A new extortion cocktail: office printers, small ransoms, and BitLocker
Angreifer nutzten Fehlkonfigurationen und offene RDP-Dienste, um in Unternehmensnetzwerke in Kolumbien und Mexiko einzudringen. Dort verschlüsselten sie Daten mittels BitLocker und forderten kleine Lösegelder, wobei sie Firmen-Drucker für die Lösegeldforderungen missbrauchten. Betroffene Unternehmen sollten umgehend offene RDP-Ports schließen, EPP-Lösungen aktivieren und ihre Systeme auf Schwachstellen überprüfen, um solche Angriffe zu verhindern.
Angreifer nutzen Fehlkonfigurationen und offene RDP-Dienste, um in Unternehmensnetzwerke einzudringen. Sie verschlüsseln Daten mit BitLocker und missbrauchen Firmen-Drucker für Lösegeldforderungen. Diese Taktik wurde in Kolumbien und Mexiko beobachtet und zielt auf Organisationen mit exponierten RDP-Diensten und deaktiviertem Endpunktschutz ab.
Organisationen mit offenen RDP-Diensten und deaktiviertem Endpunktschutz, insbesondere in Kolumbien und Mexiko.
Diese Angriffe nutzen gängige Fehlkonfigurationen und können zu Datenverschlüsselung und Betriebsunterbrechungen führen, selbst bei kleinen Lösegeldforderungen. Der Missbrauch von Druckern für Lösegeldforderungen ist eine neue Taktik, die die Dringlichkeit des Problems unterstreicht.
Vollständige Verschlüsselung kritischer Unternehmensdaten, Betriebsstillstand und Reputationsschaden, auch wenn die Lösegeldforderungen gering sind.
Offene RDP-Ports sofort schließen, robuste Endpunktschutzlösungen (EPP) aktivieren und Systeme auf Schwachstellen überprüfen. Bei einem Vorfall keine voreilige Systemwiederherstellung durchführen, um forensische Beweise zu sichern.
- ▸Überprüfen Sie alle extern zugänglichen RDP-Dienste und stellen Sie sicher, dass diese ordnungsgemäß gesichert oder geschlossen sind.
- ▸Stellen Sie sicher, dass alle Endpunktschutzlösungen (EPP) auf allen Systemen aktiv und auf dem neuesten Stand sind.
- ▸Führen Sie regelmäßige Schwachstellen-Scans und Penetrationstests durch, um Fehlkonfigurationen und offene Ports zu identifizieren.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1133 External Remote Services | High | Angreifer nutzten Fehlkonfigurationen und offene RDP-Dienste, um in Unternehmensnetzwerke einzudringen. |
| Impact | T1486 Data Encrypted for Impact | High | Dort verschlüsselten sie Daten mittels BitLocker |
| Impact | T1491 Defacement | Low | wobei sie Firmen-Drucker für die Lösegeldforderungen missbrauchten. |
- Spezifische Fehlkonfigurationen, die ausgenutzt wurden, sind nicht im Artikel genannt.
- Die genaue Methode, wie BitLocker eingesetzt wurde (z.B. über GPO oder manuell), ist nicht spezifiziert.
- Die Höhe der geforderten 'kleinen Lösegelder' ist nicht quantifiziert.
- Es wird nicht erwähnt, welche spezifischen EPP-Lösungen betroffen oder ineffektiv waren.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?