Bereits Anfang Juli berichtete das Arctic Wolf Labs-Team von wichtigen Erkenntnissen rund um die Anubis-Ransomware. Und die Gefahr, die durch die Cyberkampagne ausgeht, ist noch lange nicht gebannt. Stefan Hostetler, Staff Threat Intelligence Researcher bei Arctic Wolf, gibt seine Einschätzung zum Risiko, das von der Anubis-Ransomware ausgeht und welche Schritte Unternehmen zur Abwehr ergreifen sollten.
„Anubis-Affiliates haben sich wiederholt initialen Zugriff verschafft, indem sie Schwachstellen ausnutzten und gestohlene VPN-Zugangsdaten missbrauchten. Unsere Untersuchungen zeigen, dass Angreifer Schwachstellen ausnutzen, die weder neu noch besonders komplex waren. Das zeigt einmal mehr: Bedrohungsakteure sind häufig erfolgreich, weil sie bekannte Sicherheitslücken ausnutzen, die von Unternehmen noch nicht vollständig behoben wurden. In einigen Fällen stammten die kompromittierten Zugangsdaten vermutlich aus früheren Datenvorfällen und wurden über Initial-Access-Broker von cyberkriminellen Marktplätzen bezogen. In anderen Fällen beobachteten wir, dass bekannte Schwachstellen ausgenutzt wurden, darunter CVE-2025-5777 – eine Citrix-Schwachstelle, die bereits öffentlich bekannt und auch gepatcht war.
Die wichtigste Erkenntnis lautet daher: Das Einspielen eines Patches allein schließt die Tür nicht zwangsläufig. Angreifer können Schwachstellen nutzen, um unbemerkt kompromittierte Zugangsdaten abzugreifen, dauerhaften Zugriff zu behalten und noch lange nach der Behebung der Schwachstelle zu agieren. Wenn Unternehmen glauben, das Risiko sei beseitigt, verfügen Angreifer möglicherweise bereits über alle erforderlichen Informationen, um sich mit legitimen Benutzerkonten erneut Zugang zu verschaffen.
Unternehmen sollten die Behebung von Schwachstellen daher nicht lediglich als routinemäßiges Software-Update verstehen. Besteht die Möglichkeit, dass Zugangsdaten kompromittiert wurden, sind das Zurücksetzen von Passwörtern, Multi-Faktor-Authentifizierung, wirksamer Identitätsschutz und ein proaktives Monitoring wichtig. Da Gruppen wie Anubis ihre Vorgehensweisen kontinuierlich weiterentwickeln, sollten Sicherheitsverantwortliche grundsätzlich davon ausgehen, dass ein kompromittiertes System auch dann ein dauerhaftes Risiko darstellen kann, selbst wenn es auf den ersten Blick wieder sicher erscheint.“
#ArcticWolf
