KI erkannte Angriff, aber Reaktion blieb aus DragonForce verschlüsselt Fertiger in sieben Tagen

Anbieter zum Thema

Darktrace Limited

FAST LTA GmbH

FTAPI Software GmbH

Ein internationales Fertigungsunternehmen verlor innerhalb von sieben Tagen den Kampf gegen die Ransomware DragonForce. Die KI-basierte Erkennung von DarkTrace identifizierte alle Angriffsphasen korrekt, durfte jedoch nicht autonom reagieren.Die Verteidigung blieb somit wirkungslos und der Angriff konnte sich voll entfalten.

Die Ransomware-as-a-Service-Plattform DragonForce ist erst seit Ende 2023 aktiv, sorgt aber schon jetzt für Unruhe in der Cybersecurity-Welt. Mit besonders niedriger Einstiegshürde und einem Affiliate-Modell, das nur 20 Prozent Beteiligung verlangt, zieht sie gezielt technisch weniger versierte Täter an.

Die Angriffe wirken dadurch allerdings nicht weniger professionell, im Gegenteil: Die Täter greifen auf professionelle Tools, Infrastruktur und Support zurück. Das Resultat ist ein hohes Maß an Effizienz und Geschwindigkeit. In einem dokumentierten Fall aus dem Spätsommer 2025 traf es ein international tätiges Unternehmen aus dem Fertigungssektor. Darktrace konnte den Angriff in allen Phasen beobachten. Das Fehlen autonomer Abwehrmaßnahmen führte dazu, dass sich der Angriff ungehindert entfalten konnte.

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Gezielte Kompromittierung durch bekannte Tools

Der Angriffsverlauf begann mit verdächtigem Verhalten während regulärer Geschäftszeiten: Ein interner Rechner initiierte systematische Netzwerkscans und nutzte dabei den User-Agent „OpenVAS-VT“. Die Nutzung dieses weit verbreiteten Schwachstellenscanners durch Angreifer ist ein Indiz für eine gezielte Vorbereitung. Darauf folgten Brute-Force-Versuche auf Admin-Konten – darunter bekannte Variationen wie „administrator“, „rdpadmin“ oder „ftpadmin“.

Noch brisanter: Kurz darauf registrierten die Forscher verdächtige Zugriffe auf die Windows-Registry. Die angegriffenen Schlüsselbereiche – etwa „Schedule\Taskcache\Tasks“ und „Control\WMI\Security“ – ermöglichen die Manipulation von geplanten Aufgaben und WMI-Berechtigungen. Diese Technik wird häufig genutzt, um sich unauffällig im System zu verankern und Zugriff über längere Zeiträume hinweg aufrechtzuerhalten.

Das Angriffsmuster zeigt: Die Täter gingen koordiniert und in Etappen vor. Die eigentliche Verschlüsselung war nicht der Einstiegspunkt, sondern das Endstadium eines strategischen Infiltrationsprozesses.

Datenabfluss vor der Verschlüsselung

Am 2. September verzeichnete Darktrace erstmals auffällige SSH-Verbindungen von mehreren infizierten Geräten zu einer externen IP-Adresse: 45.135.232[.]229. Die IP war dem russischen Hosting-Provider Proton66 zugeordnet, der laut OSINT-Quellen wiederholt in Zusammenhang mit Malware-Kampagnen und Exploits steht.

Der Angriff nahm zu diesem Zeitpunkt Fahrt auf: Betroffene Geräte begannen, Daten von internen Quellen zu sammeln und in großen Mengen an das externe Zielsystem zu übertragen. Die Exfiltration vor der Verschlüsselung ist ein typisches Merkmal hybrider Ransomware-Kampagnen. Ziel ist nicht nur die Datenblockade, sondern auch die Androhung von Veröffentlichung – eine doppelte Erpressung.

Immutability schützt Backups vor Ransomware-Angriffen

96 Prozent der Ransomware-Opfer verlieren auch ihre Backups

Verschlüsselung und Erpressungsbotschaften

Wenige Tage später, am 9. September, startete die finale Phase des Angriffs. Mehrere Geräte führten Dateioperationen über das SMB-Protokoll aus, bei denen Dateien mit der Endung „.df_win“ erstellt oder überschrieben wurden – ein klarer Hinweis auf DragonForce-Aktivität. Gleichzeitig erschienen im gesamten Netzwerk Dateien mit dem Namen „readme.txt“ – die typische Bezeichnung für Erpressungsnachrichten.

Besonders perfide: Die Angreifer suchten gezielt nach netzwerkfreigegebenen Speicherorten wie „inetpub\“ oder „wwwroot\“, um möglichst viele Systeme gleichzeitig zu treffen. Obwohl die Darktrace-KI sämtliche Phasen des Angriffs korrekt identifizierte, wurde keine autonome Reaktion ausgelöst. Das Fehlen aktiver Gegenmaßnahmen bedeutete: Der Angriff konnte sich voll entfalten.

Fazit: Wenn Erkennung nicht reagiert, gewinnt der Angreifer

Dieser Fall ist mehr als ein technisches Beispiel, er ist ein strategischer Warnschuss für die Industrie. Selbst wenn KI-basierte Systeme wie Darktrace kompromittierende Aktivitäten frühzeitig erkennen, verpufft ihr Potenzial ohne automatisierte Reaktion. Die Angreifer nutzten bekannte Tools, arbeiteten in verschiedenen Phasen und mit hoher Präzision. Ihr Ziel war nicht Chaos, sondern Erpressung mit maximaler Wirkung.

Wer heute noch glaubt, dass Warnungen ausreichen, unterschätzt das Tempo moderner Angriffe. In Zeiten von Ransomware-as-a-Service zählt jede Minute und jede Lücke. Unternehmen müssen ihre Verteidigung nicht nur beobachten lassen, sondern aktiv reagieren lassen.

Arctic Wolf Threat Report 2025

Ransomware setzt auf Datenklau statt Lösegeld

(ID:50774888)