Russischer Hacker verkauft gestohlene Unternehmenszugänge und spioniert die Ukraine aus

So funktioniert der Markt für Zugänge von Datenlecks zu Ransomware

Ein russischsprachiger Hacker ist in Organisationen auf der ganzen Welt eingedrungen, hat Anmeldedaten gestohlen und diese gestohlenen Zugänge zum Verkauf an Ransomware-Gruppen verpackt, wie ein neuer Bericht zeigt. Derselbe Akteur überwachte Berichten zufolge auch ukrainische Militärwebsites und verband so finanziell motivierte Cyberkriminalität mit offensichtlicher nachrichtendienstlicher Aktivität im Zusammenhang mit dem laufenden Konflikt.

Dieser Fall veranschaulicht deutlich, wie moderne Ransomware-Angriffe tatsächlich beginnen. Schlagzeilen konzentrieren sich meist auf die Malware, die letztlich die Dateien eines Unternehmens verschlüsselt, doch die Eingangstür öffnet in der Regel jemand ganz anderes: ein Initial Access Broker. Das sind Spezialisten, die eine Aufgabe besonders gut beherrschen. Sie brechen in Netzwerke ein, überprüfen, ob der Zugang funktioniert, und verkaufen ihn dann – oft in Untergrundforen – an Ransomware-Betreiber, die sich um die Erpressung kümmern. Diese Arbeitsteilung hat Ransomware-Kampagnen schneller, skalierbarer und schwerer einer einzelnen Gruppe zuzuordnen gemacht.

Dieser Markt für Zugänge von Datenlecks zu Ransomware bedeutet, dass ein einziges kompromittiertes Passwort einen weiten Weg zurücklegen kann. Die Person, die es stiehlt, setzt möglicherweise selbst nie Ransomware ein. Stattdessen agiert sie als Zulieferer, und der eigentliche Schaden – ein lahmgelegtes Krankenhaussystem, eingefrorene Produktionsabläufe eines Herstellers, verschlüsselte Daten eines Schulbezirks – wird von einem völlig anderen Käufer weiter unten in der Kette angerichtet.

Welche Zugangsdaten und Netzwerkzugänge gestohlen und verkauft wurden

Dem Bericht zufolge konzentrierte sich die Operation des Hackers darauf, Anmeldeinformationen von globalen Organisationen zu sammeln und diese Zugänge dann für den Weiterverkauf vorzubereiten. Anstatt jedes kompromittierte System sofort auszunutzen, behandelte der Akteur gestohlene Logins offenbar als Inventar: etwas zum Katalogisieren, Validieren und Übergeben an Käufer, die sich auf die nächste Phase eines Angriffs spezialisiert haben. Neben dieser kommerziellen Aktivität wurde der Hacker auch dabei beobachtet, wie er ukrainische Militärwebsites im Auge behielt – ein Detail, das auf sich überschneidende Motive jenseits reiner Profitgier hindeutet.

Dieses Muster – finanziell motivierter Diebstahl von Zugangsdaten parallel zu geopolitisch motivierter Überwachung – ist unter russischsprachigen Bedrohungsakteuren zunehmend verbreitet. Es unterstreicht auch, warum Verteidiger nicht davon ausgehen können, dass ein Vorfall mit gestohlenen Zugangsdaten „nur“ ein Problem der Finanzkriminalität ist. Derselbe gestohlene Zugang, der zum Verkauf an eine Ransomware-Bande landet, könnte ebenso leicht für Spionage genutzt werden – oder für beides.

Warum gestohlene VPN- und Remote-Zugangsdaten bevorzugte Ziele für Zugangsbroker sind

Zugangsbroker greifen bevorzugt zu Anmeldedaten, die mit dem geringsten Aufwand das meiste Territorium erschließen. VPN-Logins, Remote-Desktop-Konten und andere Fernzugriffstools stehen ganz oben auf dieser Liste, denn sie sind dafür gemacht, einen Benutzer direkt von außen ins interne Netz zu bringen. Eine einzige gültige VPN-Anmeldung kann die Perimeter-Verteidigung vollständig umgehen und dem Angreifer einen legitim aussehenden Fuß in der Tür verschaffen, der nicht dieselben Alarme auslöst wie ein klassischer Einbruch.

Genau deshalb sind VPN-Anbieter und die von ihnen gespeicherten Zugangsdaten selbst zu attraktiven Zielen geworden. Nicht nur firmeneigene VPN-Gateways sind gefährdet. Auch verbraucherorientierte VPN-Dienste hatten bereits interne Datenbanken offengelegt, was unangenehme Fragen aufwirft, ob „No-Logs“-Versprechen einer Überprüfung standhalten. Der SplitVPN-Vorfall ist ein gutes Beispiel: Eine große Datenbank, die angeblich mit dem Anbieter in Verbindung steht, tauchte in einem kriminellen Forum auf, was die Datenschutzbehauptungen des Unternehmens untergräbt und Nutzern vor Augen führt, dass die Sicherheitslage eines VPN-Anbieters genauso wichtig ist wie die von ihm beworbene Verschlüsselung.

Wie VPN, 2FA und Zugangsdaten-Hygiene das Risiko von Lateral Movement verringern

Die gute Nachricht ist, dass ein Großteil der Reibung in dieser Angriffspipeline von Organisationen und Einzelpersonen wieder eingebaut werden kann, die bereit sind, einige konsequente Schritte zu unternehmen. Multi-Faktor-Authentifizierung ist die mit Abstand wirksamste Kontrollmaßnahme gegen gestohlene Anmeldedaten, denn ein Passwort allein ist für einen Käufer viel weniger wert, wenn es nicht mit einem zweiten Verifizierungsschritt kombiniert werden kann. Regelmäßiges Rotieren von Zugangsdaten, Vermeidung der Wiederverwendung von Passwörtern über verschiedene Dienste hinweg und die Überwachung auf kompromittierte Logins über Benachrichtigungsdienste für Datenlecks verringern das Zeitfenster, in dem gestohlene Zugänge für einen Broker wertvoll bleiben.

Speziell für den Fernzugriff verringert die Wahl eines VPN-Anbieters mit einer überprüfbaren, geprüften No-Logs-Richtlinie – und nicht nur mit einem Marketing-Versprechen – die Wahrscheinlichkeit, dass die eigenen Anmeldedaten zum nächsten Datensatz für den Verkauf werden. Kombiniert mit 2FA an jedem Remote-Zugangspunkt und einer Netzwerksegmentierung, damit ein kompromittiertes Konto nicht auf alles zugreifen kann, wird eingeschränkt, wie weit sich ein Angreifer selbst nach einem erfolgreichen Eindringen bewegen kann.

Was das für Sie bedeutet

Wenn Sie die IT für ein Unternehmen verwalten, ist dieser Fall eine Erinnerung daran, dass der Diebstahl von Zugangsdaten durch Initial Access Broker oft der eigentliche Beginn eines Ransomware-Vorfalls ist, nicht die Ransomware selbst. Investitionen in Zugangsdaten-Hygiene, MFA und die Überwachung des Fernzugriffs bewirken mehr zur Abwehr solcher Angriffe als jedes einzelne Anti-Malware-Tool. Als privater Nutzer ist es ein Anstoß zu prüfen, ob Ihr VPN- oder Fernzugriffsanbieter nachweislich in der Lage ist, seine eigenen Daten zu schützen, denn Ihre Anmeldedaten sind nur so sicher wie der Dienst, der sie speichert.

Umsetzbare Empfehlungen:

• Aktivieren Sie Multi-Faktor-Authentifizierung für jedes VPN-, Remote-Desktop- und Admin-Konto, nicht nur für E-Mail.
• Vermeiden Sie die Wiederverwendung von Passwörtern über verschiedene Dienste hinweg, insbesondere für Fernzugriffstools.
• Recherchieren Sie die Sicherheitshistorie eines VPN-Anbieters und unabhängige Prüfungen, bevor Sie seinen No-Logs-Versprechen vertrauen.
• Überwachen Sie, ob Ihre Zugangsdaten in Datenbanken von Leaks auftauchen, und ändern Sie sie sofort, falls dies der Fall ist.
• Segmentieren Sie Netzwerke, damit ein einzelner gestohlener Zugang keinen breiten lateralen Zugriff ermöglicht.