Prestige: Microsoft findet neue Ransomware in Polen und Ukraine

Das Sicherheitsteam von Microsoft hat eine komplett neue Ransomware -Kampagne gegen den Logistik- und Transportsektor in der Ukraine und Polen entdeckt.

15. Oktober 2022 um 11:51 Uhr / Sebastian Grüner

Microsoft beschreibt die neue Ransomware Prestige. Bild: Magali Cohen / Hans Lucas via Reuters Connect

In seinem Security-Blog berichtet das Threat Intelligence Center von Microsoft (MSTIC) von einer offenbar von Grund auf neu geschriebenen Ransomware. Diese wird demnach im Rahmen einer groß angelegten Kampagne seit dem 11. Oktober gegen die Transport- und Logistikbranche in Polen und der Ukraine eingesetzt.

Das Vorgehen und die eingesetzte Malware, die mit dem Namen Prestige bezeichnet wird, unterscheide sich deutlich von bisherigen Angriffen, heißt es dazu. So sei etwa der Angriff auf komplette Unternehmen per Ransomware in der Ukraine bisher eher selten gewesen.

Außerdem könne die Kampagne keiner der 94 Ransomware-Gruppen zugeordnet werden, die das Team von Microsoft verfolge und diesem bisher bekannt seien. Die Opferauswahl passe aber zu bisherigen Angriffen, die mit den Zielen des russischen Staats übereinstimmten, hieß es weiter.

Nicht der einzige Ransomware-Angriff in der Ukraine

In den vergangenen Wochen habe es darüber hinaus zwar mehrere Ransomware-Angriffe auf kritische Infrastrukturen in der Ukraine gegeben, die Prestige-Kampagne sei aber dennoch eigenständig. Microsoft versucht derzeit, die Urheber näher zu benennen, und behilft sich dabei vorerst mit der Bezeichnung DEV-0960. Das Sicherheitsteam beschreibt darüber hinaus das Vorgehen der aktuellen Kampagne.

Den initialen Angriffsvektor kenne man dabei noch nicht, es würden aber Zugangsdaten erbeutet. Mit deren Hilfe werde der Angriff ausgeweitet, indem etwa die Rechte durch bekannte Lücken erweitert oder vermutlich auch Zugangsdaten aus Active-Directory-Backups gewonnen würden. Die eigentliche Ransomware werde dann auf Netzwerkfreigaben mit Administrationsrechten eingespielt und darüber auf fremden Systemen ausgeführt.

Alternativ dazu wird die Ransomware den Angaben zufolge über den Active Directory Domain Controller mithilfe einer Gruppenrichtlinie an die Zielsysteme verteilt. Nach der Verschlüsselung der vorhandenen Daten auf dem System werden eventuell erreichbare Backups gelöscht.