Am Freitag, dem 14. Mai 2021, schaltete die irische Gesundheitsbehörde HSE ihre gesamten IT-Systeme ab und trennte das Netz des Gesundheitswesens vom Internet. In den frühen Morgenstunden hatte die Ransomware Conti bereits Teile der Systeme verschlüsselt. Ransomware ist Erpressersoftware: Sie verschlüsselt Daten, und die Täter verlangen Lösegeld für die Freigabe. Betroffen war eine Organisation mit rund 4.000 Standorten, 54 Akutspitälern und über 70.000 Geräten. Wie es so weit kam, lässt sich ungewöhnlich genau nachlesen: Die Behörde ließ den Fall von der Beratungsfirma PwC untersuchen, der Bericht erschien am 3. Dezember 2021.
Der erste Teil erklärte, wie Conti intern organisiert war: mit Aufgabenteilung und Strukturen wie in einem Unternehmen. Dieser Teil zeigt an einem Fall, wie ein Angriff mit Conti ablief.
Der Einstieg: eine Excel-Datei
Am 16. März 2021 erhielt ein Mitarbeiter eine Phishing-Mail, also eine betrügerische E-Mail, mit einer Excel-Datei im Anhang. Am 18. März wurde die Datei geöffnet und dabei der Rechner infiziert. Es war nicht der erste Versuch: Zwischen dem 14. Dezember 2020 und dem 9. Februar 2021 hatte derselbe Mitarbeiter bereits vier weitere Phishing-Mails mit demselben Betreff erhalten. Sein Rechner war dabei nicht infiziert worden.
Laut Bericht waren unterschiedliche Angreifer beteiligt: Einer verschickte die Phishing-Mails, ein anderer verschlüsselte später die Systeme. Laut Bericht ist das bei solchen Angriffen üblich: Einer verschafft sich Zugang zu Organisationen, ein anderer setzt die Ransomware ein und erpresst.
Acht Wochen im Netz
Am 23. März sicherte sich der Angreifer auf dem Rechner einen dauerhaften Zugang, der auch nach dem Aus- und Wiedereinschalten des Rechners bestehen blieb. Am 31. März erkannte das Antivirenprogramm, dass zwei Werkzeuge ausgeführt wurden, die häufig von Ransomware-Gruppen genutzt werden: Cobalt Strike und Mimikatz. Das Programm war jedoch nur im Überwachungsmodus eingerichtet und blockierte die Befehle deshalb nicht. Bis zum 6. Mai fanden die Ermittler keine nennenswerte Aktivität.
Am 7. Mai installierte der Angreifer weitere Schadsoftware und erkundete den Verzeichnisdienst, der Benutzerkonten und Zugriffsrechte verwaltet. Erstmals nutzte er Konten mit Administratorrechten. In den Tagen danach verschaffte er sich Zugang zu Systemen in mehreren Spitälern.
Am 12. und 13. Mai durchsuchte er Ordner, öffnete Dateien und legte Archive an. Der Bericht dokumentiert außerdem Zugriffe und Zugriffsversuche auf Webseiten zum Austausch von Dateien. Einen eindeutigen Nachweis, dass Daten aus dem Netz des HSE abgeflossen sind, etwa über eine solche Webseite, fand die Untersuchung nicht.
Am 13. Mai wies der Sicherheitsdienstleister des HSE die Sicherheitsabteilung per E-Mail darauf hin, dass seit dem 7. Mai auf mindestens 16 Systemen Warnmeldungen offen waren. Die Abteilung bat daraufhin das Serverteam, Server neu zu starten.
Insgesamt hatte es mehrere Warnungen gegeben, die nie als Sicherheitsvorfall untersucht wurden. Das irische Gesundheitsministerium, das nicht zum HSE gehört, reagierte dagegen auf eine Warnung. So lief die Ransomware auf den meisten seiner Systeme nicht an.
Die Verschlüsselung am 14. Mai
Gegen ein Uhr in der Nacht auf den 14. Mai setzte der Angreifer die Ransomware ein. Um 02:50 Uhr meldeten Spitäler dem zentralen Servicedesk des HSE die ersten ausgefallenen Systeme. Nach Angaben des HSE-Managements waren 80 Prozent der IT-Umgebung verschlüsselt.
Der Bericht nennt mehr als 2.800 Server und 3.500 Arbeitsplatzrechner, auf denen Spuren der Verschlüsselung zu finden waren. Das ist dem Bericht zufolge wahrscheinlich eine Untergrenze: Manche Systeme waren bereits aus Sicherungen wiederhergestellt oder neu aufgebaut worden, bevor die Ermittler ihre Analysesoftware darauf installierten.
Die Forderung und der Schlüssel
Die Ransomware hinterließ Lösegeldforderungen mit Hinweisen zur Kontaktaufnahme. Über einen Link darin war ein Chatraum erreichbar, in dem der Angreifer Proben von Daten des HSE bereitstellte. Ein Teil der Daten wurde außerdem im Darknet veröffentlicht. Laut Rechnungshof lag die Forderung bei fast 20 Millionen US-Dollar.
Das HSE und die Regierung erklärten noch am Tag des Angriffs, nicht zu zahlen. Am 20. Mai erwirkte das HSE eine einstweilige Verfügung des High Court gegen die Weitergabe der mutmaßlich gestohlenen Daten. Am selben Tag veröffentlichte die Gruppe einen Schlüssel zur Entschlüsselung, den der Dienstleister des HSE am Tag darauf als funktionsfähig bestätigte.
Laut Bericht hätte die Wiederherstellung ohne den Schlüssel sehr wahrscheinlich deutlich länger gedauert. Ebenso wahrscheinlich wäre ein erheblicher Teil der Daten verloren gegangen, weil nur in bestimmten Abständen auf offline aufbewahrte Bänder gesichert wurde. Die zentralen Verzeichnisdienste liefen nach wenigen Tagen wieder. Bis zum 21. September 2021 hatte das HSE alle Server und 1.075 von 1.087 Anwendungen wiederhergestellt.
Der Vergleich mit der FBI-Warnung
Das Vorgehen entspricht weitgehend dem, was das FBI sechs Tage nach dem Angriff, am 20. Mai 2021, in einer Warnung beschrieb. Als Zugangswege nannte das FBI Links und Anhänge in E-Mails sowie gestohlene Zugangsdaten für den Fernzugriff. Die Angreifer blieben demnach im Durchschnitt zwischen vier Tagen und drei Wochen im Netz, bevor sie die Ransomware einsetzten; beim HSE waren es acht Wochen.
Laut FBI riefen die Täter häufig bei Opfern an, die zwei bis acht Tage nach dem Einsatz der Ransomware noch nicht reagiert hatten. Für diese Anrufe über das Internet verwendeten sie kurzzeitig genutzte Telefonnummern. Die Forderungen waren nach Einschätzung des FBI auf das jeweilige Opfer zugeschnitten. Das FBI berichtete von Lösegeldforderungen bis zu 25 Millionen US-Dollar; in einzelnen Fällen handelten Opfer einen niedrigeren Betrag aus. Zahlte ein Opfer nicht, verkauften die Täter die gestohlenen Daten oder veröffentlichten sie auf einer eigenen Webseite.
Was der Bericht über die Ursachen sagt
Laut Bericht ging der Angreifer mit bekannten und vergleichsweise einfachen Techniken vor. Er konnte sich im Netz bewegen und die Ransomware über große Teile davon verteilen, ohne entdeckt zu werden.
Der Bericht führt das auf mehrere Mängel zurück. Das Netz des Gesundheitswesens war weitgehend „flach“, also kaum in getrennte Bereiche unterteilt. Es fehlte eine wirksame Sicherheitsüberwachung, die Meldungen auswertete und bei Hinweisen auf einen Angriff eine Untersuchung und Gegenmaßnahmen einleitete. Beim Einspielen von Updates gab es Mängel. Zudem verließ man sich auf ein einziges Antivirenprogramm, das niemand laufend kontrollierte und das nicht auf allen Geräten aktuell gehalten wurde. Auf dem ersten infizierten Rechner waren die Virensignaturen seit über einem Jahr nicht erneuert worden.
Der Bericht hält fest, dass ähnliche Schwächen auch in anderen Organisationen vorkommen. Das FBI empfahl in seiner Warnung unter anderem Offline-Datensicherungen, die aus dem laufenden System heraus nicht verändert werden können, ein unterteiltes Netz, zeitnahe Updates, Mehrfaktor-Anmeldung (zusätzlich zum Passwort etwa ein Code am Handy) und die Prüfung von Konten mit Administratorrechten. Mehr dazu in unseren Beiträgen zu Updates und zur Mehrfaktor-Anmeldung sowie im Selbstcheck mit 15 Fragen.
Wie es mit Conti selbst weiterging, lesen Sie im dritten Teil unserer Serie.
Quellen
- HSE / PwC – Conti cyber attack on the HSE: Independent Post Incident Review (3. Dezember 2021)
- Rechnungshof Irland – Financial impact of cyber security attack (Report on the Accounts of the Public Services 2021)
- FBI – Conti Ransomware Attacks Impact Healthcare and First Responder Networks (20. Mai 2021)