Lapsus$

Überblick

Lapsus$ ist eine international zusammengesetzte Erpressergruppe, die sich nicht auf die Verschlüsselung von Daten, sondern auf reinen Datendiebstahl mit anschließender Veröffentlichungsdrohung konzentrierte. Im Fokus stand der Zugriff auf Quellcode und interne Entwicklungsbestände großer Technologie-, Software- und Identitätsdienstleister; die entwendeten Bestände dienten als Druckmittel gegenüber den betroffenen Unternehmen. Die Gruppe fiel durch besonders aufmerksamkeitsstarke Vorgehensweisen auf und trug ihre Angriffe öffentlichkeitswirksam nach außen. Charakteristisch war der Verzicht auf klassische Ransomware-Verschlüsselung zugunsten von Erpressung allein über die Drohung mit Datenveröffentlichung. Ungewöhnlich war auch die Zusammensetzung der Akteure: Mehrere Beteiligte waren Jugendliche, ein Teil der Mitglieder wurde im Vereinigten Königreich festgenommen. Lapsus$ zeigte damit, dass technisch wenig aufwendige, aber sozial geschickt angelegte Angriffe gegen gut ausgestattete Konzerne erfolgreich sein können, weil sie an Menschen, Identitätsdiensten und Zugangsprozessen ansetzen statt an ausgefeilter Schadsoftware.

Taktiken & Vorgehen

Der Zugang erfolgte überwiegend über gültige Konten: gestohlene, gekaufte oder von Mitarbeitenden, Lieferanten und Partnern erkaufte Zugangsdaten und Sitzungstoken für VPN, RDP, VDI, Citrix, Cloud-Konten und Identitätsdienste wie Azure Active Directory und Okta. Ergänzend nutzte die Gruppe Social Engineering, Impersonation gegenüber Help-Desks, Spearphishing per Telefon sowie MFA-Prompt-Bombing und das Wiedereinspielen gestohlener Token. Intern kamen Mimikatz, ADExplorer, ntdsutil und DCSync zum Einsatz, dazu der Redline-Infostealer, lokale Passwortmanager und AnyDesk als Fernwartung. Ungepatchte interne Server wie JIRA, GitLab und Confluence dienten der Rechteausweitung; Kollaborationsplattformen, SharePoint und Code-Repositories wurden nach weiteren Zugangsdaten durchsucht. Zum Abschluss wurden globale Administratorkonten angelegt oder entfernt, Mailweiterleitungsregeln gesetzt, ESXi-Maschinen abgeschaltet, Cloud-Ressourcen und DNS-Einträge manipuliert oder gelöscht.

Schutzmaßnahmen

Fernzugänge wie VPN, RDP, VDI und Citrix sollten strikt auf phishingresistente Mehr-Faktor-Authentisierung umgestellt werden; einfache Bestätigungsabfragen und damit MFA-Prompt-Bombing sind zu unterbinden. Sitzungstoken sollten kurzlebig gestaltet und bei Anomalien invalidiert werden. Help-Desk-Prozesse für Passwort- und MFA-Rücksetzungen benötigen belastbare Identitätsprüfungen gegen Impersonation per Telefon. Anlegen und Ändern globaler Administratorrollen, neue Cloud-Instanzen, Mailtransportregeln und DNS-Änderungen sollten protokolliert und alarmiert werden. Zugriffe auf Domänencontroller über ntdsutil sowie DCSync-Replikationsrechte sind einzuschränken und zu überwachen. Interne Dienste wie JIRA, Confluence und GitLab sollten gepatcht, Code-Repositories und Kollaborationsplattformen systematisch auf hinterlegte Zugangsdaten durchsucht werden. Der Einsatz von Fernwartungswerkzeugen wie AnyDesk ist per Allowlisting zu begrenzen.