Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt im Zusammenhang mit dem Cyberangriff auf die Berliner Verwaltung vor gefälschten Captchas, mit denen Angreifer Nutzer zur Ausführung schädlicher PowerShell-Befehle verleiten.
Der Einstiegspunkt des Angriffs auf die Berliner Landes-IT waren nach BSI-Angaben betrügerische Captchas auf präparierten Webseiten. Die Angreifer nutzten dabei kompromittierte Internetseiten, um über die sogenannte TerminalFix-Kampagne Schadcode einzuschleusen.
Angriffsweg über manipulierte Captchas
Bei der TerminalFix-Methode werden Nutzer auf gefälschten Sicherheitsabfragen dazu gebracht, vermeintlich zur Verifizierung notwendige Befehle über die Windows-PowerShell auszuführen. Tatsächlich verschaffen sich Angreifer auf diesem Weg Zugriff auf betroffene Systeme.
Das BSI empfiehlt Nutzern, die eine solche gefälschte Captcha-Abfrage ausgeführt haben könnten, den Browser umgehend zu schließen, das betroffene System neu zu installieren und sämtliche Passwörter zu ändern.
Hintergrund: Angriff auf zwei Senatsverwaltungen
Die Warnung steht im Zusammenhang mit einem Cyberangriff auf das Berliner Landesnetz, bei dem die Gruppe Rhysida die Senatsverwaltungen für Stadtentwicklung und Wohnen sowie für Mobilität, Verkehr, Klima und Umwelt kompromittierte.
Immer mehr Organisationen werden Opfer von komplexen Cyberangriffen – diese Checkliste hilft Ihnen dabei, solche Vorfälle proaktiv zu verhindern. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen wirksam absichern. Proaktiven Schutz vor Cyberangriffen jetzt entdecken
Rhysida beansprucht die Verantwortung für den Angriff und gibt an, insgesamt 5,79 Terabyte Daten erbeutet zu haben. Die Gruppe forderte ein Lösegeld von 30 Bitcoin, umgerechnet rund 2 Millionen Euro. Berlin zahlte nicht, woraufhin Rhysida die Daten im Darknet veröffentlichte.
Nach Angaben der Berliner Zeitung wurden rund 1,2 Millionen Dateien aus dem Berliner Landesnetz im Darknet publiziert. Das Sicherheitsportal Security Affairs beziffert die veröffentlichte Datenmenge auf 5,79 Terabyte beziehungsweise etwa 1,44 Millionen Dateien und nennt darunter angeblich Personalakten, Passwörter sowie Unterlagen zu Staatsgeheimnissen, Verteidigungsplänen und CBRN-Rahmenplanung. Der Investigativjournalist Lars Winkelsdorf bewertete das Datenleck als schlimmer als alle Terroranschläge zusammen.
Digitalstaatssekretär Florian Hauer widersprach dieser Einschätzung und erklärte, es seien keine Daten mit nationaler Sicherheitsrelevanz gestohlen worden, sondern lediglich Material der niedrigsten Geheimhaltungsstufe VS-NfD.
Wer sich mit dem Schutz sensibler Daten befasst, muss die aktuellen Methoden der Cyberkriminellen und deren psychologische Taktiken genau kennen. Dieser kostenlose Report zeigt in vier Schritten, wie Sie eine erfolgreiche Abwehr gegen Manipulation und digitale Angriffe aufbauen. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen
Dateien mit Bezug zum Militärischen Abschirmdienst hätten sich demnach lediglich auf Parkgenehmigungen bezogen. Die Prüfung der rund 1,2 Millionen veröffentlichten Dateien läuft nach Angaben der Verwaltung noch, strukturelle Defizite in der IT-Sicherheit sollen behoben werden.
Reaktionen und Empfehlungen für Betroffene
Berlin hat einen Krisenstab eingerichtet und die Sicherheitsmaßnahmen verschärft, wobei Einschränkungen bei einzelnen Fachverfahren möglich sind. Der IT-Experte Manuel Atug warf dem Land grobe Fahrlässigkeit im Umgang mit IT-Sicherheit vor.
Zuständige Datenschutzbeauftragte raten Betroffenen dazu, Passwörter zu ändern, Zwei-Faktor-Authentifizierung zu nutzen und ihre Konten zu überwachen. Betroffene können zudem nach der Datenschutz-Grundverordnung Auskunft darüber verlangen, welche ihrer Daten von der Veröffentlichung betroffen sind.
Der ursprüngliche Angriff auf das Berliner Landesnetz hatte zur Folge, dass Bürgerinnen und Bürger über mehrere Tage hinweg keine Anträge auf Wohngeld stellen konnten, da zwei Senatsverwaltungen aus dem Netz isoliert werden mussten.
