Netzpalaver
  • Cloud
  • Sicherheit
  • Datacenter
  • Infrastruktur
  • Telekommunikation
  • Impressum
  • Datenschutz
Mittwoch, Mai 14, 2025
  • Partnerzone
  • Media
  • Ansprechpartner
  • Impressum
  • Datenschutz
Netzpalaver
Netzpalaver | #AI #CloudComputing #Datacenter #Cybersecurity #Telekommunkation #Infrastruktur
Netzpalaver
  • AI
  • Cloud
  • Datacenter
  • Infrastruktur
  • Telekommunikation
  • Cybersecurity
HomeSicherheit

Nefilim-Ransomware nutzt Geisterkonten für die Kompromittierung

27. Januar 2021

Das Sophos-Rapid-Response-Team berichtet von zwei Angriffen durch die Nefilim-Ransomware, bei denen Konten ausgeschiedener Mitarbeiter für Angriffe missbraucht wurden.

Nefilim, auch bekannt als Nemty-Ransomware, kombiniert Datendiebstahl mit Verschlüsselung. Bei dem von Nefilim angegriffenen Ziel waren mehr als 100 Systeme betroffen. Die Sophos-Experten konnten den ursprünglichen Angriff auf ein Administratorkonto mit hochrangigem Zugriff zurückverfolgen, das die Angreifer mehr als vier Wochen vor der Veröffentlichung der Ransomware kompromittiert hatten. In dieser Zeit konnten sich die Cyberkriminellen unbemerkt durch das Netzwerk bewegen, Zugangsdaten für ein Domain-Administratorkonto stehlen und hunderte Gigabyte an Daten exfiltrieren, bevor sie die Ransomware freisetzten und so schließlich ihre Anwesenheit im System offenbarten.

Das gehackte Administratorkonto, über das all dies möglich geworden war, gehörte einem Mitarbeiter, der leider etwa drei Monate zuvor verstorben war. Das Unternehmen hatte das Konto aktiv gehalten, da es für eine Reihe von Diensten verwendet wurde.

„Ransomware ist die letzte Komponente in einem längeren Angriff. Es ist der Angreifer, der letztendlich offenbart, dass er bereits die Kontrolle über ein Unternehmensnetzwerk hat und den Großteil des Angriffs abgeschlossen ist,“ so Peter Mackenzie, Manager beim Sophos-Rapid-Response-Team. „Wenn die Ransomware ihre Aktivitäten nicht aktiv offen gelegt  hätte, wie lange hätten die Angreifer wohl Domain-Admin-Zugriff auf das Netzwerk gehabt, ohne dass das Unternehmen davon gewusst hätte?“

 

Vorsicht vor vergessenen Konten und unnötigen Zugriffsrechten

Eine Gefahr besteht dabei nicht nur darin, veraltete und unüberwachte Konten aktiv zu halten, sondern auch darin, Mitarbeiter mehr Zugriffsrechte zu geben, als sie benötigen. „Unternehmen gehen fälschlicherweise davon aus, dass eine Person, die eine Führungsposition innehat oder für das Netzwerk verantwortlich ist, einen Domain-Admin-Account verwenden muss,“ so Mackenzie. Sein Rat: „Kein Konto mit Privilegien sollte standardmäßig für Arbeiten verwendet werden, die diese Zugriffsebene nicht erfordern. Benutzer sollten die erforderlichen Konten nur bei Bedarf und nur für diese Aufgabe verwenden.“

Zudem sollten Alarme so eingestellt werden, dass bekannt ist, wenn der Domain-Admin-Account verwendet wird oder ein neuer Admin-Account erstellt wird. Ein früherer Fall, zu dem das Rapid-Response-Team hinzugezogen wurde, bestätigt diesen Punkt.Hier verschaffte sich ein Angreifer Zugriff auf das Netzwerk eines Unternehmens, legte einen neuen Benutzer an und fügte dieses Konto der Gruppe „Domain Admin“ in Active-Directory hinzu. Da keinerlei Warnungen ausgelöst wurden, löschte das neue Domainadministratorkonto anschließend etwa 150 virtuelle Server und verschlüsselte die Server-Backups mit Microsoft-Bitlocker.

 

So kann sichere Kontenverwaltung klappen

Wenn eine Organisation ein veraltetes Konto tatsächlich weiterhin benötigt, sollte sie ein Dienstkonto einrichten und interaktive Logins verweigern, um unerwünschte Aktivitäten zu verhindern, so der Rat der Sophos-Experten. Wenn das Konto nicht mehr benötigt wird, sollte es deaktiviert und regelmäßige Audits des Active-Directory durchgeführt werden.

Das Rapid-Response-Team rät zu folgenden Schritten für eine sicher Kontenverwaltung:

  • Nur die Zugriffsrechte gewähren, die für eine bestimmte Aufgabe oder Rolle benötigt werden.
  • Nicht mehr benötigte Konten deaktivieren.
  • Wenn Konten ausgeschiedener Mitarbeiter*innen aktiv bleiben müssen, sollte ein Dienstkonto eingerichtet und interaktive Anmeldungen verweigert werden.
  • Regelmäßige Audits des Active-Directory: Active-Directory-Überprüfungsrichtlinien können so eingestellt werden, dass sie die Aktivität von Administratorkonten überwachen oder melden, wenn ein unerwartetes Konto zur Domänenadministratorgruppe hinzugefügt wird.
  • Einsatz einer Sicherheitslösung, idealerweise mit Anti-Ransomware-Technologien, wie sie zum Beispiel in Sophos-Intercept-X enthalten sind.

„Kontodaten im Auge zu behalten, ist eine grundlegende, wichtige Cybersecurity-Hygiene. Wir sehen viel zu viele Vorfälle, bei denen Konten eingerichtet wurden, oft mit erheblichen Zugriffsrechten, die dann vergessen wurden, manchmal über Jahre hinweg. Solche `Geisterkonten´ sind ein bevorzugtes Ziel für Angreifer.“

 

Info: Nefilim-Ransomware

Über Nefilim-Ransomware wurde erstmals im März 2020 berichtet. Wie andere Ransomware-Familien, z. B. Dharma, zielt Nefilim hauptsächlich auf verwundbare Remote-Desktop-Protocol- (RPD)-Systeme sowie auf exponierte Citrix-Software. Sie gehört neben DoppelPaymer und anderen zu einer wachsenden Zahl von Ransomware-Familien, die sogenannte „sekundäre Erpressung“ betreiben, mit Angriffen, die Verschlüsselung mit Datendiebstahl und der Gefahr der öffentlichen Bloßstellung kombinieren.

Weitere Informationen zu den Vorfällen finden sich   in „Nefilim Ransomware Attack Uses ‚Ghost‘ Credentials“: https://news.sophos.com/en-us/2021/01/26/nefilim-ransomware-attack-uses-ghost-credentials/

#Sophos

Tags:Admin-AccountCyberdefenseCybersecurityCybersicherheitGeisterkontenIT-SecurityIT-SicherheitNefilimNefilim-RansomwarePrivilegienRansomwareRapid-Response-TeamRemote-Desktop-ProtocolSophos
Share on FacebookShare on TwitterShare on PinterestShare on LinkedIn Share on TumblrShare on Email
Ralf Ladner27. Januar 2021

Weitere interessante Beiträge

Interview mit Bitdefender – Proaktive Cybersicherheit – dynamisch und automatisiert durch KI

Lehren für die Verteidigung aus den durchgesickerten Lockbit-Verhandlungen

Varonis erweitert sein MDDR-Team um KI-Agenten für eine noch schnellere Vorfallsreaktion

Sicherheit von cyberphysischen Systemen – Claroty und Ectacom schließen Vertriebspartnerschaft

Heftiger Widerstand nicht nur am Anti-Ransomware-Tag

In der heutigen Bedrohungslandschaft bedeutet Visibilität Schutz

load more

Neueste Beiträge

  • Interview mit Bitdefender – Proaktive Cybersicherheit – dynamisch und automatisiert durch KI
  • Lehren für die Verteidigung aus den durchgesickerten Lockbit-Verhandlungen
  • Varonis erweitert sein MDDR-Team um KI-Agenten für eine noch schnellere Vorfallsreaktion
  • Sicherheit von cyberphysischen Systemen – Claroty und Ectacom schließen Vertriebspartnerschaft
  • Comback-Tape-Libraries jetzt für „XtreemStore“ von Grau Data zertifiziert

Pinterest

Über 1000 Infografiken

Backgrounder zu Cybercrime

Wissenswertes zu Blockchain

Die interessantesten und größten Videowalls

Wissenswertes zu Social-Media

Just for fun

  • Airlock
  • AixpertSoft
  • Aixvox
  • Alcatel-Lucent Enterprise
  • Arcserve
  • Arctic Wolf
  • AtlasEdge
  • Bitdefender
  • BMC
  • Cambium Networks
  • Check Point
  • Christiansen Unternehmensgruppe
  • Claroty
  • Consulting4IT
  • CrowdStrike
  • DigitalSIGNAGE.de
  • DTM Group
  • d.velop
  • Enreach
  • Eperi
  • Equinix
  • Extreme Networks
  • Ferrari electronic
  • Fujitsu
  • Gasline
  • Grass Consulting
  • Grau Data
  • Helmich IT-Security
  • HiScout
  • IBM
  • Imory
  • Juniper
  • KnowBe4
  • Keyfactor
  • Labtagon
  • Lancom
  • Legrand
  • Matrix42
  • Mobotix
  • Netskope
  • NorthC
  • Paessler
  • Placetel
  • Qualys
  • Schneider Electric
  • Seppmail
  • SolarWinds
  • Sophos
  • Starface
  • Stulz
  • Sysob
  • Sysdig
  • SySS
  • Varonis
  • Veeam
  • Vertiv
  • Watchguard
  • Zscaler

Partner von Netzpalaver

  • Airlock
  • AixpertSoft
  • Aixvox
  • Alcatel-Lucent Enterprise
  • Arcserve
  • Arctic Wolf
  • AtlasEdge
  • Bitdefender
  • BMC
  • Cambium Networks
  • Check Point
  • Christiansen Unternehmensgruppe
  • Claroty
  • Consulting4IT
  • CrowdStrike
  • DigitalSIGNAGE.de
  • DTM Group
  • d.velop
  • Enreach
  • Eperi
  • Equinix
  • Extreme Networks
  • Ferrari electronic
  • Fujitsu
  • Gasline
  • Grass Consulting
  • Grau Data
  • Helmich IT-Security
  • HiScout
  • IBM
  • Imory
  • Juniper
  • KnowBe4
  • Keyfactor
  • Labtagon
  • Lancom
  • Legrand
  • Matrix42
  • Mobotix
  • Netskope
  • NorthC
  • Paessler
  • Placetel
  • Qualys
  • Schneider Electric
  • Seppmail
  • SolarWinds
  • Sophos
  • Starface
  • Stulz
  • Sysob
  • Sysdig
  • SySS
  • Varonis
  • Veeam
  • Vertiv
  • Watchguard
  • Zscaler

 

Contact

Ralf Ladner

Skype: ralf.ladner
Skype no. +55 85 4044 2216

Mobile: 0152/37398343

Whatsapp: 0152/37398343

Email: ralf.ladner@netzpalaver.de

 

Netzpalaver-Podcasts

  • Interview mit Solarwinds - Künstliche Intelligenz - Open-Source versus kommerziell
  • Interview mit Cybershield - Schutz vor Angriffen auf die Operational-Technology
  • Interview mit Extreme Networks - Wie lässt sich die Netzwerk-Komplexität in den Griff bekommen?
  • Interview mit IBM - Was ist der Unterschied zwischen Monitoring und Observability?
  • Interview mit Hiscout - Lässt sich GRC noch ohne ein ganzheitliches Tool umsetzen?

Paessler-Podcast

The Monitoring Experts Podcast - Monitoring insights, deep dives, use cases, and best practices.
LabtaTalk - Podcast von Labtagon
  • Episode 3 - Cyber Resilience Act
  • Episode 2 - ISMS ist Unternehmensphilosophie
  • Episode 1 - Bin ich von NIS-2 betroffen?
  • Episode 0

Internet Safety for Kids

Auf Bild klicken für mehr Informationen

Tag Cloud

AI Anwendung Cloud Datacenter Events Fachartikel Galerie Highlight Infrastruktur Interna just for fun Kolumne Netzpalaver Agenda Palaver Sicherheit Studie Telekommunikation Video Whitepaper Zitat
Netzpalaver | #AI #CloudComputing #Datacenter #Cybersecurity #Telekommunkation #Infrastruktur

Das IT- und Social-Media-Portal

© Copyright 2020 Netzpalaver

  • Impressum
  • Datenschutz
  • Ansprechpartner
  • AGBs
Datenschutzeinstellungen Datenschutzeinstellungen

Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell, während andere uns helfen, diese Website und Ihre Erfahrung zu verbessern. Wenn Sie unter 16 Jahre alt sind und Ihre Zustimmung zu freiwilligen Diensten geben möchten, müssen Sie Ihre Erziehungsberechtigten um Erlaubnis bitten. Wir verwenden Cookies und andere Technologien auf unserer Website. Einige von ihnen sind essenziell, während andere uns helfen, diese Website und Ihre Erfahrung zu verbessern. Personenbezogene Daten können verarbeitet werden (z. B. IP-Adressen), z. B. für personalisierte Anzeigen und Inhalte oder Anzeigen- und Inhaltsmessung. Weitere Informationen über die Verwendung Ihrer Daten finden Sie in unserer Datenschutzerklärung. Sie können Ihre Auswahl jederzeit unter Einstellungen widerrufen oder anpassen.

Datenschutzeinstellungen

Alle akzeptieren

Speichern

Individuelle Datenschutzeinstellungen

Cookie-Details Datenschutzerklärung Impressum

Datenschutzeinstellungen Datenschutzeinstellungen

Wenn Sie unter 16 Jahre alt sind und Ihre Zustimmung zu freiwilligen Diensten geben möchten, müssen Sie Ihre Erziehungsberechtigten um Erlaubnis bitten. Wir verwenden Cookies und andere Technologien auf unserer Website. Einige von ihnen sind essenziell, während andere uns helfen, diese Website und Ihre Erfahrung zu verbessern. Personenbezogene Daten können verarbeitet werden (z. B. IP-Adressen), z. B. für personalisierte Anzeigen und Inhalte oder Anzeigen- und Inhaltsmessung. Weitere Informationen über die Verwendung Ihrer Daten finden Sie in unserer Datenschutzerklärung. Hier finden Sie eine Übersicht über alle verwendeten Cookies. Sie können Ihre Einwilligung zu ganzen Kategorien geben oder sich weitere Informationen anzeigen lassen und so nur bestimmte Cookies auswählen.

Alle akzeptieren Speichern

Zurück

Datenschutzeinstellungen

Essenzielle Cookies ermöglichen grundlegende Funktionen und sind für die einwandfreie Funktion der Website erforderlich.

Cookie-Informationen anzeigen Cookie-Informationen ausblenden

Name
Anbieter Borlabs, Impressum
Zweck Speichert die Einstellungen der Besucher, die in der Cookie Box von Borlabs Cookie ausgewählt wurden.
Datenschutzerklärung https://de.borlabs.io/datenschutz/
Host(s) de.borlabs.io
Cookie Name borlabs-cookie
Cookie Laufzeit 365

Inhalte von Videoplattformen und Social-Media-Plattformen werden standardmäßig blockiert. Wenn Cookies von externen Medien akzeptiert werden, bedarf der Zugriff auf diese Inhalte keiner manuellen Einwilligung mehr.

Cookie-Informationen anzeigen Cookie-Informationen ausblenden

Akzeptieren
Name
Anbieter Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Ireland
Zweck Wird verwendet, um Facebook-Inhalte zu entsperren.
Datenschutzerklärung https://www.facebook.com/privacy/explanation
Host(s) .facebook.com
Akzeptieren
Name
Anbieter Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Ireland
Zweck Wird verwendet, um Instagram-Inhalte zu entsperren.
Datenschutzerklärung https://www.instagram.com/legal/privacy/
Host(s) .instagram.com
Cookie Name pigeon_state
Cookie Laufzeit Sitzung
Akzeptieren
Name
Anbieter Twitter International Company, One Cumberland Place, Fenian Street, Dublin 2, D02 AX07, Ireland
Zweck Wird verwendet, um Twitter-Inhalte zu entsperren.
Datenschutzerklärung https://twitter.com/privacy
Host(s) .twimg.com, .twitter.com
Cookie Name __widgetsettings, local_storage_support_test
Cookie Laufzeit Unbegrenzt
Akzeptieren
Name
Anbieter Pinterest
Zweck Bilder und Infografiken von Pinterest ansehen und nutzen.
Datenschutzerklärung https://policy.pinterest.com/de/privacy-policy
Host(s) www.pinterest.de
Cookie Name Pinterest
Cookie Laufzeit 365
Akzeptieren
Name
Anbieter Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland
Zweck Wird verwendet, um YouTube-Inhalte zu entsperren.
Datenschutzerklärung https://policies.google.com/privacy
Host(s) google.com
Cookie Name NID
Cookie Laufzeit 6 Monate

Borlabs Cookie powered by Borlabs Cookie

Datenschutzerklärung Impressum