{"id":291104,"date":"2024-01-26T19:37:50","date_gmt":"2024-01-26T18:37:50","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=291104"},"modified":"2024-01-29T13:59:28","modified_gmt":"2024-01-29T12:59:28","slug":"ransomware-bei-kommunal-it-dienstleister-sdwestfalen-it-nachlese-it-forensik-bericht-teil-1","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/01\/26\/ransomware-bei-kommunal-it-dienstleister-sdwestfalen-it-nachlese-it-forensik-bericht-teil-1\/","title":{"rendered":"Ransomware bei Kommunal IT-Dienstleister Südwestfalen-IT: Nachlese IT-Forensik-Bericht Teil 1"},"content":{"rendered":"

\"SicherheitZum 30. Oktober 2023 wurde die S\u00fcdwestfalen IT, ein kommunaler IT-Dienstleister, Opfer eines Akira-Ransomware-Angriffs. Seit dieser Zeit ist eine zwei- bis dreistellige Zahl an Kommunen IT-m\u00e4\u00dfig offline bzw. stark eingeschr\u00e4nkt. Es gibt inzwischen einen Forensik-Bericht der Sicherheitsdienstleister, der mehr Informationen liefert, als \u00f6ffentliche Berichte widergeben. In Teil 1 arbeite ich die Erkenntnis ab, die sich auf den urspr\u00fcnglich genutzten Angriffsvektor VPN-Zugang beziehen.<\/p>\n

<\/p>\n

Anmerkungen zum Hintergrund<\/h2>\n

\"\"Der Ransomware-Befall Ende Oktober 2023 hatte die IT von weit \u00fcber Hundert Kommunen lahm gelegt – ich hatte in diversen Blog-Beitr\u00e4gen wie Stillstand nach Cyberangriffen auf Kommunen in S\u00fcdwestfalen und Parkh\u00e4user in Osnabr\u00fcck<\/a> \u00fcber den Vorfall berichtet (siehe Links am Artikelende). Zum 25. Januar 2024 liegt auch der IT-Forensik-Bericht der beauftragten Dienstleister vor und die S\u00fcdwestfalen IT (SIT) hatte auf ihrer Webseite eine neue Stellungnahme mit Informationen zum Vorfall ver\u00f6ffentlicht. Ab 1. Februar 2024 soll ein neuer Gesch\u00e4ftsf\u00fchrer den Vorfall weiter in der Aufkl\u00e4rung und Behebung vorantreiben.<\/p>\n

Ich hatte, auf Grund der \u00f6ffentlich verf\u00fcgbaren Informationen, den Sachverhalt in einem Blog-Beitrag (Ransomware bei Kommunal IT-Dienstleister S\u00fcdwestfalen-IT; Stand Januar 2024<\/a>) aufbereitet, dabei aber eine Menge Fragen aufgeworfen. Denn zu vieles von dem, was \u00f6ffentlich kommuniziert wurde, passte nicht zu meinen Erkenntnissen zu bisherigen Cybervorf\u00e4llen und den Informationen, die ich aus diversen Quellen zum SIT-Vorfall hatte.<\/p>\n

Das endete damit, dass die Pressebetreuung bei mir anrief und mir anbot, den IT-Forensik-Bericht der mit der Aufkl\u00e4rung beauftragten r-tec IT Security aus Wuppertal zur Verf\u00fcgung zu stellen. Dieser Bericht liegt mir inzwischen vor, ist aber mit vertraulich gekennzeichnet. Obwohl die Pressebetreuung der S\u00fcdwestfalen IT mir keine Restriktionen auferlegt hat, m\u00f6chte ich das Dokument auf Grund der Klassifizierung \"vertraulich\" nicht hier im Blog einstellen und auch keine Verlinkungen vornehmen (das Dokument wurde im Forum Wermelskirchen eingestellt – wird jeder bei einer Suche finden).<\/p>\n

Angriff \u00fcber VPN-Zugang<\/h2>\n

Bekannt in der \u00d6ffentlichkeit ist inzwischen, dass die Angreifer von Akira \u00fcber einen \"kompromittierten\" VPN-Zugang Zugriff auf das IT-Netzwerk der S\u00fcdwestfalen IT erhielten. Von dort konnten sich die Angreifer Administrator-Zugriff auf eine Active Directory-Domain verschaffen, die zur Verwaltung der Systemdienste benutzt wurde. Im ersten Schritt m\u00f6chte ich diesen Teil des Angriffs etwas aufbereiten, da es bereits viele Details aus der Kategorie \"sollte man so nicht machen\" beinhaltet.<\/p>\n

Angriffsversuche seit dem 18. Oktober 2023<\/h3>\n

In der \u00f6ffentlichen Kommunikation hei\u00dft es, dass der \"Angriff in der Nacht vom 30. Oktober 2023\" erfolgte, und man dann das \"sofort erkannt und die Gefahr durch Herunterfahren der Systeme gebannt bzw. durch Verhinderung der Ausbreitung eingegrenzt habe\". Die mit der Aufkl\u00e4rung beauftragten r-tec IT Security Experten konnten den Verlauf des Angriffs aber nachzeichnen.<\/p>\n

Von der S\u00fcdwestfalen IT wurde intern Cisco ASA<\/a> als Firewall-L\u00f6sung eingesetzt. Von den IT-Forensikern wurden die Protokolldateien (Logs) der Cisco ISE (steht f\u00fcr Cisco Identity Services Engine<\/a>, die zum Identit\u00e4tsmanagement genutzt wird) ausgewertet. Dabei ist festzuhalten, dass die Log-Dateien f\u00fcr die Analyse nur bis zum 6. Oktober 2023 zur\u00fcckreichen, weil \u00e4ltere Daten nach einem bestimmten Zeitraum \u00fcberschrieben werden.<\/p>\n

Bereits am 18. Oktober 2023 kam es zu auff\u00e4lligen Anomalien im Login-Verhalten. Zwischen 16:25 bis 21:22 Uhr deutscher Zeit kam es \u00fcber die Cisco ASA zu mehrere VPN-Login-Versuchen aus den USA an verschiedenen Konten, die dem Angreifer eindeutig zugeordnet werden k\u00f6nnen.<\/p>\n