Ransomware-Befall beim Automobilzulieferer Gedia

[English]Beim Automobilzulieferer Gedia hat es eine Infektion mit Ransomware gegeben. In Folge wurden die IT-Systeme abgeschaltet, weil der Erpressungstrojaner auch Daten verschlüsselte. Ergänzung: Mir liegen Informationen vor, dass die Citrix ADC/Netscaler Shitrix-Schwachstelle das Einfalls-Tor gewesen sein könnte.

Die Gedia Automotive Group beschäftigt mehr als 4.300 Mitarbeiter/innen an acht Produktionsstätten/innen und produziert Karosseriepressteile sowie Schweißbaugruppen für die Automobilindustrie. Gedia operiert weltweit und hat unter anderem Produktionswerke in China, Mexiko und Polen.

Ransomware-Angriff legt Sauerländer Unternehmen lahm

Vor einigen Stunden berichtete der Sauerland-Kurier in diesem Artikel, dass der Automobilzulieferer Gedia in Attendorn Opfer eines schweren Hacker-Angriffs geworden sei. Das Unternehmen hat Donnerstagvormittag wohl eine Pressemitteilung dazu herausgegeben (auf der Unternehmensseite ist leider nichts dazu zu finden).

Das Medium LokalPlus  berichtete von einem Cyberangriff auf die Zentrale der Gedia Automotive Gruppe in Attendorn-Ennest (Sauerland). Der Angriff erfolgte in der Nacht von Montag auf Dienstag, den 21. Januar 2020. Gedia-Vertriebsleiter Markus Hammer wird von LokalPlus so zitiert, "dass die Sicherheitssysteme des Unternehmens die Attacke sehr schnell bemerkt hätten". Angesichts des Umfanges des Angriffs haben sich die Verantwortlichen schnell zur Abschaltung aller IT-Systeme entschieden und umgehend externe Experten hinzugezogen.

In der zentralen Verwaltung von Gedia in Attendorn-Ennest wurden 300 bis 350 Mitarbeiter dadurch in 'Zwangsurlaub' geschickt. Die Fehlzeiten sollen über Gleichzeitkonten und Mehrarbeit später ausgeglichen werden. Die Produktion des Zulieferers soll aber weiter laufen, so LokalPlus.

Sodinokibi Ransomware beteiligt?

Die Kollegen bei Bleeping Computer haben in diesem Artikel heute, vor Veröffentlichung der Gedia-Pressemitteilung berichtet, dass die Sodinokibi Ransomware beteiligt sei und die Hintermänner mit der Veröffentlichung von Daten der Automotive Group drohten.

Einstieg über Citrix ADC/Netscaler-Schwachstelle?

Ergänzung: Ich hatte schon zum Fall in Potsdam (siehe Potsdam offline–Ungereimtheiten erzwingen Server-Shutdown) den Hinweis gegeben, dass die Sicherheitslücke im Citrix Netscaler eine Ursache für den erfolgreichen Angriff auf das Netzwerk gewesen sein könnte.

I examined the files #REvil posted from https://t.co/3wfGoNUqp4 after they refused to pay the #ransomware.

the interesting thing I discovered is that they obviously hacked Gedia via the #Citrix exploit

my bet is that all recent targets were accessed via this exploit.

(1/2) pic.twitter.com/tWeUR7I1zj

— Under the Breach (@underthebreach) January 24, 2020

Nun ist mir obiger Tweet unter die Augen gekommen. Sieht möglicherweise so aus, dass die Citrix ADC/Netscaler Shitrix-Schwachstelle das Einfalls-Tor gewesen sein könnte. Ergänzung: Auch die Stadt Brandenburg ist von der Citrix-Schwachstelle, die nicht gestopft wurde, betroffen (siehe Cyber-Angriffe: Stadt Brandenburg und Gemeinde Stahnsdorf offline).

Ähnliche Artikel:
Datenleck beim Autovermieter Buchbinder
Datenleck bei Microsoft: 250 Mio. Call-Center-Datensätze in Cloud … 
Jeff Bezos per WhatsApp-Nachricht von Saudi Prinz gehackt
Ransomware beim Webmaschinenhersteller Picanol
Albany Airport (NY) Opfer eines Ransomware-Befalls
Ransomware-Befall bei Canyon Bicycles GmbH/Koblenz