Ransomware zielt auf den Hypervisor So schützen Unternehmen Hyper­visoren vor Ransomware-Angriffen

Anbieter zum Thema

Bitdefender GmbH

FAST LTA GmbH

FTAPI Software GmbH

Ransomware rückt auf die Hypervisor-Ebene vor: Angreifer ver­schlüs­seln virtuelle Festplatten und legen ganze Dienste still – oft diskret, um Ver­handlungen zu erzwingen. Typische Hebel sind offene Admin‑Schnittstellen, fehlende MFA und ausstehende Patches. Wer virtuelle Umgebungen härtet, schnell patched und Recovery geübt hat, begrenzt den Schaden.

Cyberkriminelle suchen sich oft auch aus taktischen Gründen immer neue Ziele. Ein neuer Angriffstrends sind Ransomware-Attacken auf Hypervisoren. Angesichts überwiegend virtualisierter Infrastrukturen können Cyberkriminelle an dieser Stelle effektiv die gesamte IT-Infrastruktur eines Unternehmens lahmlegen. Ein Argument für diese neue Trend-Taktik: Ein solches Vorgehen ist diskreter als der Angriff auf einzelne Endpunkte. Hacker erhoffen sich daher einen größeren Spielraum, um mit den Opfern Lösegelder auszuhandeln.

Traditionelle Ransomware-Angriffe nehmen meist nur Endpunkte und die dort sich befindlichen Daten ins Visier, wobei das Betriebssystem der Rechner funktionsfähig bleibt. Ransomware-Angriffe auf Hypervisoren zielen dagegen auf die virtuellen Festplattendateien der darauf gehosteten virtuellen Maschinen, die in der Folge nicht mehr starten können. Auf einen Schlag sind damit ganze Applikationen, Server und Dienste nicht mehr verfügbar.

48-Stunden-Angriff zeigt Risiken ungepatchter Edge-Komponenten

So führte eine ungepatchte Firewall zur kompletten Netzwerkübernahme

Dieser Angriffstrend ist für viele Ransomware-as-a-Service-Gruppen zu einer gängigen Strategie geworden: Die Gruppe LockBit stellt zum Beispiel mit einem Linux-basierten Verschlüsselungsprogramm, das speziell auf ESXi-Hypervisoren abzielt, eine große Gefahr dar. Die RaaS-Gruppe RansomHouse greift Hypervisoren mit einem benutzerdefinierten Tool namens MrAgent an und fokussiert sich nach erfolgtem Zugriff darauf, die Verschlüsselung aller verwalteten virtuellen Maschinen zu automatisieren. Die Scattered-Spider-Gruppe verleitet über Social Engineering im Helpdesk Support-Mitarbeiter dazu, Zugriff auf interne Systeme zu gewähren, um anschließend Privilegien zu eskalieren. Scattered Spider arbeitet mit verschiedenen RaaS-Gruppen wie Akira, ALPHV und RansomHub zusammen, um Zugang zu einer Vielzahl von Verschlüsselungsprogrammen zu erhalten.

Hypervisoren bieten dabei als Angriffsziele eine Reihe von Vorteilen im Vergleich zu Endpunkten:

OS-unabhängige Programmiersprachen: Durch Erstellen eines einzigen Tools, basierend auf Golang oder Rust, können Angreifer sowohl Systeme mit Linux-basiertem VMware ESXi als auch Systeme auf herkömmlichen Windows- oder Linux-Servern attackieren. So lassen sich Angriffe einfach skalieren.

Gezielter Druckstatt öffentlichem Chaos: Im Gegensatz zu einem klassischen, breitangelegten Ransomware-Angriff, übt ein Vorgehen gegen Hypervisoren gezielten, isolierten Druck auf die IT- und Systemadministratoren aus, die die unmittelbare Krise bewältigen und oft auch die Lösegeldverhandlungen führen müssen. Endnutzergeräte und Front-End-Geschäftsabläufe bleiben weitgehend unberührt. Da dortige Ausfälle, welche die Aufmerksamkeit der Medien und Strafverfolgungsbehörden erregen könnten, vermieden werden, erhalten Opfer eine diskrete Alternative zum öffentlichen Eingeständnis des Angriffs. Kriminelle erhoffen sich wohl einen größeren Spielraum auf Seiten der Opfer, Lösegelder zu zahlen.

Die Cyberkriminellen von RedCurl beispielsweise ließ die für das Netzwerk-Routing zuständigen virtuellen Maschinen unverschlüsselt, um sicherzustellen, dass die grundlegende Netzwerkkonnektivität und der Benutzerzugriff funktionsfähig blieben. Diese Vorgehensweise minimierte die unmittelbare Disruption von Abläufen für die Überzahl der Mitarbeiter des Unternehmens und konzentrierte das gesamte Gewicht der Krise auf die IT-Abteilung und Führungsebene.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

Ein solches Vorgehen erhöht die Chance, dass das betroffene Unternehmen Lösegeld bezahlt, insbesondere, da einzelne Geschäftsbereiche und das C-Level schnellstmöglich den Geschäftsbetrieb wiederaufnehmen wollen und zusätzlichen Druck auf das IT-Team ausüben. Dass diese Taktik für Angreifer erfolgsversprechend ist, zeigen die Ergebnisse des Bitdefender Cybersecurity Assessment Reports 2025: In fast der Hälfte (48,4 %) der Fälle wurden IT- und Sicherheitsexperten in Unternehmen in Deutschland dazu aufgefordert, Cybervorfälle zu verschweigen, selbst wenn die Entscheider von einer vorliegenden Meldepflicht ausgingen.

Mehr „Servicequalität“ durch höhere Wiederherstellungsrate: Verschlüsselte virtuelle Maschinen lassen sich mit größerer Wahrscheinlichkeit erfolgreich wiederherstellen als Endpunkte. Denn beim Angriff auf einen Hypervisor schalten die Angreifer zunächst alle aktiven virtuellen Maschinen aus, damit keine geöffneten Dateien den verschlüsselnden Code blockieren. In der Folge funktionieren Dekryptoren besser. Cyberkriminelle, die Daten gegen Lösegeld erwiesenermaßen wieder zugänglich machen können, genießen aber auf lange Sicht mehr Vertrauen bei den Opfern.

Lücken in der Kontrolle: Betriebliche Effizienz und Stabilität sind für IT-Management-Teams bei Hypervisoren häufig wichtiger als strenge Security-Kontrollen. Daher fehlt es oft an einer Multi-Faktor-Authentifikation (MFA) für den Zugriff auf die Schnittstellen zur Administration der Hypervisoren.

Andererseits patchen Administratoren hier Schwachstellen nicht, die in einer ausgereifteren Endpunktumgebung sofort erkannt würden. Ein Beispiel hierfür ist die Schwachstelle CVE-2024-37085, welche Gruppen wie Black Basta und Akira in der Vergangenheit ausnutzten: ESXi-Hypervisoren, die einer Domäne angeschlossen sind, gewähren automatisch und sehr einfach einen vollständigen Administratorzugriff für alle Mitglieder einer Domänengruppe namens „ESX Admins“. Ein solcher Konstruktionsfehler ist schwerwiegend, da der Hypervisor nicht überprüft, ob die Gruppe legitim ist oder über eine authentifizierte Sicherheits-ID verfügt. Ein bereits im Netzwerk sich befindender Angreifer kann ohne Weiteres eine Domänengruppe mit dem Namen „ESX Admins“ erstellen oder umbenennen, sich selbst hinzufügen, und somit unmittelbar die vollständige Kontrolle über alle mit der Domäne verbundenen ESXi-Hypervisoren erlangen.

Unternehmen müssen keine leichte Beute sein

Diese 10 Fehler lieben Ransomware-Angreifer

Maßnahmen zum Schutz der Hypervisor-Ebene

Cybersicherheitsverantwortliche müssen daher dem Schutz der Hypervisoren ihre besondere Aufmerksamkeit widmen. Grundlegend ist es, mit einem robusten Patch-Management-Programm Hypervisoren und deren Administrationssoftware auf dem neuesten Stand zu halten. Immer wieder unterschätzt und allzu oft nicht umgesetzt ist die Multi-Faktor-Authentifikation für Nutzer mit Administrationsrechten. Insbesondere für die Konsolen zum Verwalten der Hypervisoren sollte sie Standard sein. Das Prinzip der geringsten Privilegien stellt zudem sicher, dass Benutzer und Dienste nur die Rechte besitzen, die sie auch benötigen.

Darüber hinaus sollten Sicherheitsteams das Host-Betriebssystem absichern. Hierfür können sie eigentlich nicht benötigte Dienste wie OpenSLP deaktivieren sowie mit Firewall-Regeln den Zugriff aus dem Internet auf administrative Schnittstellen einschränken. Dedizierte Netze zur Administration bieten zusätzliche Sicherheit. Für die grundlegenden Detection- und Response-Funktionen sorgen EDR- und XDR-Plattformen – ergänzt durch menschliche Expertise, die intern ein Security Operations Center (SOC) oder extern ein Managed Detection-and-Response-Anbieter bereitstellen kann.

Datendiebstahl, statt Verschlüsselung

Ransomware ohne Verschlüsselung

Eine robuste Wiederherstellungsstrategie ist ein wichtiges und oft letztes Sicherheitsnetz im Ernstfall. Mit einer Recovery eines Hypervisors läuft zumindest eine erpresserische Verschlüsselung von Daten zumindest ins Leere. Zusätzlich benötigen Unternehmen einen gut eingeübten Notfallplan für Hypervisor-Angriffe mit klaren Schritten, um Angriffe einzudämmen, sowie einen Kommunikationsplan für alle Beteiligten, von Mitarbeitern bis hin zu Stakeholdern.

Über den Autor: Martin Zugec ist Technical Solutions Director bei Bitdefender.

(ID:50660916)