Mobile-Menu

Hackergruppe Mad Liberator greift Netzwerke an Neue Ransomware-Attacke mit AnyDesk entdeckt

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Sophos Technology GmbH
FAST LTA GmbH
FTAPI Software GmbH

Sicherheitsforscher bei Sophos haben aktuelle Ransomware-Attacken der Gruppe Mad Liberator identifiziert. Diese nutzt hauptsächlich AnyDesk um in Unternehmensnetzwerke einzudringen.

Eine Cybercrime-gruppe missbraucht legitime Remote-Access-Anwendungen wie AnyDesk, um in IT-Umgebungen einzudringen und Daten zu verschlüsseln oder zu stehlen.(Bild: jamdesign - stock.adobe.com)
Eine Cybercrime-gruppe missbraucht legitime Remote-Access-Anwendungen wie AnyDesk, um in IT-Umgebungen einzudringen und Daten zu verschlüsseln oder zu stehlen.
(Bild: jamdesign - stock.adobe.com)

Die Bedrohungsgruppe „Mad Liberator“ missbraucht legitime Remote-Access-Anwendungen wie AnyDesk, um in IT-Umgebungen einzudringen und Daten zu stehlen. Der Fokus der Angreifer liegt auf der Exfiltration sensibler Daten, wobei sie die technischen Schwachstellen und das Vertrauen der Nutzer in IT-Tools gezielt ausnutzen. Sicherheitsforscher bei Sophos haben sich die aktuellen Angriffe genauer angesehen und untersucht.

Angreifer geben sich als IT-Mitarbeiter aus

Der Missbrauch von AnyDesk durch „Mad Liberator“ zeigt, wie geschickt die Angreifer die Verbindung zwischen technischen Sicherheitsmaßnahmen und menschlichem Verhalten manipulieren. AnyDesk ist eine legitime Software, die weltweit von IT-Abteilungen verwendet wird, um Fernzugriff auf Systeme zu ermöglichen. Diese Anwendung vergibt jedem installierten Gerät eine eindeutige zehnstellige ID, über die eine Fernsteuerung ermöglicht wird. Angreifer, die sich als legitime IT-Mitarbeiter ausgeben, senden unaufgefordert Verbindungsanfragen an potenzielle Opfer. Diese Anfragen erscheinen oft harmlos, insbesondere in Unternehmen, in denen Fernwartung üblich ist.

Ein Fall, der vom Incident Response-Team von Sophos X-Ops untersucht wurde, zeigt den Ablauf eines solchen Angriffs. Ein Mitarbeiter erhielt eine AnyDesk-Verbindungsanfrage, die er irrtümlich als routinemäßige Wartungsarbeit seiner IT-Abteilung interpretierte. Nach der Annahme der Verbindung übertrug der Angreifer eine Datei mit dem Namen „Microsoft Windows Update“ auf das Gerät des Opfers. Diese Datei war so programmiert, dass sie einen gefälschten Windows-Update-Bildschirm anzeigte, der den Benutzer darüber täuschte, dass sein System gerade ein Update durchführte.

Angreifer bewegen sich nach der Übernahme des ersten Rechners im Netzwerk seitwärts

Während der Benutzer glaubte, ein normales Update durchzuführen, deaktivierte der Angreifer die Eingabemöglichkeiten des Opfers, um ungestört auf die im Netzwerk gespeicherten Daten zuzugreifen. Der Angreifer verwendete die Dateiübertragungsfunktion von AnyDesk, um Dateien vom Gerät und von verbundenen Netzwerkspeichern zu exfiltrieren. Darüber hinaus setzte er Tools wie Advanced IP Scanner ein, um nach weiteren Geräten im Netzwerk zu suchen, die für einen Angriff infrage kommen könnten.

Nachdem die Daten gestohlen wurden, hinterlassen die Angreifer an verschiedenen Stellen im Netzwerk Erpresserbriefe, die den Diebstahl bestätigen und eine Lösegeldforderung ankündigen. Der gefälschte Windows-Update-Bildschirm bleibt währenddessen aktiv, um die Aktivitäten des Angreifers zu verschleiern. Diese Methode verlängert die Zeitspanne, in der die Angreifer unentdeckt bleiben können, erheblich. Diese Taktik, auch bekannt als Double Extortion, wird von immer mehr Ransomware-Gruppen angewendet. Opfer werden nicht nur damit konfrontiert, dass ihre Daten gestohlen wurden, sondern auch mit der Drohung, diese öffentlich zu machen, falls das geforderte Lösegeld nicht gezahlt wird.

(ID:50132598)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte