Nightspire

Überblick

NightSpire ist eine Ransomware-Gruppe, die sich in vergleichsweise kurzer Zeit als ernstzunehmender Akteur etabliert hat. Die Gruppe verfolgt ein aggressives Modell der doppelten Erpressung: Sie verschlüsselt nicht nur die Systeme ihrer Opfer, sondern entwendet zuvor sensible Daten und droht mit deren Veröffentlichung, um den Druck auf die Betroffenen zu erhöhen. Charakteristisch sind die ausgesprochen knapp bemessenen Zahlungsfristen, mit denen die Gruppe ihre Forderungen durchsetzt. NightSpire agiert branchenübergreifend und nimmt Einrichtungen aus dem Handel, der Fertigung, dem Gesundheits- und Finanzwesen sowie dem Bildungssektor ins Visier; ihre Aktivität erstreckt sich über zahlreiche Opfer in mehreren Regionen. Technisch setzt die Gruppe auf eine eigenentwickelte, in Go geschriebene Schadsoftware mit modularem Aufbau, die gezielt auf Windows-Umgebungen ausgerichtet ist und verschlüsselte Dateien mit der Endung „.nspire“ kennzeichnet. Insgesamt zeigt sich NightSpire als professionell organisierter Akteur mit einer durchgängig strukturierten Angriffskette.

Taktiken & Vorgehen

Für den Erstzugang nutzt NightSpire kompromittierte RDP-Zugänge, Brute-Force-Angriffe samt MFA-Fatigue, Phishing mit schädlichen Anhängen sowie die Ausnutzung exponierter Anwendungen, darunter eine Authentifizierungsumgehung in FortiOS/FortiProxy. Zur Ausführung kommen PowerShell, Batch-Skripte, PsExec und WMI zum Einsatz; Persistenz wird über geplante Aufgaben, Dienste, neu angelegte Administratorkonten und Registry-Run-Keys hergestellt. Anmeldedaten werden mit Mimikatz und über das Auslesen des LSASS-Speichers erbeutet. Zur Erkundung dienen der Advanced IP Scanner sowie „Everything.exe“ für die Dateiindizierung, die laterale Bewegung erfolgt über RDP, SMB und WMI. Gestohlene Daten werden mit 7-Zip archiviert und über WinSCP, Rclone sowie MEGACmd zu MEGA exfiltriert. Zur Tarnung setzt die Gruppe auf legitime Werkzeuge, umbenannte Prozesse, LOLBins und die Beseitigung forensischer Spuren. Die Verschlüsselung kombiniert AES-256 und RSA-2048.

Schutzmaßnahmen

Fernzugänge über RDP sollten über VPN, starke Anmeldedaten und eine resistente Mehr-Faktor-Authentisierung abgesichert werden, da NightSpire kompromittierte RDP-Zugänge, Brute-Force-Angriffe und MFA-Fatigue ausnutzt; exponierte Systeme wie FortiOS/FortiProxy sollten gehärtet und zeitnah gepatcht werden. Gegen das Auslesen von Anmeldedaten mit Mimikatz sollte der Zugriff auf den LSASS-Speicher überwacht und eingeschränkt werden. Der Einsatz legitimer Werkzeuge wie PsExec, WinSCP, Rclone, MEGACmd und 7-Zip sollte durch Anwendungssteuerung und Verhaltensüberwachung erkennbar gemacht werden, ebenso die Nutzung von PowerShell und WMI. Ausgehender Datenverkehr zu Cloud-Speichern wie MEGA sollte überwacht werden, um Exfiltration frühzeitig zu erkennen. Neu angelegte Administratorkonten, geplante Aufgaben und Registry-Run-Keys sollten kontrolliert werden.