Mobile-Menu

Malware nutzt neue Angriffsvariante Ransomware stiehlt in Chrome gespeicherte Anmeldedaten

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH

Die Ransomware der Grippe Qilin nutzt eine neue Angriffsvariante gegen Domänencontroller im Active Directory und stiehlt im Verlauf auch persönliche Anmeldedaten aus Google Chrome. Sophos hat sich die Angriffe genauer angeschaut.

Eine Ransomware attackiert Domain Controller im AD und stiehlt dann in Chrome gespeicherte Anmeldedaten.(Bild: Dall-E / KI-generiert)
Eine Ransomware attackiert Domain Controller im AD und stiehlt dann in Chrome gespeicherte Anmeldedaten.
(Bild: Dall-E / KI-generiert)

Sophos hat eine neue Angriffsvariante untersucht, die durch die Ransomware-Gruppe Qilin durchgeführt wird.

Qilin-Ransomware im Detail

Während frühere Angriffe auf "Double Extortion" setzten, also Daten zu stehlen und gleichzeitig Systeme zu verschlüsseln, zielen neuen Angriffe zusätzlich auf die Massenentwendung von Anmeldeinformationen, die in Google Chrome gespeichert sind.

Der Angriff begann mit dem Zugang zu einem Unternehmensnetzwerk über kompromittierte Zugangsdaten. Auffällig war das Fehlen einer Multi-Faktor-Authentifizierung (MFA), was den Angreifern den Zugang erleichterte. Nach einer Verweildauer von 18 Tagen im Netzwerk gelang es den Angreifern, sich lateral zu einem Domain-Controller zu bewegen. Dort änderten sie die Gruppenrichtlinien, um ein PowerShell-Skript auszuführen, das gezielt Anmeldeinformationen aus Chrome-Browsern auf den Endgeräten der Nutzer extrahierte. Jedes Mal, wenn sich ein Benutzer anmeldete, wurde dieses Skript ausgeführt, um die gespeicherten Passwörter zu sammeln.

Eine Studie von 2024 zeigt, dass die MFA-Nutzung in großen Unternehmen weit verbreitet ist, jedoch in kleineren Firmen drastisch abnimmt, was diese zu attraktiven Zielen für Angreifer macht. Der Einsatz von verhaltensbasierten Erkennungstechniken wie PowerShell-Überwachung kann helfen, solche Angriffe frühzeitig zu erkennen. Die Qilin-Ransomware-Gruppe zeigt, dass Ransomware-Angriffe komplexer werden und nicht nur auf Verschlüsselung abzielen. Der Zugriff auf Anmeldeinformationen ermöglicht es den Angreifern, weitere Angriffe durchzuführen oder die Daten zu verkaufen, was das Ausmaß der Bedrohung deutlich erhöht.

(ID:50158313)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte