Play

Überblick

Play, auch als PlayCrypt bekannt, ist eine Ransomware-Gruppe, die nach dem Prinzip der doppelten Erpressung vorgeht: Daten werden vor der Verschlüsselung abgezogen und ihre Veröffentlichung angedroht. Zu den Betroffenen zählen zahlreiche Organisationen, wobei ein deutlicher Schwerpunkt in Lateinamerika erkennbar ist. Der Erstzugang unterscheidet sich kaum von dem anderer Ransomware-Familien und stützt sich auf Phishing, ins Internet exponierte Dienste sowie missbrauchte gültige Zugangsdaten. Auffällig ist die Eigenentwicklung von Werkzeugen: Sicherheitsforscher beschrieben zwei von der Gruppe geschaffene Programme, mit denen sich interne Netzwerke systematisch erfassen und Daten ausleiten lassen. Ein in .NET geschriebener Infostealer erhebt über WMI, WinRM, Remote Registry und Remote Service Informationen zu installierter Software und Diensten, prüft gezielt auf Sicherheits- und Backup-Lösungen sowie Fernwartungswerkzeuge und legt die Ergebnisse in CSV-Dateien ab, die anschließend in einem ZIP-Archiv gebündelt und manuell abgeholt werden. Verschlüsselt werden sowohl Windows- als auch Linux- und ESXi-Umgebungen.

Taktiken & Vorgehen

Der Zugang erfolgt über kompromittierte VPN-Zugangsdaten, gültige Domänen- und lokale Konten, RDP sowie über Schwachstellen in nach außen exponierten Anwendungen wie Microsoft Exchange und FortiOS-SSL-VPN. Ausgeführt wird per PowerShell (auch Base64-kodiert), Windows-Kommandozeile und geplanten Aufgaben. Zur Tarnung werden Nutzlasten in Teile zerlegt, Ereignisprotokolle mit wevtutil gelöscht, Gruppenrichtlinien verändert und Schutzsoftware mit GMER, IOBit, PowerTool und EDRKill deaktiviert. Zugangsdaten werden mit Mimikatz, HandleKatz und Nanodump aus dem LSASS-Speicher sowie aus NTDS.dit gewonnen. Zur Erkundung dienen AdFind, Nltest, BloodHound, WinPEAS und WKTools, zur seitlichen Bewegung PsExec, SMB-Freigaben und RDP. Daten werden mit WinRAR archiviert, in Teilstücke zerlegt und über WinSCP oder Rclone abgezogen; Cobalt Strike, SystemBC, AnyDesk, FRP und Plink dienen der Steuerung. Vor der AES-RSA-Verschlüsselung mit der Endung .play werden Dienste gestoppt und Schattenkopien gelöscht.

Schutzmaßnahmen

Fernzugänge über VPN und RDP sollten durch Mehr-Faktor-Authentisierung, Zugriffsbeschränkung und Überwachung ungewöhnlicher Anmeldungen abgesichert werden. Nach außen exponierte Systeme wie Exchange-Server und SSL-VPN-Gateways sollten konsequent gehärtet und eingespielte Sicherheitsaktualisierungen geprüft werden. Der Zugriff auf den LSASS-Speicher und auf NTDS.dit ist zu überwachen und einzuschränken, um Mimikatz, HandleKatz und Nanodump zu erschweren. Manipulationsschutz für Sicherheitslösungen sowie das Blockieren anfälliger Treiber begegnen GMER, IOBit und PowerTool. Ereignisprotokolle sollten zentral gesichert werden, damit Löschungen per wevtutil auffallen. Ferner sind PsExec und SMB-Freigaben, ungewöhnliche Übertragungen über WinSCP oder Rclone, PowerShell-Ausführung sowie das Löschen von Schattenkopien zu protokollieren und zu alarmieren.