Henry Schein, ein in den Fortune 500 gelisteter US-amerikanischer Gesundheitskonzern mit Niederlassungen in 32 Ländern, wurde im Oktober 2023 zweimal innerhalb weniger Wochen von der Ransomware-Gruppe BlackCat (ALPHV) angegriffen. Der Fall zeigt, wie Angreifer nach einem ersten Einbruch im System verbleiben oder erneut eindringen können — und warum eine halbherzige Incident Response den Schaden vervielfacht.

Erster Angriff: 15. Oktober 2023

Henry Schein nahm mehrere Systeme als Reaktion auf den Angriff vom Netz. E-Mail- und Telefoninfrastruktur waren zeitweise nicht nutzbar. Das Unternehmen arbeitete teilweise mit Behelfsmitteln — tausende Bestellungen wurden per Telefon und Messenger entgegengenommen, was den Betrieb erheblich verlangsamte.

Die dreiwöchige forensische Untersuchung ergab, dass sich die Angreifer Zugang zu sensiblen Daten verschafft hatten: Lieferanteninformationen, Zahlungskartennummern und Bankkontodaten. BlackCat bekannte sich zum Angriff und nahm Henry Schein auf ihre Leak-Site auf.

Zweiter Angriff: Die erneute Verschlüsselung

Henry Schein identifizierte die Ursache der Störung und begann mit der Wiederherstellung von Systemen und Daten. An diesem Punkt griff BlackCat erneut ein und verschlüsselte die Daten ein zweites Mal — die Wiederherstellungsbemühungen waren vergeblich.

Ob die Angreifer zwischen den beiden Angriffen im System verblieben waren oder sich erneut Zugang verschafften, blieb unklar. Beide Szenarien sind gravierend:

• Persistenz: Die Angreifer waren nie vollständig entfernt worden — eine häufige Konsequenz unvollständiger Incident Response
• Erneuter Einbruch: Die initialen Einfallstore wurden nicht ausreichend geschlossen, sodass ein zweiter Einbruch möglich war

BlackCat/ALPHV: Professionelle Ransomware-Gruppe

BlackCat (auch ALPHV genannt) war zum Zeitpunkt des Angriffs eine der aktivsten Ransomware-Gruppen weltweit. Die Gruppe operierte als Ransomware-as-a-Service und war bekannt für die Double-Extortion-Methode: Daten verschlüsseln und gleichzeitig mit Veröffentlichung drohen.

Im Dezember 2023 führte das FBI eine Disruption-Operation gegen BlackCat durch und übernahm temporär deren Leak-Site. Die Gruppe stellte den Betrieb Anfang 2024 ein — allerdings nicht ohne einen letzten Exit-Scam gegen ihre eigenen Affiliates.

Lehren für Incident Response

1. Vollständige Bereinigung vor Wiederherstellung

Systeme wiederherstellen, bevor die Angreifer vollständig aus dem Netzwerk entfernt sind, ist der häufigste und teuerste Fehler in der Incident Response. Bevor ein System wieder online geht, muss sichergestellt sein, dass keine Backdoors, persistenten Zugänge oder kompromittierten Accounts verbleiben.

2. Compromise Assessment nach jedem Vorfall

Nach einem Ransomware-Angriff reicht es nicht, die verschlüsselten Systeme aus Backups wiederherzustellen. Ein vollständiges Compromise Assessment muss klären: Wie sind die Angreifer eingedrungen? Welche Systeme waren betroffen? Welche Persistenz-Mechanismen wurden installiert? Welche Daten wurden exfiltriert?

3. Isolierte Backup-Infrastruktur

Backups müssen offline oder in einem isolierten Netzwerksegment vorgehalten werden. Wenn Angreifer Zugriff auf die Backup-Infrastruktur haben, können sie Backups vor der Verschlüsselung löschen oder manipulieren — und eine Wiederherstellung unmöglich machen.

4. Getestete Recovery-Prozesse

Henry Schein brauchte Wochen für die Wiederherstellung — und wurde mittendrin erneut angegriffen. Disaster-Recovery-Prozesse müssen regelmäßig getestet werden — nicht nur dokumentiert. Die Recovery-Zeit (RTO) muss bekannt und realistisch sein.

Handlungsempfehlungen

• Incident Response Plan testen: Mindestens einmal jährlich eine Tabletop Exercise durchführen, die ein Ransomware-Szenario simuliert
• Forensik vor Recovery: Niemals Systeme wiederherstellen, bevor die forensische Analyse den Angriffsvektor und alle Persistenz-Mechanismen identifiziert hat
• Backup-Isolation: 3-2-1-Regel konsequent umsetzen — mindestens eine Kopie offline und für Angreifer unzugänglich
• 24/7-Monitoring nach Vorfällen: In den Wochen nach einem Angriff ist erhöhte Wachsamkeit geboten — Angreifer kehren zurück

Am Abend des 16. Juni 2023 traf ein schwerwiegender Cyberangriff die Mediengruppe Rheinische Post. Betroffen waren die Rheinische Post, der General-Anzeiger Bonn, die Aachener Nachrichten, die Saarbrücker Zeitung und der Trierische Volksfreund — sowohl die Online- als auch die Printausgaben. Die Verlage mussten fast eine Woche lang im eingeschränkten Notbetrieb arbeiten und nur reduzierte Ausgaben veröffentlichen.

Ablauf und Auswirkungen

Nach Bekanntwerden des Angriffs schaltete die Mediengruppe betroffene Systeme ab, um eine weitere Ausbreitung von Schadsoftware zu verhindern. Die Wiederherstellung erfolgte schrittweise — Server für Server, System für System. Während des Notbetriebs erschienen die Zeitungen in stark reduziertem Umfang. Online-Portale waren teilweise nicht erreichbar.

Die Mediengruppe erklärte zunächst, Nutzer- und Kundendaten seien „sicher”. Diese Einschätzung erwies sich als verfrüht: Wie am 30. August 2023 bekannt wurde, ergab die Überprüfung von rund 1.200 betroffenen Servern, dass doch Daten abgeflossen waren. Ob Nutzerdaten betroffen waren, ließ sich nicht mit Sicherheit ausschließen.

Nachträgliche Entdeckung: Datenabfluss nicht auszuschließen

Das Unternehmen informierte die Nutzer per Brief über die Entdeckung und empfahl, auf verdächtige Transaktionen auf Bankkonten zu achten und bei eingehenden E-Mails besonders wachsam zu sein — ein Hinweis auf die Möglichkeit gezielter Phishing-Angriffe mit den erbeuteten Daten.

Der zeitliche Ablauf verdient besondere Beachtung: Zwischen dem Angriff im Juni und der Information der Nutzer über den möglichen Datenabfluss vergingen über zwei Monate. In dieser Zeit hätten Angreifer gestohlene Daten bereits für weitere Attacken nutzen können.

Medienhäuser als Ziel: Warum die Branche besonders exponiert ist

Medienhäuser sind aus mehreren Gründen attraktive Ziele für Cyberangreifer:

• Zeitdruck als Hebel: Tageszeitungen müssen täglich erscheinen. Jeder Tag Ausfall kostet nicht nur Umsatz, sondern Leser und Abonnenten. Das erhöht die Bereitschaft, Lösegeld zu zahlen
• Große Nutzerdatenbanken: Abonnenten-Daten, E-Mail-Adressen, Zahlungsinformationen — alles in zentralen Systemen
• Komplexe IT-Landschaften: Content-Management-Systeme, Redaktionssysteme, Druckvorstufe, Verlagssoftware — viele Systeme, oft historisch gewachsen und nicht immer aktuell gepatcht
• Öffentlichkeitswirkung: Ein Angriff auf eine große Tageszeitung generiert Aufmerksamkeit — für manche Angreifer ein Ziel an sich

Lehren aus dem Vorfall

• Transparente Kommunikation von Anfang an: Die voreilige Entwarnung bezüglich der Nutzerdaten erwies sich als falsch. Besser: Offene Kommunikation über das, was bekannt ist — und was nicht
• Forensik braucht Zeit — Nutzer brauchen schnelle Information: Dass die vollständige forensische Analyse von 1.200 Servern Monate dauert, ist nachvollziehbar. Nutzer sollten dennoch frühzeitig über mögliche Risiken informiert werden — auch wenn der Umfang noch unklar ist
• Incident-Response-Plan muss Kommunikation umfassen: Nicht nur die technische Bewältigung, sondern auch die Kommunikation mit Nutzern, Datenschutzbehörden und Öffentlichkeit muss vorab geplant sein
• Netzwerksegmentierung: Wenn ein Angriff 1.200 Server erreicht, ist die Segmentierung unzureichend. Redaktionssysteme, Nutzerdatenbanken und Produktionssysteme müssen in getrennten Segmenten laufen

Der Fahrrad- und E-Bike-Hersteller Prophete aus Rheda-Wiedenbrück mit den weiteren Marken Kreidler, VSF Fahrradmanufaktur, Cycle Union und E-Bikemanufaktur hat Konkurs angemeldet. Dieser Enthüllung war ein Cyberangriff vorausgegangen, der die Produktion fast einen Monat lang lahmlegte. Eine so lange Unterbrechung der Produktion wirkte sich auf den Absatz aus und führte zu einem Mangel an finanziellen Mitteln.

Prophete ist ein deutscher Hersteller von Fahrrädern, Elektrofahrrädern und Mopeds. Zu dem Unternehmen gehören auch die Marken VSF Fahrradmanufaktur, Rabeneick und Kreidler. Außerdem besitzt sie ein Tochterunternehmen, die Cycle Union. Das Unternehmen hat etwa 400-450 Beschäftigte und verfügt über 4 Produktionsstätten. Im vergangenen Jahr sah sich das Unternehmen mit mehreren Herausforderungen konfrontiert, die sich erheblich auf seine Finanzlage auswirkten. Probleme in der Lieferkette, bei der Planung und ein unter den Erwartungen liegender Umsatz belasteten das Unternehmen.

Deshalb hat das Unternehmen im vergangenen Jahr eine Finanzierungsrunde mit Gläubigern und Aktionären eingeleitet. Und alles hätte gut sein können, doch dann gab es einen Cyberangriff. Dadurch wurde nicht nur der Betrieb gestört, sondern auch die Finanzierungsrunde zum Scheitern gebracht. Leider ist über den Angriff selbst nicht viel bekannt. Nach Angaben des Unternehmens gab es Probleme bei der Rechnungsstellung, die die Probleme bei der Lieferung von Ersatzteilen noch verschärften.

Dies kann auf einen Phishing-Angriff hindeuten, der höchstwahrscheinlich auf privilegierte Konten abzielt. Solche Angriffe auf Unternehmen werden per E-Mail verbreitet, weshalb sichere E-Mails für alle Unternehmen von entscheidender Bedeutung sind. Es ist unklar, warum die Strafverfolgungsbehörden erst einen Monat später benachrichtigt wurden. Im Falle eines Cyberangriffs muss das BSI innerhalb von 72 Stunden kontaktiert werden und alle betroffenen Kunden müssen über den Vorfall informiert werden.

Der Cyberangriff war zwar nicht der einzige Faktor für die Insolvenz des Unternehmens, aber der letzte Strohhalm. Wer weiß, wie sich das Schicksal nach erfolgreichen zusätzlichen Finanzierungsrunden entwickelt hätte. Höchstwahrscheinlich wird das Unternehmen seine Aktivitäten mit neuen Eigentümern fortsetzen. Das hängt auch von den Schlussfolgerungen der Prüfung und der Untersuchung der wahren Folgen des Cyberangriffs ab, vielleicht ist alles schlimmer als wir denken.

Unbestreitbare Investitionen in die Cybersicherheit des Unternehmens führen zu einem kontinuierlichen Betrieb. Sie macht das Unternehmen berechenbarer und widerstandsfähiger, verbessert den Ruf und kostet letztlich weniger. Es gibt keinen guten Zeitpunkt, um von Angreifern gehackt zu werden, aber in Zeiten finanzieller Not ist es besonders kritisch. Zögern Sie nicht, Ihr digitales Vermögen zu schützen, kontaktieren Sie https://stage.neosec.eu/!

Malware-Forscher von Cyble haben einen neuen Malware-as-a-Service namens DuckLogs online entdeckt. Die Webseite behauptet, dass sie bereits über zweitausend Kunden hat, die über sechstausend erfolgreiche Angriffe durchgeführt haben.

Es wird eine breite Palette von Funktionen angegeben, die es Ihnen ermöglichen, Dateien, E-Mails, Passwörter, Browserverläufe, Krypto-Wallets zu stehlen, die Fernsteuerung von Geräten zu übernehmen und vieles mehr.

Cyberkriminelle verwenden zahlreiche Techniken, um die Entdeckung zu erschweren. Die Forscher gehen davon aus, dass die Verbreitung dieser Malware über E-Mails erfolgt, aber die Verbreitungskanäle sind nicht darauf beschränkt.

Wie ähnliche Dienste bieten sie eine breite Palette von Funktionen, die verschiedene Arten von ausgeklügelten Angriffen zu relativ geringen Kosten ermöglichen, selbst für Angreifer ohne ein hohes Maß an Wissen in der Cyberkriminalität. Dadurch erhöht sich die Wahrscheinlichkeit, dass auch Ihr Gerät, Ihr Netzwerk oder Ihr Unternehmen kompromittiert wird, erheblich. Denn jetzt kann jeder ein Hacker werden, der raffinierte Angriffsmethoden anwendet.

Ein weiteres Merkmal dieses Services ist eine noch größere Funktionserweiterung. Das ist ein Problem, denn wenn ein Hacker die erste Schwelle überwunden hat, kann er fast alle sensiblen Informationen stehlen, vollen Zugriff auf das Gerät erhalten und Sie sogar daran hindern, den Computer zu benutzen.

Daher ist der Schutz vor dieser Malware äußerst wichtig. Nach den vorliegenden Informationen gibt es mehrere Stellen, an denen Sie sich schützen können.

Denn es scheint, dass die Verbreitung durch Phishing erfolgt. So kann eine E-Mail mit Malware gefiltert oder ein bösartiger Anhang blockiert werden.

Dateien, die DuckLogs enthalten oder enthalten könnten, werden untersucht und in die Datenbank aufgenommen, damit sie von Antivirenprogrammen überprüft werden können. Das Problem ist jedoch, dass Angreifer den Code ständig verbessern und verändern können, was die Wirksamkeit dieser Maßnahmen verringert. Selbst wenn ein Antivirenprogramm über eine Datenbank mit allen früheren Versionen dieser Malware verfügt, kann es sein, dass es eine neue Version nicht erkennt.

Der Virus kann auch durch das Verhalten von Dateien erkannt werden, aber in diesem Fall haben wir eine breite Funktionalität, und daher sehr variables Verhalten. Um diese Malware zu erkennen, muss man daher ein Dutzend Anwendungen konfigurieren, die verschiedene Aspekte des Programmverhaltens auf Verdachtsmomente hin überwachen. Der Vorteil dieses Ansatzes besteht darin, dass die Einrichtung solcher Maßnahmen, ähnlich wie bei der E-Mail-Filterung, weniger von Viren-Updates abhängig ist und auch einen Schutz vor anderen Cyberangriffen bietet.

Im Gegensatz zu Ransomware kann diese Malware die vollständige Kontrolle über das infizierte Gerät übernehmen. Das macht es viel schwieriger, diese Software zu entfernen, Daten wiederherzustellen und den normalen Betrieb des Geräts zu gewährleisten. Daher ist die Verhinderung der Infizierung eine wichtige Aufgabe.

Leider nimmt die Anzahl und Raffinessen von Malware nicht ab, was eine höhere Komplexität und eine Ausweitung der Cyberabwehr erfordert. Zum Glück haben Sie uns, wir überwachen die neueste Malware, wenden die wirksamsten Schutzinstrumente an und implementieren sie für Sie.