LockerGoga ist eine Ransomware-Familie, die gezielt gegen Industriebetriebe eingesetzt wurde und Dateien verschlüsselt; beobachtet wurde zudem, dass sie Kontopasswörter ändert, angemeldete Nutzer abmeldet und alle Netzwerkschnittstellen des Systems deaktiviert.
Auf einen Blick
Bekannt wurde LockerGoga durch den Angriff auf den norwegischen Aluminiumhersteller Norsk Hydro im März 2019, der zu Produktionsausfällen in mehreren Ländern führte.
In Europa wurde LockerGoga auch gegen Fertigungsunternehmen eingesetzt; beim Angriff auf Norsk Hydro gab es laut BSI im Vorfeld Manipulationen des Active Directory.
Neben der Verschlüsselung wurde beobachtet, dass LockerGoga Kontopasswörter ändert, angemeldete Nutzer abmeldet und die Netzwerkschnittstellen des Systems deaktiviert.
Was ist LockerGoga?
LockerGoga ist eine Ransomware-Familie, die gezielt gegen Industriebetriebe eingesetzt wurde und neben der Verschlüsselung von Dateien Systeme durch deaktivierte Netzwerkschnittstellen vom Netz abschneiden kann. Der Angriff geht über klassische Verschlüsselungs-Ransomware hinaus: Beobachtet wurde, dass die Schadsoftware zusätzlich Kontopasswörter ändert und Netzwerkschnittstellen deaktiviert, wodurch betroffene Arbeitsplätze zusätzlich zur Dateiverschlüsselung vom restlichen Firmennetz isoliert werden können. Sind Produktionsanlagen auf einen durchgehenden Systemzugriff angewiesen, kann sich ein solcher Ausfall unmittelbar auf laufende Fertigungsprozesse auswirken. Laut MITRE wurde LockerGoga erstmals im Januar 2019 gemeldet und mit Angriffen auf mehrere europäische Unternehmen in Verbindung gebracht, darunter Industrie- und Fertigungsbetriebe.
In einem Versicherungsunternehmen können Mitarbeiter durch geänderte Passwörter und gekappte Netzwerkverbindungen den Zugriff auf ihre Verwaltungssysteme insgesamt verlieren, nicht nur auf verschlüsselte Dateien. Kommt es dazu, macht eine Wiederherstellung der Dateien aus Backups die geänderten Passwörter und deaktivierten Netzwerkschnittstellen nicht rückgängig. Schaden- und Vertragsbearbeitung, die auf den Zugriff mehrerer vernetzter Systeme angewiesen ist, bleibt so länger unterbrochen als bei einer reinen Dateiverschlüsselung. Sind Schadensfälle an Bearbeitungsfristen gebunden, verschärft ein verlängerter Systemausfall zusätzlich den Druck auf die Bearbeitungszeiten.
Wie funktioniert LockerGoga?
Vor dem Einsatz von LockerGoga verschaffen sich die Angreifer Zugang zum Firmennetz und können dort zentrale Systeme wie das Active Directory manipulieren, bevor die eigentliche Verschlüsselung beginnt. Laut MITRE kopieren die Angreifer die Schadsoftware dabei manuell per SMB von Rechner zu Rechner, statt dass sie sich selbstständig verbreitet.
Anschließend verschlüsselt LockerGoga Dateien; beobachtet wurde zudem, dass die Schadsoftware Kontopasswörter ändert und angemeldete Nutzer abmeldet, wodurch sich Beschäftigte selbst mit korrekten alten Zugangsdaten nicht mehr anmelden können. Zusätzlich kann die Schadsoftware alle Netzwerkschnittstellen eines Systems deaktivieren, was eine zentrale Fernsteuerung oder Fehlerbehebung durch die IT-Abteilung erschwert. Treten Datei-, Konto- und Netzwerksperre zusammen auf, macht eine Wiederherstellung der Dateien aus Backups die geänderten Passwörter, die abgemeldeten Nutzer und die deaktivierten Netzwerkschnittstellen nicht rückgängig.
Woran erkenne ich LockerGoga?
| Signal | Woran erkennbar |
|---|---|
| Unerwartet geänderte Kontopasswörter | Betroffene können sich trotz korrekter bisheriger Zugangsdaten nicht mehr anmelden |
| Abbruch von Netzwerkverbindungen einzelner Systeme | IT-Abteilung kann betroffene Rechner nicht mehr zentral erreichen |
| Verschlüsselte Dateien und Lösegeldforderung | Dateien, teils auch zentrale Windows-Systemdateien, sind verschlüsselt; für den Schlüssel wird eine Zahlung in Bitcoin gefordert |
| Vorherige Kompromittierung der Active-Directory-Infrastruktur | ungewöhnliche administrative Zugriffe auf zentrale Verzeichnisdienste vor der eigentlichen Verschlüsselung |
Schutz im Ernstfall
Vorbeugen
- Segmentierung von IT- und OT-Netzwerken in Industrieumgebungen
- Absicherung und Überwachung der Active-Directory-Infrastruktur gegen Kompromittierung
- Getrennte, offline gehaltene Backups von Dateien, Konten und Netzwerkkonfiguration
Was tun im Ernstfall
- Betroffene Netzwerksegmente sofort isolieren
- Passwörter kompromittierter und privilegierter Konten zurücksetzen, sobald Systeme wieder erreichbar sind; weitere Konten nach festgestellter Betroffenheit
- Neben der Dateiwiederherstellung aus Backups geänderte Passwörter und deaktivierte Netzwerkschnittstellen prüfen
Beispiele aus der Praxis
- Im März 2019 infizierte LockerGoga die Systeme von Norsk Hydro und zwang den Konzern, Aluminiumwerke in mehreren Ländern auf manuelle Produktion umzustellen.
- LockerGoga wurde in Europa auch gegen Unternehmen in der Fertigungsindustrie eingesetzt; laut BSI kam die Ransomware erstmals Anfang 2019 bei einem französischen Unternehmen zum Einsatz.
- In einem Versicherungsunternehmen können Mitarbeiter durch geänderte Passwörter und gekappte Netzwerkverbindungen den Zugriff auf ihre Verwaltungssysteme vollständig verlieren, nicht nur auf verschlüsselte Dateien.
Häufiger Irrtum
Mythos „Nach der Wiederherstellung der verschlüsselten Dateien aus dem Backup läuft der Betrieb wieder normal.“
Richtig Bei LockerGoga wurde beobachtet, dass die Schadsoftware zusätzlich Kontopasswörter ändert, angemeldete Nutzer abmeldet und alle Netzwerkschnittstellen des Systems deaktiviert.
