Gehen Ransomware-Banden zuerst auf die Backups los?

Sehr oft, ja. Bevor sie mit der Verschlüsselung beginnen, suchen Angreifer den Backup-Server, die Konsole der Backup-Software und vorhandene Snapshots oder Schattenkopien, um sie zu löschen, zu verschlüsseln oder zu beschädigen, damit das Opfer sich nicht ohne Zahlung erholen kann. MITRE ATT&CK führt das als Inhibit System Recovery (T1490), und das Löschen von Schattenkopien taucht in vielen Ransomware-Warnungen der CISA auf. Backup-Administratorkonten und Backup-Server, die in derselben Domäne wie alles andere hängen, sind häufige Schwachstellen. Abwehr: mindestens eine unveränderbare oder Offline-Kopie vorhalten, das Backup-System mit separaten Zugangsdaten und Multi-Faktor-Authentifizierung betreiben, es möglichst aus der Hauptdomäne heraushalten und beschränken, welche Rechner sich verbinden dürfen. Im Netzwerk sind Verbindungen zum Backup-Server von Rechnern, die sonst nie mit ihm sprechen, ein Warnzeichen. Die Netzwerkkarte von NetSenX zeigt, welche Hosts jeden Server erreichen, und ungewöhnliche interne Verbindungen werden als mögliche laterale Bewegung gemeldet.

← Alle 25 Fragen zu Backups und WiederherstellungAlle Themen