Löschen von Schattenkopien: Das Ransomware-Warnsignal, das Sie beachten sollten

Ransomware sabotiert die Wiederherstellung, bevor sie etwas verschlüsselt

Die meisten Menschen stellen sich einen Ransomware-Angriff als ein einziges, plötzliches Ereignis vor: Dateien werden verschlüsselt, eine Lösegeldforderung erscheint, und das Unternehmen versucht, zu reagieren. In Wirklichkeit passiert der schädlichste Teil eines Ransomware-Angriffs oft, bevor auch nur eine Datei gesperrt wird. Angreifer zerstören absichtlich zuerst Backups und Wiederherstellungsoptionen, sodass die Opfer, wenn die Verschlüsselung schließlich zuschlägt, kein Sicherheitsnetz mehr haben, auf das sie zurückgreifen können.

Dies ist die zentrale Erkenntnis hinter einem wachsenden Fokus in Sicherheitsoperationen: Detection Engineering, das speziell darauf ausgelegt ist, Sabotage vor der Verschlüsselung zu erkennen. Zwei Verhaltensweisen stechen als zuverlässige Frühwarnzeichen hervor. Die erste ist das Löschen von Schattenkopien, bei dem Angreifer Windows-Volumeschattenkopien löschen – die integrierten Snapshots, die Administratoren ermöglichen, zu einer früheren, sauberen Version eines Systems zurückzukehren. Die zweite ist der Missbrauch von Gruppenrichtlinienobjekten (GPOs), um schädliche Payloads gleichzeitig im gesamten Netzwerk zu verteilen, wodurch ein einziges kompromittiertes Konto zu einem Mechanismus für die Massenverteilung wird.

Beide Aktionen sind im Vergleich zur Verschlüsselung selbst leise. Sie sperren niemanden sofort aus irgendetwas aus. Genau das macht sie gefährlich: Sie geschehen im Zeitfenster, bevor irgendjemand bemerkt, dass etwas nicht stimmt, und sie sind speziell darauf ausgelegt, die Wiederherstellung unmöglich zu machen, sobald der Angriff offensichtlich wird.

Warum Detection Engineering die Zeitleiste verändert

Traditionelle Sicherheitsüberwachung konzentriert sich tendenziell auf den Moment des Aufpralls, den Punkt, an dem Dateien verschlüsselt werden und Systeme ausfallen. Zu diesem Zeitpunkt ist der Schaden größtenteils angerichtet. Detection Engineering dreht diese Zeitleiste um, indem es Warnmeldungen um die vorbereitenden Schritte herum aufbaut, die Angreifer vor Beginn der Verschlüsselung unternehmen.

Eine Warnmeldung beim Löschen von Schattenkopien bedeutet, dieses als ein inhärent verdächtiges Ereignis zu behandeln und nicht als routinemäßige Haushaltsführung. Legitime Administratoren müssen selten Schattenkopien massenhaft über mehrere Systeme in einem kurzen Zeitfenster löschen. Wenn dieses Muster auftritt, ist das ein starkes Signal, dass etwas aktiv daran arbeitet, die Fähigkeit eines Unternehmens zu entfernen, sich selbst wiederherzustellen.

Ähnlich verhält es sich mit der Überwachung von GPO-Änderungen, die neue Skripte oder ausführbare Dateien organisationsweit verteilen: Sie erwischt Angreifer genau in dem Moment, in dem sie versuchen, ihren Zugriff zu skalieren. GPOs sind ein mächtiges administratives Werkzeug, gerade weil sie jeden Rechner in einer Domäne erreichen können. Diese Macht macht sie auch für Angreifer attraktiv, die eine Ransomware-Payload so breit und schnell wie möglich verteilen möchten.

Indem Erkennungsregeln um diese spezifischen, gut verstandenen Angreiferverhaltensweisen herum aufgebaut werden, erhalten Sicherheitsteams die Chance, einzugreifen, bevor die Verschlüsselung beginnt, nicht erst danach. Das ist eine bedeutende Verschiebung von reaktiver Incident Response zu proaktiver Unterbrechung.

Die Datenschutz-Implikationen hinter der Zerstörung von Backups

Es lohnt sich, innezuhalten und zu überlegen, warum die Zerstörung von Backups so viel mehr bedeutet als nur der unmittelbare operative Ärger. Wenn Wiederherstellungsoptionen zerstört werden, werden Unternehmen in eine viel engere Auswahl an Möglichkeiten gedrängt, und eine der häufigsten ist die Zahlung des Lösegelds. Forschung zu Ransomware-Ergebnissen hat gezeigt, dass ein erheblicher Teil der Unternehmen dennoch die Zahlung wählt, obwohl dies nichts garantiert. Unsere frühere Berichterstattung über 34% der ANZ-Unternehmen, die immer noch Ransomware zahlen zeigte, dass Zahlung weit davon entfernt ist, eine zuverlässige Lösung zu sein, und diese Entscheidung wird oft genau unter der Art von Druck getroffen, den die Zerstörung von Backups erzeugt.

Es gibt hier auch eine Datenschutz-Dimension. Wenn Backups weg sind und Verhandlungen der einzige Ausweg werden, sind Unternehmen auch eher mit dem Risiko von Datenschutzverletzungen konfrontiert. Angreifer kombinieren Verschlüsselung häufig mit Datendiebstahl und drohen damit, sensible Kunden- oder Mitarbeiterinformationen zu veröffentlichen, wenn nicht gezahlt wird. Die Zerstörung von Backups entfernt die Option, einfach wiederherzustellen und sich zu weigern zu verhandeln, was die Wahrscheinlichkeit erhöht, dass gestohlene personenbezogene Daten als Druckmittel enden. Den Angriff früher zu erkennen, bevor Backups gelöscht werden, bewahrt mehr als nur die IT-Infrastruktur. Es bewahrt die Fähigkeit eines Unternehmens, zu einer Lösegeldforderung Nein zu sagen, ohne mit den personenbezogenen Daten der Menschen, denen es dient, zu spielen.

Was das für Sie bedeutet

Wenn Sie IT-Systeme für ein Unternehmen verwalten, ist dies eine Erinnerung daran, dass Ransomware-Verteidigung nicht bei Endpunkt-Antivirus oder der Erkennung verschlüsselter Dateien enden kann. Der eigentliche Hebelpunkt liegt oft Stunden oder Tage früher, in den leisen administrativen Änderungen, die dem sichtbaren Angriff vorausgehen. Wenn Sie einfach nur ein Verbraucher oder Mitarbeiter sind, dessen Daten in diesen Systemen liegen, ist die Lehre indirekter, aber immer noch wichtig: Unternehmen, die in frühes Detection Engineering investieren, landen seltener in einer Position, in der sie gezwungen sind, Lösegeld zu zahlen oder mit Angreifern zu verhandeln, die Ihre persönlichen Informationen halten.

Umsetzbare Erkenntnisse

Für Sicherheitsteams ergeben sich einige konkrete Schritte direkt daraus: Bauen Sie Warnmeldungen speziell für Ereignisse des Löschens von Schattenkopien auf, statt sie als Hintergrundrauschen zu behandeln, überwachen Sie GPO-Änderungen auf ungewöhnlichen Umfang oder ungewöhnliches Timing, und halten Sie mindestens eine Backup-Kopie bereit, die vollständig von der Domäne isoliert ist, sodass ein einziges kompromittiertes Admin-Konto sie nicht erreichen kann. Für alle anderen ist es ein guter Grund, die Organisationen, die Ihre Daten halten, zu fragen, wie ihr Wiederherstellungsplan tatsächlich aussieht und ob er von Backups abhängt, die ein Angreifer in Minuten löschen könnte.