BSI-Warnung: Berliner Landes-IT offenbar über Fake-Captcha gehackt
Der Mitte August bekanntgewordene Hackerangriff auf die Berliner Senatsverwaltungen ist offenbar die Folge einer sogenannten Terminalfix-Angriffskampagne, die sich betrügerische Captchas zunutze macht. Das geht aus einem Mastodon-Beitrag des BSI(öffnet im neuen Fenster) hervor, laut dem die Behörde ihre Erkenntnisse aus dem Berliner Vorfall einsetzt, um die Cybersicherheit anderer Institutionen zu verbessern.
In dem Beitrag verweist das BSI auf eine am 4. September veröffentlichte IT-Sicherheitsmitteilung (PDF)(öffnet im neuen Fenster), die die Terminalfix-Angriffe beschreibt. Die Angreifer nutzen demnach kompromittierte Webseiten und blenden bei deren Besuch ein Captcha ein. Normalerweise dienen Captchas als Botschutz. Doch nicht so in diesem Fall.
Terminalfix ist eine spezielle Variante des Clickfix-Angriffs. Dabei wird der Besucher dazu verleitet, zur Lösung des Captchas eine Powershell oder eine Eingabeaufforderung zu öffnen und einen von der geöffneten Website in die Zwischenablage kopierten Befehl zur Ausführung zu bringen. Dieser leitet daraufhin den Download eines Zip-Archivs ein, einpackt dieses und führt eine darin enthaltene Datei aus.
Ausweitung zum Ransomwareangriff
Nach Angaben des BSI wird dem Besucher nach Ausführung des Befehls die erfolgreiche Bearbeitung des Captchas signalisiert, so dass der Anwender keinen Verdacht schöpft. Im Hintergrund läuft jedoch eine Infektionskette ab, die sich Angriffstechniken wie DLL-Sideloading bedient, in PNG-Dateien versteckten Schadcode nachlädt und den Angreifern auf dem Zielsystem einen persistenten Zugriff einrichtet.
War die Kompromittierung erfolgreich, so nutzen die Angreifer das infiltrierte System, um die von dort aus erreichbare Netzwerkinfrastruktur auszuspähen und weiterführende Angriffe innerhalb der Zielorganisation zu starten. Dazu zählt unter anderem das Einschleusen von Ransomware sowie das Ausleiten von Daten über Clouddienste wie Microsoft Azure.
Die Datenausleitung war im Falle der Berliner Landes-IT bekanntlich erfolgreich. Zunächst versuchte die für den Angriff verantwortliche Hackergruppe Rhysida damit, Berlin zur Zahlung von 30 Bitcoin zu erpressen. Da die Berliner Verwaltung dieser Forderung nicht nachkam, veröffentlichten die Angreifer die erbeuteten Daten am 4. September auf ihrer Datenleckseite im Darknet.
Rhysida will vor allem Geld
Nach Angaben des BSI scheint Rhysida opportunistisch zu handeln und ausschließlich finanziell motiviert zu sein. Hinweise auf Verbindungen zu staatlich unterstützten oder politisch motivierten Akteuren gibt es bisher wohl nicht. Am häufigsten attackiert die Gruppe laut Mitteilung Organisationen aus dem Bildungs- und Gesundheitssektor. Der Verwaltungssektor soll aber ebenfalls ein beliebtes Angriffsziel sein. Einen speziellen Fokus auf Deutschland als Zielregion hat die Gruppe laut BSI nicht.
Aktiv ist Rhysida den Angaben zufolge schon seit 2021. Erst seit Juni 2023 soll sie aber nahezu exklusiv unter dem Namen Rhysida auftreten. Frühere bekannte Bezeichnungen sind etwa Vice Spider, Vice Society, White Nefas, White Hekate, DEV-0832 und Vanilla Tempest.
IT-Administratoren finden am Ende der BSI-Meldung eine Auflistung empfohlener Maßnahmen zum Schutz vor den Terminalfix-Attacken. Weitere Schutzmaßnahmen und technische Details zur Angriffskampagne sind zudem in einer Analyse von Microsoft(öffnet im neuen Fenster) zu finden, die der Konzern Ende August veröffentlicht hat.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Kryptowährungen - Investments in Bitcoin & Altcoins bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.