BeA-Webseite: Ransomware-Angriff auf Anwaltskammer

Ein ungeschützter MySQL-Server hat den Ausfall einer Info-Webseite zum Anwaltspostfach BeA verursacht.

Artikel veröffentlicht am ,
Eine Ransomware-Gang fordert Lösegeld für die Datenbank der BeA-Infowebseite.
Eine Ransomware-Gang fordert Lösegeld für die Datenbank der BeA-Infowebseite. (Bild: Southern Railway System / Wikimedia Commons)

Der kürzliche Ausfall der Info-Webseite zum besonderen elektronischen Anwaltspostfach (BeA) der Bundesrechtsanwaltskammer ging offenbar auf einen Ransomware-Angriff zurück. Auf dem Server, auf dem die Webseite lag, läuft nach wie vor ein MySQL-Service, bei dem man sich ohne Passwort anmelden kann. Statt Datenbanken findet man dort aber nur noch einen Hinweis einer Ransomware-Gang.

Stellenmarkt
  1. Consultant Backup (m/w/d)
    ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  2. IT Servicetechniker Schul-IT (w/m/d)
    Bechtle GmbH & Co. KG, Neuwied (Home-Office möglich)
Detailsuche

Vor zwei Wochen hatten wir darüber berichtet, dass die Webseite, auf der die Bundesrechtsanwaltskammer unter bea.brak.de über das BeA informiert, zeitweise offline und zwischendurch auch durch eine ungeschützte Wordpress-Installation angreifbar war. Es handelt sich dabei nicht um das BeA selbst, sondern um eine reine Informationsseite. Inzwischen wird man dort auf ein Supportportal weitergeleitet.

Offener MySQL-Server ermöglichte Ransomware-Angriff

Durch einen Hinweis erfuhr Golem.de jetzt, wie es zu dieser Abschaltung kam. Offenbar wurde die MySQL-Datenbank der Wordpress-basierten Seite von einer Ransomware-Gang gelöscht. Auf dem Server, auf dem die Webseite in der Vergangenheit lag, läuft eine offene MySQL-Installation, die aus dem Internet erreichbar ist. Doch nicht nur das: Man kann sich dort nach wie vor ohne Benutzername und Passwort einloggen.

Auf dem Server finden sich zwei Datenbanken namens bea_brak und bea_brak.de, die beide jedoch leer sind. In ihnen findet sich nur noch eine Tabelle mit einer einzigen Zeile. Diese enthält eine Mitteilung, dass man eine Onion-Webseite im Tor-Netzwerk aufrufen und dort einen Code eingeben soll, wenn man die Daten wiederhaben möchte.

Golem Karrierewelt
  1. IT-Sicherheit für Webentwickler: virtueller Zwei-Tage-Workshop
    07./08.02.2023, Virtuell
  2. ITIL 4® Foundation: virtueller Zwei-Tage-Workshop
    12./13.12.2022, virtuell
Weitere IT-Trainings

Ruft man diese Seite auf, wird man aufgefordert, 0,06 Bitcoin an eine bestimmte Adresse zu überweisen, um die Daten zurückzuerhalten. Umgerechnet sind das etwa 570 Euro. Bezahlt hat den Betrag offenbar bisher niemand. Auf der angegebenen Bitcoin-Adresse gab es bislang keinen Geldeingang. Vermutlich könnten sich auch andere Personen Zugriff auf die MySQL-Datenbank verschaffen, da es sich aber um eine reine Informationsseite handelt, dürfte das Interesse daran gering sein.

Die Haupt-Webseite der Bundesrechtsanwaltskammer lief über denselben Server wie die BeA-Informationsseite, über einen Ausfall hier ist aber nichts bekannt. Möglicherweise nutzt diese Webseite keine MySQL-Datenbank und blieb daher von dem Angriff verschont. Inzwischen wurden die Webseiten der Bundesrechtsanwaltskammer ebenso wie die BeA-Subdomain auf einen neuen Server umgezogen.

Bundesrechtsanwaltskammer hat keine Hinweise auf Angriff

Die Bundesrechtsanwaltskammer bestreitet auf unsere Anfrage hin, dass es einen derartigen Ransomware-Vorfall überhaupt gegeben habe. Auf unsere Anfrage vor zwei Wochen antwortete man uns: "Wir haben aktuell keinerlei Hinweise bezüglich Angriffe auf unsere Seite." Auch auf eine Rückfrage heute teilte man uns mit, dass man keine Hinweise auf einen Ransomware-Angriff habe.

Ransomware-Angriffe auf ungeschützte Datenbanken sind nichts Ungewöhnliches. Regelmäßig werden offenstehende Datenbanken von Angreifern gelöscht und eine Datenrückgabe gegen Bitcoin versprochen. MySQL ist allerdings davon eher selten betroffen, da es ungewöhnlich ist, einen MySQL-Server so zu konfigurieren, dass ein nicht authentifiziertes Login möglich ist.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Loupedeck Live S ausprobiert
Alle Streams an Deck

Das Loupedeck Live S ist eine kleine Hardwaresteuerung für Streaming und Medien. Wir fänden mehr Cloud und weniger Kosten wünschenswert.
Ein Praxistest von Martin Wolf

Loupedeck Live S ausprobiert: Alle Streams an Deck
Artikel
  1. Telekom: 5G mit 1 GBit/s kommt auch auf dem Land
    Telekom
    5G mit 1 GBit/s kommt auch auf dem Land

    Carrier Aggregation soll auch ohne viele C-Band-Antennen sehr hohe 5G-Datenraten in die Fläche bringen, indem man alle anderen Frequenzen bündelt.

  2. AVM Fritzbox: FritzOS 7.50 ist da
    AVM Fritzbox
    FritzOS 7.50 ist da

    Das neue Betriebssystem für Fritzboxen bringt viele Neuerungen beim Smart Home, führt Wireguard per QR-Code ein und verbessert IP-Sperren.

  3. IT-Projektmanager: Mehr als Excel-Schubser und Flaschenhälse
    IT-Projektmanager
    Mehr als Excel-Schubser und Flaschenhälse

    Viele IT-Teams halten ihr Projektmanagement für überflüssig. Wir zeigen drei kreative Methoden, mit denen Projektmanager wirklich relevant werden.
    Ein Ratgebertext von Jakob Rufus Klimkait und Kristin Ottlinger

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5-Bundle vorbestellbar • Amazon-Geräte bis -53% • Mindstar: AMD-Ryzen-CPUs zu Bestpreisen • Alternate: Kingston FURY Beast RGB 32GB DDR5-4800 146,89€ • Advent-Tagesdeals bei MediaMarkt/Saturn: u. a. SanDisk Ultra microSDXC 512GB 39€ • Thrustmaster Ferrari GTE Wheel 87,60€ [Werbung]
    •  /