Hive ist eine im Januar 2023 zerschlagene Ransomware-as-a-Service-Gruppierung, deren angeworbene Affiliates weltweit Unternehmen und kritische Infrastrukturen kompromittierten, deren Daten verschlüsselten und Lösegeld für die Entschlüsselung und in der Regel auch für die Nichtveröffentlichung zuvor gestohlener Daten erpressten.
Auf einen Blick
Vor der Beschlagnahmung im Januar 2023 stellte das FBI Betroffenen über mehrere Monate Entschlüsselungsschlüssel bereit.
Zu den bekannten Betroffenen zählte 2021 auch das Memorial Health System in den USA, dessen Klinikbetrieb dadurch beeinträchtigt wurde.
Die Zerschlagung der Infrastruktur 2023 erfolgte in einer koordinierten Operation US-amerikanischer und europäischer Strafverfolgungsbehörden.
Was ist Hive?
Hive war eine Ransomware-as-a-Service-Gruppierung sowie die gleichnamige Schadsoftware, die für eine Reihe schwerwiegender Erpressungsangriffe auf Unternehmen weltweit verantwortlich war. Die Gruppe operierte nach dem Affiliate-Modell: Die Kerngruppe entwickelte Ransomware und Infrastruktur, während angeworbene Affiliates die eigentlichen Angriffe durchführten und einen Anteil des erpressten Lösegelds erhielten. Bei dieser Arbeitsteilung musste die Kerngruppe die Angriffe nicht selbst ausführen, während Affiliates von fertiger Schadsoftware und Infrastruktur profitierten. Kritische Infrastrukturen und Gesundheitseinrichtungen gehörten neben Unternehmen zu den Zielen des Netzwerks, wodurch einzelne Angriffe unmittelbare Auswirkungen auf den Betrieb ganzer Kliniken haben konnten.
Je nach Affiliate verschafften sich die Angreifer etwa über VPN- oder RDP-Zugänge ohne Multi-Faktor-Authentifizierung, Phishing-Mails mit schädlichen Anhängen oder bekannte Schwachstellen Zugang zu Unternehmensnetzwerken, bevor sie die Ransomware auslösten. Verschaffen sich Fremde auf einem dieser Wege Zugriff auf Systeme, die Verträge und Zahlungen eines Versicherers verwalten, können sensible Kundendaten und Zahlungsprozesse gleichermaßen betroffen sein. Ohne getrennt aufbewahrte Sicherungskopien kann eine Wiederherstellung dieser Systeme zusätzlich erschwert werden, etwa wenn Backups über dasselbe Netzwerk erreichbar und damit ebenfalls betroffen sind. Im Januar 2023 beschlagnahmten Ermittlungsbehörden die technische Infrastruktur der Gruppe im Rahmen einer international koordinierten Operation.
Wie funktioniert Hive?
Hive funktionierte nach dem Affiliate-Modell, bei dem die Kerngruppe Schadsoftware und Infrastruktur bereitstellte und angeworbene Affiliates die eigentlichen Angriffe durchführten. Für den Erstzugriff nutzten Affiliates unter anderem VPN- und RDP-Zugänge ohne Multi-Faktor-Authentifizierung, Phishing-Mails mit schädlichen Anhängen oder bekannte Schwachstellen und bewegten sich anschließend lateral durch das Netzwerk, bevor sie die Ransomware auslösten. Eine solche Trennung zwischen Entwicklung und Ausführung kann es erschweren, einzelne Angriffe einer zentralen Verantwortung zuzuordnen, da unterschiedliche Affiliates mit derselben Schadsoftware operieren.
Vor der Verschlüsselung exfiltrierten Affiliates in der Regel zusätzlich Daten, um im Rahmen einer Double-Extortion-Strategie mit deren Veröffentlichung auf einer Leak-Site zu drohen. Vom erpressten Lösegeld erhielt die Kerngruppe einen Anteil, den Rest behielten die ausführenden Affiliates. Im Januar 2023 beschlagnahmten Ermittlungsbehörden die technische Infrastruktur der Gruppe, darunter die von ihr genutzte Leak-Site im Tor-Netzwerk.
Woran erkenne ich Hive?
| Signal | Woran erkennbar |
|---|---|
| Ransomnote mit Verweis auf Hive | Die Lösegeldforderung nennt die Gruppe beim Namen und verweist auf eine Leak-Site |
| Erstzugriff über VPN-Zugangsdaten | Kompromittierte VPN-Anmeldedaten dienen als beobachteter Einstiegspunkt in das Netzwerk |
| Betroffener Sektor | Zielsysteme liegen unter anderem im Gesundheits- oder Infrastrukturbereich, neben Unternehmen allgemein |
Schutz im Ernstfall
Vorbeugen
- VPN-Zugänge mit Multi-Faktor-Authentifizierung absichern
- Zugriffsrechte auf Netzwerksegmente nach dem Prinzip der geringsten Rechte begrenzen
- Backups getrennt vom Produktivnetzwerk und offline vorhalten
Was tun im Ernstfall
- Betroffene Systeme umgehend vom Netzwerk isolieren, um eine weitere Ausbreitung zu verhindern
- Vorfall den zuständigen Behörden und dem BSI beziehungsweise der zuständigen nationalen Behörde melden
- Betroffene Systeme erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen
Beispiele aus der Praxis
- 2021 wurde ein Angriff auf das Memorial Health System in den USA Hive zugeschrieben; der Angriff zwang den Klinikverbund, Operationen abzusagen und Patienten in andere Einrichtungen umzuleiten.
- Hive-Affiliates nutzten kompromittierte VPN-Zugangsdaten als Angriffsvektor, um in Unternehmensnetzwerke einzudringen und anschließend Ransomware auszurollen.
- Das FBI infiltrierte die Hive-Infrastruktur über mehrere Monate und stellte Betroffenen Entschlüsselungsschlüssel bereit, bevor die Server im Januar 2023 beschlagnahmt wurden.
- Verschaffen sich Affiliates über kompromittierte VPN-Zugangsdaten Zugriff auf Systeme, die Verträge und Zahlungen eines Versicherers verwalten, können sensible Kundendaten davon betroffen sein.
Häufiger Irrtum
Mythos „Nach Zahlung des Lösegelds lassen sich alle verschlüsselten Daten vollständig wiederherstellen.“
Richtig Eine Lösegeldzahlung garantiert nicht, dass verschlüsselte Daten wiederhergestellt werden; Strafverfolgungsbehörden raten von einer Zahlung ab.
