Umgang mit DarkSide

Brian Krebs hat weitere Details zu „DarkSide“ und der Rolle dieser Ransomware-Gruppe bei der Stilllegung der Colonial Pipeline beleuchtet. DarkSide ist eine Gruppe, die Ransomware-Funktionen als Dienstleistung bündelt und anbietet. Andere Ransomware-Gruppen und -Organisationen zahlen eine Gebühr für die Tools und Dienste von DarkSide, was eine genaue Zuordnung erschwert.

Diese Gruppe verpackt und modifiziert gängige Backdoors wie Harpy, Sekur und Cobalt Strike mit eigenen, maßgeschneiderten Ladeprogrammen und Verwaltungsschnittstellen. Sie konfigurieren und setzen verschiedene Ransomware-Pakete wie REvil-Ransomware ein, von denen keines tatsächlich exklusiv bei DarkSide zum Einsatz kommt. Es sind nicht die von ihnen verkaufte Malware oder die verwendeten Techniken, die sie so effektiv machen, sondern die Tatsache, dass sie gut organisiert und erfahren sind. Diese Gruppe verfügt über eine eigene Informationsabteilung und optimierte Vorgehensweisen, die mit der Recherche ihrer Opfer beginnen, um sicherzustellen, dass diese angreifbar, ahnungslos und in der Lage sind, Lösegeld zu zahlen.

So geht man mit DarkSide um:

Was können Sie also gegen diese potenzielle Bedrohung unternehmen? Es mag einfach klingen, doch der Schlüssel liegt darin, der Sicherheitsinfrastruktur und der Überwachung Priorität einzuräumen. DarkSide durchläuft zunächst harmlose Phasen der Erkundung und Informationsbeschaffung, in denen die Fähigkeiten ihrer Opfer unbedenklich ermittelt werden können. Diese Gruppe meidet in der Regel gut geschützte Organisationen und Opfer, die über die Mittel verfügen, sie aufzuspüren – wie beispielsweise Funktionen zur Erkennung und Reaktion auf verdächtiges Verhalten. Die CISA hat zudem diese Empfehlungen zur Verhinderung von Betriebsunterbrechungen durch Ransomware-Angriffe herausgegeben.

Techniken, auf die man achten sollte:

• DarkSide nutzt PowerShell, um die ersten Malware-Stufen herunterzuladen und die Systeme vorzubereiten.
• Sie löschen Volume-Schattenkopien über PowerShell.
• Sie entschlüsseln und führen Malware über „Certutil.exe“ aus.
• Sie können auf älteren Betriebssystemen wie Windows 7 eine Rechteausweitung durchführen (bei den meisten modernen Betriebssystemen wurde dies bislang noch nicht beobachtet).

Sobald die Erkundung abgeschlossen ist, verbreiten sie sich vollständig im Netzwerk und starten PR-Kampagnen, bevor sie die Verschlüsselung bzw. die Lösegeldforderung durchführen. Dies ist ein Zeitfenster für die Erkennung und Abwehr, sofern Sie über einen aktiven MDR-Dienst verfügen, der nach solchen Vorfällen Ausschau hält.

Um zu erfahren, wie Sie Ihre Kunden vor den raffiniertesten und bösartigsten Cyberbedrohungen schützen können, vereinbaren Sie einen Termin für eine Demo mit einem unserer Mitarbeiter.