HelloKitty ist eine vom FBI erstmals im Januar 2021 beobachtete Ransomware-Familie und die dahinterstehende Cyberkriminellen-Gruppe, die Unternehmensdaten verschlüsselt und zusätzlich mit der Veröffentlichung gestohlener Daten droht, um von den betroffenen Unternehmen Lösegeld zu erzwingen.
Auf einen Blick
Neben der klassischen Windows-Verschlüsselung greift eine Linux-Variante gezielt VMware-ESXi-Server an und beendet Prozesse laufender virtueller Maschinen.
Bekannt wurde die Gruppe 2021 durch den Angriff auf den Spieleentwickler CD Projekt, bei dem Quellcode gestohlen wurde.
Das FBI veröffentlichte eine eigene Warnung mit Kompromittierungsindikatoren und Abwehrempfehlungen zu HelloKitty.
Was ist HelloKitty?
HelloKitty bezeichnet sowohl eine Ransomware-Familie als auch die dahinterstehende Gruppe, die das FBI erstmals im Januar 2021 beobachtete und die mit gezielten Angriffen auf Unternehmen und Organisationen in Erscheinung getreten ist. Nach dem Eindringen in ein Netzwerk verschlüsselt die Schadsoftware Daten auf Windows-Systemen und kombiniert dies mit doppelter Erpressung: Gestohlene Daten dienen zusätzlich als Druckmittel, um eine Zahlung zu erzwingen, unabhängig davon, ob das Opfer über funktionierende Backups verfügt. Neben der Windows-Variante existiert eine eigene Linux-Variante, die gezielt auf VMware-ESXi-Umgebungen zielt und damit ganze virtualisierte Infrastrukturen einzelner Unternehmen treffen kann. Weil die Angreifer zusätzlich mit der Veröffentlichung gestohlener Daten drohen, bleibt der Erpressungsdruck bestehen, selbst wenn ein Unternehmen verschlüsselte Systeme aus eigenen Backups wiederherstellen kann. Diese Kombination aus Verschlüsselung und Datendiebstahl geht über ältere Ransomware-Familien hinaus, die allein auf Verschlüsselung setzten.
Setzt ein Versicherer VMware-ESXi zum Betrieb seiner Bestandsführungssysteme ein, kann ein einzelner HelloKitty-Angriff über die Linux-Variante den ESXi-Host treffen und Prozesse der dort laufenden virtuellen Systeme beenden, statt nur einen einzelnen Server zu treffen. Diese Bündelung mehrerer Systeme auf einem Host vergrößert die Reichweite eines einzelnen erfolgreichen Angriffs gegenüber klassischen Einzelserver-Infektionen.
Wie funktioniert HelloKitty?
HelloKitty verschafft sich zunächst Zugang zu einem Unternehmensnetzwerk und exfiltriert in der Regel Daten, bevor die eigentliche Verschlüsselung beginnt. Die gestohlenen Daten dienen als zusätzliches Druckmittel der doppelten Erpressung, unabhängig davon, ob das Opfer über funktionsfähige Backups verfügt, da die Drohung der Veröffentlichung unabhängig von einer Wiederherstellung wirkt. Laut FBI verschaffen sich die Angreifer Zugang über kompromittierte Zugangsdaten oder bekannte Schwachstellen in SonicWall-Produkten, ohne dass ein Mitarbeiter zwingend eine schädliche Datei ausführen muss. Im Netzwerk nutzen sie anschließend frei verfügbare Werkzeuge wie Cobalt Strike oder Mimikatz, um die Umgebung zu erkunden und ihre Rechte auszuweiten, bevor Daten exfiltriert und verschlüsselt werden.
Auf Windows-Systemen verschlüsselt die Schadsoftware Dateien und hinterlässt eine Lösegeldforderung. Die Linux-Variante zielt dagegen gezielt auf VMware-ESXi-Hosts und beendet dort Prozesse laufender virtueller Maschinen.
Woran erkenne ich HelloKitty?
| Signal | Woran erkennbar |
|---|---|
| Verschlüsselte Dateien mit angehängter Erpresserbotschaft | Auf betroffenen Systemen findet sich eine Lösegeldnotiz mit Zahlungsaufforderung, die typischerweise auch mit der Veröffentlichung gestohlener Daten droht. |
| Auffällige Aktivität auf ESXi-Management-Schnittstellen | Unerwartete Anmeldungen oder Befehle über die ESXi-Shell oder vCenter-Oberfläche außerhalb geplanter Wartungsfenster. |
| Große ausgehende Datenmengen vor der Verschlüsselung | Ungewöhnlich hoher ausgehender Datenverkehr im Vorfeld des eigentlichen Verschlüsselungsvorgangs. |
| Nicht mehr erreichbare virtuelle Maschinen | Prozesse laufender virtueller Maschinen auf dem ESXi-Host werden beendet. |
Schutz im Ernstfall
Vorbeugen
- ESXi-Management-Schnittstellen (vCenter, SSH) durch Netzwerksegmentierung und Mehr-Faktor-Authentifizierung absichern.
- Backups virtueller Maschinen getrennt vom Produktionsnetzwerk und unveränderlich speichern.
- Zugriffsrechte auf virtualisierte Infrastruktur nach dem Prinzip der minimalen Rechtevergabe vergeben.
Was tun im Ernstfall
- Betroffene virtuelle Maschinen und den ESXi-Host umgehend vom Netzwerk trennen.
- Vorfall an das BSI oder die zuständige nationale Meldestelle melden und die FBI-Warnung zu HelloKitty als Referenz für Indikatoren nutzen.
- Wiederherstellung nur aus verifiziert sauberen, getrennt gespeicherten Backups vornehmen.
- Kein Lösegeld zahlen und den Vorfall bei der Polizei anzeigen.
Beispiele aus der Praxis
- Im Februar 2021 wurde bekannt, dass HelloKitty den polnischen Spieleentwickler CD Projekt angegriffen, Quellcode von Spielen wie Cyberpunk 2077 gestohlen und mit dessen Veröffentlichung gedroht hatte.
- Eine Linux-Variante von HelloKitty wurde eingesetzt, um die VMware-ESXi-Plattform anzugreifen und Prozesse laufender virtueller Maschinen zu beenden.
- Das FBI veröffentlichte eine Warnung zu HelloKitty, in der Indikatoren für eine Kompromittierung sowie Empfehlungen zur Abwehr der Ransomware beschrieben wurden.
- Betreibt ein Versicherer seine Bestandsführungssysteme auf VMware-ESXi, könnte ein einzelner HelloKitty-Angriff den ESXi-Host treffen und Prozesse der dort laufenden virtuellen Systeme der Vertragsverwaltung beenden, statt nur einen einzelnen Server zu treffen.
Häufiger Irrtum
Mythos „Manche gehen davon aus, dass HelloKitty nur einzelne Windows-Arbeitsplätze betrifft und Server-Infrastruktur verschont.“
Richtig Tatsächlich existiert eine eigene Linux-Variante, die gezielt die VMware-ESXi-Plattform angreift und Prozesse laufender virtueller Maschinen beendet.
