LockFile ist eine Ransomware-Familie, die mit intermittierender Verschlüsselung nur ausgewählte Abschnitte einer Datei statt des gesamten Inhalts verändert, um Schutzsysteme mit statistischer Inhaltsanalyse zu umgehen; in beobachteten Angriffen nutzten die Angreifer ProxyShell für den Zugriff und anschließend PetitPotam zur Rechteausweitung.
Auf einen Blick
Intermittent Encryption bezeichnet das gezielte Verschlüsseln nur einzelner Dateiabschnitte, während die dazwischenliegenden Abschnitte unverändert bleiben.
Bei beobachteten LockFile-Angriffen nutzten die Angreifer unter anderem ProxyShell und PetitPotam, um Zugang zu kompromittierten Umgebungen zu erlangen beziehungsweise ihre Zugriffsrechte auszuweiten.
Dateien, die nach einem Verschlüsselungsvorgang nur abschnittsweise verändert sind, können ein Hinweis auf diese Technik sein, auch wenn andere Ransomware-Indikatoren noch fehlen.
Was ist LockFile?
LockFile ist eine Ransomware-Familie, die mit intermittierender Verschlüsselung nur ausgewählte Abschnitte einer Datei statt des gesamten Inhalts verändert. Dieser Ansatz zielt darauf, Schutzsysteme mit statistischer Inhaltsanalyse zu umgehen, weil teilweise verschlüsselte Dateien statistisch weniger auffällig wirken als vollständig verschlüsselte Dateien. LockFile trat erstmals 2021 in Erscheinung; bei beobachteten Angriffen kombinierten die Angreifer ProxyShell mit PetitPotam. ProxyShell diente dabei dem initialen Zugriff auf ungepatchte Microsoft-Exchange-Server; anschließend kam PetitPotam für einen NTLM-Relay-Angriff zur Ausweitung der Kontrolle zum Einsatz. Die Kombination aus bekannten Angriffswegen und einer Verschlüsselungstechnik zur Umgehung bestimmter Erkennungsverfahren machte LockFile zu einer auffälligen Ransomware-Familie.
Vertragsunterlagen eines Versicherers können von dieser Teilverschlüsselung ebenso betroffen sein wie andere von LockFile erfasste Dateitypen. Schutzlösungen, die Verschlüsselung über eine statistische Inhaltsanalyse erkennen, können den Vorgang unter Umständen übersehen, weil die veränderte Datei dem Original statistisch ähnlicher bleibt als bei klassischer Vollverschlüsselung. Für die Sachbearbeitung zählt dabei nicht, ob eine Datei technisch noch teilweise lesbar ist, sondern ob sie inhaltlich noch nutzbar bleibt – bei Vertrags- oder Schadendokumenten reicht dafür schon eine partielle Verschlüsselung, um die Unterlagen für die Bearbeitung unbrauchbar zu machen.
Wie funktioniert LockFile?
LockFile verschlüsselt beim Ausführen nur jeden zweiten 16-Byte-Block einer Datei, anstatt den gesamten Inhalt zu verschlüsseln. Diese Technik der intermittierenden Verschlüsselung senkt den Anteil der veränderten Bytes, sodass die Datei dem Original statistisch sehr ähnlich bleibt; Schutzsysteme, die verschlüsselte Dateien über statistische Inhaltsanalyse erkennen, schlagen dadurch unter Umständen nicht an. Vor dem eigentlichen Verschlüsselungsschritt verschafften sich die Angreifer in beobachteten Fällen zunächst Zugang zum Netzwerk über ungepatchte Schwachstellen wie ProxyShell in Microsoft-Exchange-Servern; anschließend kam PetitPotam für NTLM-Relay-Angriffe gegen Windows-Domänencontroller zur Ausweitung der Kontrolle zum Einsatz. Nach der Ausweitung ihrer Zugriffsrechte konnten die Angreifer den LockFile-Ransomware-Payload auf weiteren erreichbaren Systemen einsetzen, sodass mehrere Server gleichzeitig betroffen sein können, wenn die Ausbreitung im Netzwerk unentdeckt bleibt. Der Angriff verbindet damit einen technischen Initialzugang über bekannte Schwachstellen mit einer Verschlüsselungstechnik zur Umgehung bestimmter statistischer Erkennungsverfahren, was die Erkennung insbesondere in der Verschlüsselungsphase erschwert.
Woran erkenne ich LockFile?
| Signal | Woran erkennbar |
|---|---|
| Teilweise unleserliche Dateien | Eine Datei öffnet sich fehlerhaft oder zeigt nur abschnittsweise unlesbaren Inhalt, statt vollständig verschlüsselt zu wirken |
| Abschnittsweise Teilverschlüsselung | Dateien sind nur abschnittsweise verändert; Textdokumente bleiben teilweise lesbar, obwohl sie verschlüsselt sind |
| Kompromittierte Exchange-Server | Zugriffe oder Prozesse, die auf eine ausgenutzte ProxyShell-Schwachstelle an einem Microsoft-Exchange-Server hindeuten |
| Ungewöhnlicher NTLM-Verkehr Richtung Domänencontroller | Anfragen, die zum Muster eines PetitPotam-basierten NTLM-Relay-Angriffs passen |
Schutz im Ernstfall
Vorbeugen
- Microsoft-Exchange-Server zeitnah mit Sicherheitsupdates gegen bekannte Schwachstellen wie ProxyShell versorgen.
- NTLM-Relay-Angriffswege wie PetitPotam durch geeignete Härtungsmaßnahmen an Domänencontrollern einschränken.
- Erkennungssysteme nicht allein auf statistische Inhaltsanalyse stützen, sondern zusätzlich auf Verhaltensmuster wie ungewöhnliche Dateizugriffe prüfen.
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen, um eine weitere Ausbreitung zu begrenzen.
- Ausmaß der Verschlüsselung prüfen, auch wenn Dateien noch teilweise lesbar erscheinen – für die Bearbeitung zählt die inhaltliche Nutzbarkeit, nicht der technische Verschlüsselungsgrad.
- Exchange-Server auf Spuren ausgenutzter ProxyShell-Schwachstellen und Domänencontroller auf Hinweise auf NTLM-Relay-Aktivitäten untersuchen, bevor sie wieder ans Netz gehen.
- Systeme erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen, die vor der Kompromittierung des Netzwerks erstellt wurden, und wiederhergestellte Exchange-Server vor der erneuten Anbindung mit den aktuellen Sicherheitsupdates gegen ProxyShell versorgen.
Beispiele aus der Praxis
- Bei beobachteten LockFile-Angriffen 2021 nutzten Angreifer zunächst die ProxyShell-Schwachstellen, um Zugang zu Microsoft-Exchange-Servern und damit zum Netzwerk zu erhalten.
- Durch die Intermittent Encryption von LockFile bleiben verschlüsselte Dokumente dem Original statistisch so ähnlich, dass Schutzlösungen mit statistischer Inhaltsanalyse sie unter Umständen nicht als Ransomware-Artefakte erkennen.
- In beobachteten Kampagnen wurde PetitPotam für NTLM-Relay-Angriffe gegen Windows-Domänencontroller eingesetzt, bevor der Ransomware-Payload auf weiteren Systemen zum Einsatz kam.
- Verschlüsselt LockFile bei einem Versicherer nur einzelne Abschnitte einer Vertragsdatei, kann eine auf statistischer Inhaltsanalyse beruhende Schutzlösung den Vorgang unter Umständen übersehen, während die Unterlagen für die Sachbearbeitung dennoch unbrauchbar werden.
Häufiger Irrtum
Mythos „Ein Irrtum lautet, eine Datei sei erst dann von Ransomware betroffen, wenn sie vollständig unlesbar ist.“
Richtig LockFile widerlegt das: Die Ransomware verschlüsselt nur jeden zweiten 16-Byte-Block eines Dokuments – ein Text bleibt dadurch teilweise lesbar und ist trotzdem verschlüsselt. Weil die Datei dem Original statistisch sehr ähnlich bleibt, können bestimmte Ransomware-Schutzsysteme, die statistische Inhaltsanalyse verwenden, die Verschlüsselung unter Umständen übersehen.
