China-nahe Angreifer verbreiten StormEncryptor-Ransomware über vermutete N-central-Sicherheitslücke

Ein neuer Ransomware-Stamm namens StormEncryptor wurde mit einer in China ansässigen Hackergruppe in Verbindung gebracht und wird wahrscheinlich über eine Sicherheitslücke in N-central verbreitet, einem Remote-Überwachungs- und Verwaltungstool, das von vielen IT-Dienstleistern verwendet wird. Die Entdeckung, über die Cybersicherheitsforscher berichten, unterstreicht die wachsende Gefahr, dass Angreifer genau die Tools ins Visier nehmen, auf die IT-Teams zur Verwaltung und Sicherung von Kundensystemen angewiesen sind. N-central ermöglicht es Managed Service Providern (MSPs), Computer und Server für mehrere Kunden von einer einzigen Konsole aus remote zu überwachen, zu aktualisieren und Fehler zu beheben. Wenn Angreifer diese Konsole kompromittieren oder eine Schwachstelle in der Software ausnutzen können, können sie möglicherweise bösartigen Code wie Ransomware in jedes Kundennetzwerk einschleusen, das von diesem Anbieter verwaltet wird.

Ransomware ist eine Art von Schadsoftware, die die Dateien eines Opfers sperrt oder verschlüsselt und sie unlesbar macht, bis ein Lösegeld gezahlt wird, normalerweise in Kryptowährung. StormEncryptor scheint diesem Modell zu folgen, indem es Daten verschlüsselt und die Zahlung für den Entschlüsselungsschlüssel verlangt. Die genauen Details zur Funktionsweise von StormEncryptor, wie etwa die Höhe des Lösegelds oder die Verschlüsselungsmethode, wurden in der Quelle nicht angegeben, aber der Name deutet auf einen Fokus auf aggressives Verschlüsseln von Dateien in einem Netzwerk hin. Für Website-Betreiber und Unternehmen sind Ransomware-Angriffe besonders verheerend, da sie Websites lahmlegen, Datenbanken beschädigen und den Betrieb tagelang oder wochenlang stoppen können.

Der wahrscheinliche Angriffsvektor ist ein Fehler in N-central. Ein Softwarefehler oder eine Schwachstelle ist ein Fehler im Code, den Angreifer ausnutzen können, um unbefugten Zugriff zu erhalten oder Befehle auszuführen. N-central ist ein leistungsfähiges Tool, da es administrativen Zugriff auf viele Computer gleichzeitig hat. Dies macht es zu einem attraktiven Ziel: Eine einzige Schwachstelle kann es einem Angreifer ermöglichen, von einem kompromittierten MSP zu Dutzenden oder Hunderten seiner Kunden zu springen. Die Quelle spezifiziert nicht die genaue Schwachstelle oder ob ein Patch verfügbar ist, aber der Ausdruck "wahrscheinlich über N-central-Fehler" deutet darauf hin, dass Forscher vermuten, dass die Angreifer eine ungepatchte Schwachstelle in der Software ausgenutzt haben, um StormEncryptor zu installieren. Die China-Verbindung deutet auf eine gut ausgestattete Gruppe hin, aber die unmittelbare Sorge für IT-Teams ist nicht die Nationalität des Angreifers, sondern die Tatsache, dass ein weit verbreitetes Verwaltungstool missbraucht wurde.

Für Website-Betreiber, die N-central nicht direkt verwenden, besteht das Risiko dennoch. Ihr Hosting-Anbieter oder IT-Dienstleister verwendet möglicherweise Remote-Verwaltungssoftware wie N-central, um Ihren Server oder das Website-Backend zu warten. Wenn dieser Anbieter kompromittiert wird, könnte Ransomware auf Ihre Website oder Ihren Server übertragen werden, ohne dass Sie direkt etwas tun müssen. Dies ist der Grund, warum Lieferkettenangriffe, bei denen Angreifer einen Dienstleister ins Visier nehmen, um viele Kunden auf einmal zu erreichen, zu einem großen Problem in der Cybersicherheit geworden sind. Ein kompromittiertes Verwaltungstool kann traditionelle Verteidigungsmaßnahmen umgehen, da die bösartige Aktivität von einem vertrauenswürdigen Administrator zu stammen scheint.

Um das Risiko durch diese und ähnliche Bedrohungen zu verringern, ist es wichtig, alle Remote-Verwaltungs- und IT-Administrationstools mit den neuesten Sicherheitspatches auf dem neuesten Stand zu halten. Wenn Ihre Organisation N-central oder eine ähnliche Plattform verwendet, wenden Sie Updates sofort an und überprüfen Sie, ob keine unbefugten Konten oder Aufgaben erstellt wurden. Unternehmen, denen die Zeit oder das Fachwissen fehlt, diese Tools ständig zu überwachen, können von sicherheitsorientierten IT-Diensten wie AEU-I profitieren, die Infrastrukturverwaltung und Beratung anbieten, um Schwachstellen zu identifizieren und zu schließen, bevor Angreifer sie ausnutzen können. Regelmäßige Offline-Backups sind ebenfalls entscheidend: Wenn Ransomware zuschlägt, können Sie mit einem sauberen Backup Ihre Website und Daten wiederherstellen, ohne das Lösegeld zu zahlen.

Dieser Vorfall erinnert daran, dass Ransomware-Betreiber zunehmend die Software-Lieferkette und die Verwaltungsinfrastruktur ins Visier nehmen. Anstatt Websites einzeln anzugreifen, suchen sie nach einem einzigen schwachen Punkt, der ihnen Zugang zu vielen Opfern auf einmal verschafft. Indem Sie sich über Bedrohungen wie StormEncryptor informieren und proaktive Schritte zur Sicherung von Remote-Verwaltungstools unternehmen, können Website-Betreiber und IT-Teams ihre Anfälligkeit für diese kostspieligen Angriffe erheblich verringern.