Society ihren Exfiltrationsverkehr mit normaler, alltäglicher Cloud-Nutzung vermischen.

Dies ist die Kernlektion aus Sygnias forensischer Untersuchung: Angreifer haben zunehmend nicht dadurch Erfolg, dass sie technisch Neuland betreten, sondern indem sie das Vertrauen missbrauchen, das Organisationen bereits in Mainstream-Plattformen setzen. Dieses Muster zeigt sich auch anderswo in der Bedrohungslandschaft. Eine ähnliche Dynamik spielte sich ab, als bösartiger Code, der in einer kompromittierten VS-Code-Erweiterung versteckt war zur Entwendung von Tausenden von Repositorys führte, wiederum weil ein vertrauenswürdiges Entwicklertool der Vektor war und nicht ein offensichtlich verdächtiges. Wenn der Zustellmechanismus routinemäßig aussieht, wird die Erkennung viel schwieriger und das Zeitfenster für Angreifer, unentdeckt zu operieren, verlängert sich.

Luna Moth: Eine andere Bedrohung, derselbe Fokus auf Unternehmensdaten

Sygnias Team kennzeichnete auch einen separaten Bedrohungsakteur, den es sich lohnt, für sich genommen zu verstehen: Luna Moth. Anders als der Ransomware-und-Leak-Ansatz von Vice Society ähneln die Taktiken von Luna Moth eher falschen Abo-Betrügereien, der Art von Social Engineering, die Opfer dazu bringt zu glauben, sie hätten sich für eine wiederkehrende Gebühr angemeldet, die sie kündigen müssen. Doch das Endziel führt zurück zu demselben Ziel, das Ransomware-Gruppen so gefährlich macht: Unternehmensdaten. Luna Moth nutzt diesen trügerischen Einstiegspunkt, um Zugang zu sensiblen Geschäftsinformationen zu erhalten, selbst ohne notwendigerweise Verschlüsselungs-Malware einzusetzen.

Der Unterschied ist für Verteidiger wichtig. Nicht jeder ernsthafte Datendiebstahl-Vorfall sieht aus wie ein klassischer Ransomware-Angriff mit Lösegeldforderung und gesperrten Dateien. Einige Gruppen überspringen die Verschlüsselung ganz und gehen direkt zur Erpressung auf Basis gestohlener Daten über, was bedeutet, dass Sicherheitsteams sich nicht ausschließlich auf die Erkennung von Verschlüsselungsverhalten verlassen können, um eine aktive Sicherheitsverletzung zu erwischen.

Was das für Sie bedeutet

Für IT- und Sicherheitsteams ist dieser Fall eine Erinnerung daran, dass das Zulassen eines Dienstes wie OneDrive auf der Whitelist nicht dasselbe ist wie dessen Absicherung. Die Überwachung sollte sich auf ungewöhnliche Datenmengen erstrecken, die durch genehmigte Cloud-Anwendungen fließen, nicht nur auf unbekannte Ziele. Data-Loss-Prevention-Tools, auf Cloud-Synchronisierungsverhalten abgestimmte Anomalieerkennung und strenge Zugriffskontrollen darüber, wer große Datenmengen verschieben kann, sind jetzt relevanter denn je, insbesondere da Angreifer ihre Taktiken verfeinern, so wie KI bereits Ransomware-Operationen umgestaltet und Managed Service Provider dazu zwingt, Cyber-Recovery-Strategien zu überdenken.

Für Einzelpersonen und kleinere Organisationen ist die Erkenntnis breiter: Das Verschlüsseln sensibler Dateien, bevor sie überhaupt Cloud-Speicher erreichen, die Verwendung starker Authentifizierung für Cloud-Konten und eine skeptische Haltung gegenüber abo-bezogenen E-Mails oder Aufforderungen können die Gefährdung sowohl durch Ransomware-Gruppen als auch durch Social-Engineering-Aktionen wie die von Luna Moth verringern. Das Verschlüsseln von Verkehr und Daten während der Übertragung, sei es über ein seriöses VPN oder integrierte Verschlüsselungstools, fügt eine Schutzschicht hinzu, wird jedoch einen Angreifer nicht stoppen, der bereits legitimen Kontozugriff erlangt hat. Mehrschichtige Verteidigung, nicht ein einzelnes Tool, ist das, was den Schaden tatsächlich begrenzt.

Wichtige Erkenntnisse

• Vice Society exfiltrierte gestohlene Daten über OneDrive und nutzte dabei das Vertrauen aus, das Organisationen in Mainstream-Cloud-Dienste setzen, anstatt sich auf eigene Malware zu verlassen.
• Luna Moth operiert anders und verwendet Taktiken, die falschen Abo-Betrügereien ähneln, um dasselbe Ziel zu erreichen: Diebstahl von Unternehmensdaten.
• Die Überwachung des Cloud-App-Verhaltens auf ungewöhnliche Datenmengen, nicht nur auf unbekannte Ziele, ist entscheidend, um diese Art von Exfiltration zu erkennen.
• Doppelerpressung bleibt das dominierende Ransomware-Modell, was bedeutet, dass gestohlene Daten ein Risiko darstellen, selbst wenn Backups es ermöglichen, die Zahlung für die Entschlüsselung zu vermeiden.
• Das Verschlüsseln sensibler Daten, bevor sie die Cloud erreichen, und die Durchsetzung strenger Zugriffskontrollen verringern die Gefährdung, unabhängig davon, welche Technik Angreifer verwenden.

Da Ransomware-Gruppen weiterhin Wege finden, sich im Verborgenen zu bewegen, ist es einer der einfachsten Schritte, den Organisationen und Einzelpersonen für besseren Schutz unternehmen können, informiert zu bleiben, wie sich diese Techniken weiterentwickeln.