Analyse von Sophos Cyberkriminelle nutzen VMs massenhaft aus

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Cyberkriminelle missbrauchen verstärkt virtuelle Maschinen auf legitimen Hosting-Infrastrukturen. Sophos-Analysen zei­gen, dass identische Host­na­men, wie „WIN-J9D866ESIJ2“, mit Ransomware-Opera­tionen in Ver­bindung stehen. Diese Infrastruktur bietet Cyber­kri­mi­nellen strategische Vorteile.

Sophos zufolge missbrauchen Cyberkriminelle tausende virtuelle Ma­schinen (VMs) auf le­gi­ti­men Hosting-Infrastrukturen, insbesondere in Russland. Aufgrund ihrer hohen Leistung wür­den auch Hosting-Infrastrukturen in den Niederlanden und in Deutschland häufiger zum Ziel.

RecoverPoint for Virtual Machines

Chinesische Hacker missbrauchen Dell-Sicherheitslücke seit 2024

Wiederkehrende Host-Namen

Die Counter Threat Unit von Sophos untersuchte Ende 2025 mehrere Ransomware-Vorfälle im Zusammenhang mit der Malware „WantToCry“. In allen analysierten Fällen hätten die An­greifer virtuelle Maschinen mit automatisch generierten „NetBIOS“-Hostnamen genutzt, die aus Windows-Templates des legitimen Infrastrukturmanagement-Anbieters ISPsystem ge­stammt hätten. Die Forscher nahmen diese Beobachtung zum Anlass, Umfang und Hinter­grün­de des Missbrauchs dieser Infrastruktur näher zu untersuchen und kamen zu dem Er­geb­nis, dass zahlreiche öffentlich erreichbare Systeme mit diesen Hostnamen mit Cybercrime-Ak­ti­vi­tä­ten in Verbindung stehen würden. Dazu würden Ransomware-Operationen zählen, der Einsatz von Remote-Access-Trojanern (RAT) sowie die Verbreitung gängiger Malware. Besonders auf­fäl­lig seien die Hostnamen „WIN-J9D866ESIJ2“ und „WIN-LIVFRVQFMKO“ gewesen, die nicht nur in WantToCry-Angriffen aufgetaucht seien, sondern auch in Kampagnen mit „LockBit“-, „Qilin“- und „BlackCat“-Ransomware sowie beim Einsatz des „NetSupport“-RAT.

Bereits 2021 ist ein System mit dem Hostnamen „WIN-LIVFRVQFMKO“ für den Zugang zu in­ter­nen Chats bekannter Cybercrime-Gruppierungen genutzt worden. Diese Chats wurden im Rahmen der sogenannten „ContiLeaks“ öffentlich. In den darauffolgenden Jahren tauchte der­selbe Hostname unter anderem bei einer „Ursnif“-Kampagne gegen italienische Orga­ni­sa­tio­nen sowie bei der Ausnutzung einer Schwachstelle in FortiClient Enterprise Management Ser­ver (EMS) auf.

Verantwortlich für Cyberangriffe auf die USA

So arbeitet die gefährliche Hackergruppe Salt Typhoon

Eine Auswertung mit der Suchmaschine „Shodan“ habe gezeigt, dass diese Hostnamen nicht einzelnen Systemen oder Akteuren zugeordnet werden konnten. Im Dezember 2025 seien mehr­ere tausend internetexponierte Systeme mit identischen Hostnamen aktiv gewesen, die unter anderem Remote-Desktop-Protocol-Dienste (RDP) angeboten hätten. Der Großteil dieser Systeme habe sich basierend auf der zugehörigen IP-Adresse in Russland befunden, die zweit­meisten in Deutschland und die drittmeisten hätten sich in den Niederlande befunden. Sophos geht davon aus, dass die beiden westeuropäischen Länder vermutlich sehr weit oben rangieren, da sie aufgrund ihrer strategisch zentralen Lage, ihrer sehr guten Anbindung über große In­ter­netknotenpunkte, der Knotenpunkte Amsterdam Internet Exchange (AMS-IX) und Deutscher Commercial Internet Exchange (DE-CIX), ihrer strengen, DSGVO-konformen Daten­schutz­ge­set­ze und ihrer robusten, nachhaltigen Infrastruktur führende europäische Hosting-Zentren sind und für hohe Geschwindigkeiten und geringe Latenzzeiten stehen.

Ransomware-Trends Q1 2025

So verändern neue Ransomware-Taktiken die Cyberabwehr

Auffällige Hosting-Anbieter

Die Analysten gehen zwar davon aus, dass ein Teil dieser Systeme legitim genutzt wird, doch weitere Daten würden auf enge Verbindungen zwischen bestimmten Hosting-Anbietern und cyberkriminellen beziehungsweise staatlich unterstützten Aktivitäten hindeuten. Die beiden Anbieter Stark Industries Solutions Ltd und First Server Limited seien dabei besonders hervor getreten. Gegen Stark Industries Solutions Ltd verhängte der Europäische Rat im Mai 2025 restriktive Maßnahmen wegen der Unterstützung russischer staatlicher und staatsnaher Akteure. First Server Limited werde laut Drittanalysen mit der russischen Desin­for­ma­tions­kam­pag­ne „Doppelganger“ in Verbindung gebracht.

Virenschutz, Sicherheitseinstellungen, Verschlüsselung und mehr

10 Tipps für mehr Sicherheit bei Azure-VMs

Nicht-randomisierte Windows-Templates als technische Ursache

Als technische Erklärung für die häufige Verwendung identischer Hostnamen erklärt Sophos so: Sie würden aus weit verbreiteten Windows-Server-Images stammen, die über die Vir­tua­li­sier­ungs­plattform ISPsystem VMmanager bereitgestellt würden. Der ISPsystem VMmanager selbst sei eine legitime und weit verbreitete Virtualisierungsplattform und nicht bösartig. Niedrige Kosten, einfache Bereitstellung und standardisierte Templates würden die Lösung allerdings auch attraktiv für Cyberkriminelle machen, da die große Zahl legitimer Nutzer als Tarnung für missbräuchliche Aktivitäten diene.

Die Forscher hätten in Tests bestätigen können, dass diese Templates Hostnamen und Zer­ti­fi­ka­te enthalten, die bei der Bereitstellung nicht randomisiert würden. Besonders häufig seien so­genannte KMS-aktivierte (Key Management Service) Images eingesetzt worden, die einen zeit­lich begrenzten, lizenz­frei­en Betrieb ermöglichen würden.

Alle vier am häufigsten verwendeten Hostnamen, die insgesamt über 95 Prozent der öffentlich erreichbaren ISPsystem-VMs ausmachen würden, seien mit kriminellen Aktivitäten in Ver­bindung gebracht worden. Darüber hinaus hätten die Forscher in Untergrundforen und auf Telegram zahlreiche Hinweise auf Bulletproof-Hosting-Anbieter gefunden, die gezielt solche Infrastruktur vermarkten würden. Besonders häufig sei der Anbieter MasterRDP, auch bekannt als „rdp.monster“ genannt worden, der offenbar eigene, missbrauchstolerante Hosting-In­fra­struktur betreibe.

Video-Tipp #68: VMs in Windows Server 2019/2022 schützen

7 Security-Tipps für Hyper-V-VMs

Synology Virtual Maschine Manager

Sicherer Betrieb von VMs auf Synology NAS

(ID:50761219)