Ragnarlocker

Überblick

Ragnar Locker war eine professionell agierende Ransomware-Gruppe, die gezielt große Unternehmen und Betreiber kritischer Infrastrukturen ins Visier nahm. Die Gruppe verfolgte einen mehrstufigen Ansatz, bei dem zunächst der Zugang zu Opfernetzen erlangt, anschließend sensible Daten abgezogen und erst danach verschlüsselt wurde. Charakteristisch war das Vorgehen nach dem Prinzip der doppelten Erpressung: Über eine eigene Leak-Plattform wurde mit der Veröffentlichung gestohlener Daten gedroht, um den Druck auf die Betroffenen zu erhöhen. Ragnar Locker richtete sich gegen Einrichtungen unterschiedlicher Branchen und legte besonderen Wert auf eine möglichst weitreichende Verschlüsselung innerhalb der angegriffenen Umgebungen. Bemerkenswert war zudem die ausgeprägte Bereitschaft, Sicherheitswerkzeuge gezielt auszuschalten und die Erkennung durch Schutzlösungen zu unterlaufen. Die Aktivitäten der Gruppe wurden schließlich durch eine international koordinierte Strafverfolgungsoperation beendet, bei der zentrale Infrastruktur sichergestellt wurde.

Taktiken & Vorgehen

Den Erstzugang verschaffte sich Ragnar Locker über gültige Zugangsdaten, insbesondere über kompromittierte Konten von Managed-Service-Providern, um zugleich mehrere nachgelagerte Kundenumgebungen zu erreichen, sowie über das Ausnutzen exponierter Dienste wie RDP und VPN-Appliances. Zur Ausführung und Nachbearbeitung kam PowerShell zum Einsatz, für die Befehls- und Kontrollkommunikation über HTTPS Cobalt Strike. Auffällig war die Verschleierung: Die Schadsoftware wurde innerhalb einer VirtualBox-Maschine ausgeführt, um hostbasierte Schutzlösungen zu umgehen; Sicherheitswerkzeuge und Fernwartungsagenten wurden beendet. Für Erkundung und Ausbreitung nutzte die Gruppe Werkzeuge wie Advanced Port Scanner, Dsquery, PsInfo, SoftPerfect LanSearchPro, PsExec und WMIC, ergänzt um Fernzugriffswerkzeuge wie AnyDesk, Remote Manipulator System (RMS) und RemoteUtilities. Zugangsdaten wurden ausgelesen, Netzwerkfreigaben enumeriert und RDP zur seitlichen Bewegung genutzt. Vor der Verschlüsselung erfolgte ein Datenabfluss; Schattenkopien und Wiederherstellungsoptionen wurden beseitigt.

Schutzmaßnahmen

Fernzugänge über RDP und VPN-Appliances sollten über Mehr-Faktor-Authentisierung abgesichert, exponierte Dienste minimiert und bekannte Schwachstellen geschlossen werden. Konten von Managed-Service-Providern und sonstige gültige Zugangsdaten sollten streng verwaltet, privilegiert getrennt und auf Missbrauch überwacht werden. Da Schadcode innerhalb einer VirtualBox-Umgebung ausgeführt wurde, sollte die unautorisierte Installation von Virtualisierungssoftware unterbunden und entsprechende Prozesse überwacht werden. Das Beenden von Sicherheits- und Fernwartungsagenten sowie der Einsatz von PowerShell, Cobalt Strike und Fernzugriffswerkzeugen wie AnyDesk sollten durch Härtung, Anwendungssteuerung und Protokollierung erschwert und erkannt werden. Der Einsatz von Werkzeugen zur Zugangsdatenextraktion sowie die Enumeration von Netzwerkfreigaben sollten durch Überwachung auffälliger Aktivitäten eingedämmt werden.