DeepBlueMagic: Ransomware legte Kommunen in Schwerin lahm

Der massive Cyber-Angriff, der sich Mitte Oktober in Schwerin ereignete, zeigt deutlich die Schwere der aktuellen Bedrohungslage in Deutschland. Die kommunalen IT-Strukturen in Schwerin und auch im Landkreis Ludwigslust-Parchim wurden bei diesem Vorfall Opfer der Schadsoftware „DeepBlueMagic“.

Es handelt sich aber nicht um einen Einzelfall, denn bereits bei anderen vergleichbaren Vorfällen in Deutschland verwendeten Bedrohungsakteure diese Schadsoftware, wie ein Sprecher der für die Ermittlungen zuständigen Staatsanwaltschaft Rostock mitteilte.

Laut Berichten der dpa erhielten die Opfer der Angriffe zunächst E-Mails, in denen ihnen mitgeteilt wurde, dass ihre Daten verschlüsselt worden seien. Um sie wiederzubekommen, müssten sie per E-Mail Kontakt mit den Angreifern aufnehmen. Die Betroffenen seien den Forderungen aber nicht nachgekommen, sagte der Sprecher der Staatsanwaltschaft.

Bei dem Cyberangriff waren Server der Schweriner IT- und Servicegesellschaft und des Kommunalservice Mecklenburg durch die Schadsoftware teilweise verschlüsselt worden. Alle Systeme wurden daraufhin zur Sicherheit heruntergefahren, was den Großteil der Bürgerservices in der Landeshauptstadt und dem angrenzenden Landkreis Ludwigslust-Parchim lahmlegte. Der Betrieb ist noch immer beeinträchtigt.

Ursprung der Ransomware könnte China sein
„DeepBlueMagic stammt offenbar aus China. Wie mehrere Ransomware-Stämme in der Vergangenheit verschlüsselt er Dateien mit gängigen Verschlüsselungstools wie Bitlocker und BestCrypt, denen die Benutzer oft vertrauen und die sie selbst zur Verschlüsselung verwenden. Aus diesem Grund ist es schwierig, ihn anhand der statischen Signatur zu erkennen“, so Matan Rudis, Head of Threat Intelligence bei SentinelOne, zu den Hintergründen der verheerenden Attacke auf die kommunalen IT-Strukturen.

„Die spezifische Funktionsweise dieser Ransomware – die Verschlüsselung mehrerer Laufwerke in kurzer Zeit und die Ausführung dieser Verschlüsselungssoftware mit ungewöhnlichen Registrierungsschlüsseln – bietet trotzdem Möglichkeiten für eine intelligente Verhaltenserkennung. Jedoch ist über die Angriffsmechanismen und die Art und Weise, wie sich der Virus im Netzwerk verbreitet noch nicht viel bekannt. Die Angreifer scheinen die Möglichkeit zu haben, die Dateien gegen Bezahlung wiederherzustellen, jedoch ist nicht sicher, ob diese Malware-Variante vor der Verschlüsselung, auch Daten aus dem Netzwerk stiehlt.“

https://de.sentinelone.com/