Play Ransomware, auch PlayCrypt genannt, ist eine seit 2022 aktive Cybercrime-Gruppe, die gezielte Ransomware-Angriffe auf Unternehmen und staatliche Institutionen durchführt und betroffene Dateien mit einer eigenen Dateiendung verschlüsselt.
Auf einen Blick
MITRE ATT&CK dokumentiert Überschneidungen bei Taktiken und Werkzeugen mit den Gruppen Hive und Nokoyawa, leitet daraus aber keine Zugehörigkeit ab.
Laut CISA traf Play Ransomware Unternehmen und kritische Infrastruktur in Nordamerika, Südamerika und Europa.
Verschlüsselte Dateien tragen die charakteristische Endung .play als erkennbaren Hinweis auf die verantwortliche Gruppe.
Was ist Play Ransomware?
Play Ransomware, auch als PlayCrypt bekannt, ist eine Cybercrime-Gruppe, die seit 2022 gezielte Angriffe auf Unternehmen und staatliche Institutionen durchführt. Laut MITRE ATT&CK richten sich die Angriffe unter anderem gegen Organisationen aus Wirtschaft, Verwaltung, kritischer Infrastruktur, Gesundheitswesen und Medien. Nach dem Eindringen in ein Netzwerk verschlüsselt Play Ransomware die Daten der Opfer und versieht die betroffenen Dateien mit einer eigenen Kennung, begleitet von einer Lösegeldforderung. Betroffen waren laut CISA Organisationen in Nordamerika, Südamerika und Europa.
Ein möglicher Einstiegspunkt sind bekannte Schwachstellen in öffentlich erreichbaren Anwendungen sowie extern erreichbare RDP- oder VPN-Dienste. Verschaffen sich Angreifer auf einem dieser Wege Zugang bei einem Versicherer, können sie darüber Zugriff auf interne Systeme erhalten, Daten verschlüsseln und zusätzlich mit zuvor gestohlenen Unternehmensdaten Erpressungsdruck aufbauen. Ob ein solcher Angriff gelingt, hängt unter anderem davon ab, wie schnell bekannte Schwachstellen in öffentlich erreichbaren Anwendungen geschlossen werden und wie konsequent Zugriffsrechte auf extern erreichbare RDP- und VPN-Dienste begrenzt sind. Für den Erstzugang nutzte die Gruppe außerdem gültige Benutzerkonten, etwa für VPN-Zugänge.
Wie funktioniert Play Ransomware?
Play Ransomware verschafft sich Zugang unter anderem über extern erreichbare VPN- oder RDP-Dienste sowie über bekannte Schwachstellen in öffentlich erreichbaren Anwendungen wie FortiOS oder Microsoft Exchange. Bereits kompromittierte Zugangsdaten aus früheren Datenlecks können den initialen Zugriff zusätzlich erleichtern, sofern Nutzer dieselben Passwörter mehrfach verwenden. Nach dem ersten Zugriff bewegt sich die Gruppe innerhalb des Netzwerks weiter, sichert sich Zugriff auf zusätzliche Systeme und kopiert wertvolle Unternehmensdaten, bevor die eigentliche Verschlüsselung beginnt. Verschlüsselte Dateien erhalten dabei die Endung .play, ein erkennbares Merkmal der Gruppe. Anschließend hinterlegt Play Ransomware eine Erpressernachricht, die zur Kontaktaufnahme per E-Mail auffordert, und droht zusätzlich mit der Veröffentlichung der zuvor gestohlenen Daten, falls das Opfer nicht zahlt.
MITRE ATT&CK dokumentiert Überschneidungen bei Taktiken und Werkzeugen mit den Ransomware-Gruppen Hive und Nokoyawa, leitet daraus aber keine Zugehörigkeit ab. Wie lange die Gruppe zwischen erstem Zugriff und Verschlüsselung agiert, hängt vom Einzelfall ab.
Woran erkenne ich Play Ransomware?
| Signal | Woran erkennbar |
|---|---|
| Dateiendung .play | Verschlüsselte Dateien tragen die charakteristische Endung .play |
| Zugriff über Fernzugriffsdienst oder Anwendungsschwachstelle | Initialer Zugriff erfolgt etwa über einen extern erreichbaren VPN- oder RDP-Dienst, über gültige Zugangsdaten oder über eine ausgenutzte Schwachstelle in einer öffentlich erreichbaren Anwendung |
| Ähnlichkeit zu Hive/Nokoyawa | Taktiken und Werkzeuge überschneiden sich mit denen der Gruppen Hive und Nokoyawa; MITRE leitet daraus keine Zugehörigkeit ab |
| Erpressernachricht mit E-Mail-Kontakt | Hinterlassene Nachricht nennt keinen Lösegeldbetrag und keine Zahlungsanweisungen, sondern fordert zur Kontaktaufnahme per E-Mail auf |
Schutz im Ernstfall
Vorbeugen
- Öffentlich erreichbare Anwendungen zeitnah patchen und Fernzugriffsdienste wie VPN und RDP wo möglich mit Multi-Faktor-Authentifizierung absichern.
- Zugriff auf VPN- und RDP-Dienste auf notwendige Nutzergruppen beschränken und ungenutzte Zugänge deaktivieren.
- Netzwerksegmentierung einsetzen, damit ein kompromittierter Fernzugriffsdienst nicht direkten Zugriff auf alle Systeme erlaubt.
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen, um eine weitere Verschlüsselung zu stoppen.
- Ausmaß der Datenexfiltration forensisch klären.
- Vorfall bei den zuständigen Behörden melden und, falls relevant, aufsichtsrechtliche Meldepflichten prüfen.
Beispiele aus der Praxis
- Ein Play-Ransomware-Angriff auf einen kommunalen IT-Dienstleister kann die Verwaltung mehrerer Behörden gleichzeitig beeinträchtigen, wenn zentrale Fachverfahren über dieselbe Infrastruktur laufen.
- In der Schweiz war das Unternehmen NZZ Mediengruppe 2023 Ziel eines Play-Ransomware-Angriffs, der den Betrieb mehrerer Redaktionen erheblich beeinträchtigte.
- Ein typisches Angriffsszenario von Play Ransomware umfasst den Zugang über extern erreichbare RDP- oder VPN-Dienste oder die Ausnutzung bekannter Schwachstellen in öffentlich erreichbaren Anwendungen, gefolgt von Datenverschlüsselung und Erpressung mit gestohlenen Unternehmensdaten.
- Verschaffen sich Angreifer über einen extern erreichbaren RDP- oder VPN-Dienst eines Versicherers Zugang, können sie anschließend Daten verschlüsseln und mit den zuvor gestohlenen Unternehmensdaten zusätzlichen Erpressungsdruck aufbauen.
Häufiger Irrtum
Mythos „Play Ransomware ist Teil der Gruppen Hive oder Nokoyawa.“
Richtig MITRE ATT&CK dokumentiert Überschneidungen bei Taktiken und Werkzeugen mit Hive und Nokoyawa, leitet daraus aber keine Zugehörigkeit ab.
