Lilith ist eine in den Programmiersprachen C/C++ entwickelte Ransomware-Familie, die auf 64-Bit-Windows-Systeme abzielt und neben der Verschlüsselung von Daten zusätzlich mit der Veröffentlichung zuvor gestohlener vertraulicher Informationen droht.
Auf einen Blick
Der Name Lilith entspricht dem einer altorientalischen Dämonenfigur.
Wie bei anderen Ransomware-Angriffen können sich Angreifer nach einer ersten Kompromittierung lateral durch das Netzwerk bewegen, bevor die Verschlüsselung beginnt.
Lilith zählt zur Kategorie moderner Unternehmens-Ransomware, die Datenverschlüsselung und Datenexfiltration in einem Angriff kombiniert.
Was ist Lilith?
Lilith ist eine in den Programmiersprachen C/C++ entwickelte Ransomware-Familie, die auf 64-Bit-Windows-Systeme abzielt. Angreifer setzen dabei auf doppelte Erpressung, auch Double Extortion genannt: Neben der Verschlüsselung von Daten drohen sie zusätzlich mit der Veröffentlichung gestohlener Informationen, um den Druck auf das betroffene Unternehmen zu erhöhen. Diese Kombination aus Datenverschlüsselung und Datenexfiltration zählt Lilith zur Kategorie moderner Unternehmens-Ransomware, die über die reine Datenblockade hinausgeht. Der Name der Schadsoftware entspricht dem der altorientalischen Dämonenfigur Lilith. Für betroffene Unternehmen bedeutet diese Kombination, dass eine reine Wiederherstellung aus Backups die Erpressung nicht vollständig entschärft.
Exfiltrieren Angreifer vor der Verschlüsselung vertrauliche Unterlagen aus dem Netzwerk eines Unternehmens, ist die Vertraulichkeit der betroffenen Daten bereits gefährdet, bevor die eigentliche Blockade der Systeme einsetzt. Kundendaten und Vertragsunterlagen können dabei ebenso abfließen wie interne Dokumente, sofern die Angreifer vor der Verschlüsselung Zugriff auf die entsprechenden Speicherorte erhalten. Bei Versicherern zählt der Bestand an Kunden- und Vertragsdaten zu den Werten, deren Vertraulichkeit unabhängig davon gefährdet ist, ob die anschließende Verschlüsselung technisch erfolgreich verläuft.
Wie funktioniert Lilith?
Lilith wird nach einer initialen Kompromittierung auf dem Zielsystem ausgeführt; wie bei anderen Ransomware-Angriffen können sich Angreifer zuvor lateral durch verbundene Systeme bewegen. Vor der eigentlichen Verschlüsselung exfiltrieren die Angreifer in der Regel vertrauliche Dateien, um sie für die doppelte Erpressung einzusetzen. Dieser Zwischenschritt läuft in der Regel ab, bevor auf dem Zielsystem sichtbare Veränderungen auftreten, wodurch der Datenabfluss zu diesem Zeitpunkt leicht unbemerkt bleiben kann.
Bei der Ausführung beendet Lilith zunächst bestimmte laufende Prozesse und Dienste, damit diese den Zugriff auf die zu verschlüsselnden Dateien nicht blockieren, und verschlüsselt anschließend Dateien auf den erkannten Laufwerken, wodurch der Zugriff auf die betroffenen Daten blockiert wird. Ein Erpresserbrief fordert ein Lösegeld für die Entschlüsselung und droht zusätzlich mit der Veröffentlichung der zuvor exfiltrierten Daten, sofern die Zahlung ausbleibt. Der zusätzliche Datendiebstahl erhöht den Druck auf das betroffene Unternehmen, weil ein Wiederherstellen der Systeme aus Backups die Drohung der Veröffentlichung nicht entkräftet. Für die Angreifer bleibt der Erpressungshebel damit auch dann bestehen, wenn die verschlüsselten Systeme technisch vollständig wiederhergestellt werden können.
Woran erkenne ich Lilith?
| Signal | Woran erkennbar |
|---|---|
| Erpresserbrief droht zusätzlich mit Veröffentlichung gestohlener Daten | Textbaustein zur Double-Extortion-Taktik, nicht nur Aufforderung zur Zahlung für die Entschlüsselung |
| Dateiendung .lilith | Verschlüsselte Dateien tragen die Endung .lilith und ersetzen die Originaldateien auf dem Datenträger |
| Datenabfluss vor der eigentlichen Verschlüsselung | Ungewöhnlicher ausgehender Datenverkehr in großem Umfang, typischerweise bevor Dateien unzugänglich werden |
Schutz im Ernstfall
Vorbeugen
- Backups getrennt vom Produktivnetzwerk aufbewahren
- Netzwerksegmentierung, um laterale Bewegung einzuschränken
- Ausgehenden Datenverkehr auf ungewöhnliche Volumen überwachen
- Zugriffsrechte auf sensible Speicherorte begrenzen
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen
- Vorfall an die zuständige Sicherheits- oder Meldestelle weiterleiten und bei der Polizei anzeigen
- Kein Lösegeld zahlen
- Systeme erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen, sofern diese getrennt vom Netzwerk aufbewahrt wurden
Beispiele aus der Praxis
- Wird ein mittelständisches Produktionsunternehmen mit Lilith-Ransomware angegriffen, können die Angreifer zunächst Konstruktionspläne exfiltrieren, anschließend große Teile der Dateisysteme verschlüsseln und mit der Veröffentlichung der Daten drohen.
- Wie bei anderen Ransomware-Angriffen können sich Angreifer in einer Unternehmensumgebung nach einer initialen Kompromittierung lateral durch das Netzwerk bewegen, bevor sie eine Ransomware wie Lilith ausführen.
- Bei einem Versicherer kann Lilith zunächst vertrauliche Kunden- und Vertragsunterlagen aus dem Netzwerk exfiltrieren, bevor die eigentliche Verschlüsselung einsetzt; die Vertraulichkeit der Daten ist damit schon vor der Systemblockade gefährdet.
Häufiger Irrtum
Mythos „Lilith verschlüsselt nur Dateien, sensible Daten bleiben im Unternehmen.“
Richtig Die Betreiber von Lilith stehlen Opferdaten, um sie für Double Extortion einzusetzen.
