Conti

Überblick

Conti zählt zu den besonders schädlichen Ransomware-Familien, was vor allem auf die Geschwindigkeit zurückzuführen ist, mit der die Schadsoftware Daten verschlüsselt und sich auf weitere Systeme im Netzwerk ausbreitet. Hinter der Gruppe wird eine in Russland ansässige Cyberkriminellen-Vereinigung vermutet, die unter dem Pseudonym „Wizard Spider“ auftritt. Conti wird als Ransomware-as-a-Service betrieben, sodass die Schadsoftware über ein Partnermodell verbreitet wird. Die Gruppe verfolgt das Modell der doppelten Erpressung: Vor der eigentlichen Verschlüsselung werden sensible Daten der Opfer entwendet, um zusätzlichen Druck aufzubauen. Betroffen sind Einrichtungen unterschiedlicher Branchen. Charakteristisch ist eine stark automatisierte, mehrstufige Vorgehensweise vom Erstzugang über die Ausbreitung im Netzwerk bis hin zur abschließenden Verschlüsselung. Die Bedeutung der Gruppe spiegelt sich auch darin wider, dass staatliche Stellen eine Belohnung für Hinweise zu den Hintermännern ausgesetzt haben.

Taktiken & Vorgehen

Der Erstzugang erfolgt über gültige Domänenkonten, die bei Initial Access Brokers beschafft oder aus früheren Kompromittierungen gewonnen werden, über die Ausnutzung öffentlich erreichbarer Anwendungen (etwa Log4Shell, ProxyShell sowie Fortinet-Schwachstellen) und über Spear-Phishing mit makrobehafteten Office-Dokumenten, das BazarLoader und TrickBot ausliefert. Zur Ausführung und Ausbreitung dienen WMI, PowerShell, PsExec, Cobalt Strike, Metasploit und PowerShell Empire. Anmeldedaten werden mit Mimikatz aus dem LSASS-Speicher sowie durch Extraktion der NTDS.dit erbeutet, während BloodHound, SoftPerfect Network Scanner und Nmap der Aufklärung dienen. Die seitliche Bewegung läuft über RDP und PsExec. Mit Rclone werden Daten zu MEGA und weiteren Cloud-Diensten exfiltriert; AnyDesk und Atera dienen als Fernzugriffs-Hintertüren. Die Verschlüsselung nutzt ChaCha20 mit RSA-4096 und arbeitet stark parallelisiert; Schattenkopien werden über vssadmin und wmic gelöscht und die Wiederherstellung per bcdedit unterbunden.

Schutzmaßnahmen

Fernzugänge über RDP sollten über VPN und Mehr-Faktor-Authentisierung abgesichert und Domänenkonten konsequent überwacht werden, um den Missbrauch gültiger Zugangsdaten zu erschweren. Öffentlich erreichbare Anwendungen sollten gegen bekannte Schwachstellen wie Log4Shell, ProxyShell und Fortinet-Lücken gehärtet werden. Der Zugriff auf den LSASS-Speicher und die NTDS.dit auf Domänencontrollern sollte eingeschränkt und protokolliert werden, um das Auslesen von Anmeldedaten mit Mimikatz zu verhindern. Schutzfunktionen von Defender und EDR sollten gegen Manipulation abgesichert werden. Der Einsatz von Fernwartungssoftware wie AnyDesk und Atera sollte eingeschränkt und auf nicht autorisierte Installationen überwacht werden. Der ausgehende Datenverkehr sollte auf Exfiltrationswerkzeuge wie Rclone und Cloud-Uploads hin kontrolliert werden, und Schattenkopien sollten vor unbefugter Löschung geschützt werden.