LockFile ist eine Ransomware-Familie, die mit intermittierender Verschl\u00fcsselung nur ausgew\u00e4hlte Abschnitte einer Datei statt des gesamten Inhalts ver\u00e4ndert. Dieser Ansatz zielt darauf, Schutzsysteme mit statistischer Inhaltsanalyse zu umgehen, weil teilweise verschl\u00fcsselte Dateien statistisch weniger auff\u00e4llig wirken als vollst\u00e4ndig verschl\u00fcsselte Dateien. LockFile trat erstmals 2021 in Erscheinung; bei beobachteten Angriffen kombinierten die Angreifer ProxyShell mit PetitPotam<\/strong>. ProxyShell diente dabei dem initialen Zugriff auf ungepatchte Microsoft-Exchange-Server; anschlie\u00dfend kam PetitPotam f\u00fcr einen NTLM-Relay-Angriff zur Ausweitung der Kontrolle zum Einsatz. Die Kombination aus bekannten Angriffswegen und einer Verschl\u00fcsselungstechnik zur Umgehung bestimmter Erkennungsverfahren machte LockFile zu einer auff\u00e4lligen Ransomware-Familie.<\/p>\n Vertragsunterlagen eines Versicherers k\u00f6nnen von dieser Teilverschl\u00fcsselung ebenso betroffen sein wie jede andere Datei im Netzwerk. Schutzl\u00f6sungen, die Verschl\u00fcsselung \u00fcber eine statistische Inhaltsanalyse erkennen, k\u00f6nnen den Vorgang unter Umst\u00e4nden \u00fcbersehen, weil die ver\u00e4nderte Datei dem Original statistisch \u00e4hnlicher bleibt als bei klassischer Vollverschl\u00fcsselung. F\u00fcr die Sachbearbeitung z\u00e4hlt dabei nicht, ob eine Datei technisch noch teilweise lesbar ist, sondern ob sie inhaltlich noch nutzbar bleibt \u2013 bei Vertrags- oder Schadendokumenten reicht daf\u00fcr schon eine partielle Verschl\u00fcsselung<\/strong>, um die Unterlagen f\u00fcr die Bearbeitung unbrauchbar zu machen.<\/p>\n LockFile verschl\u00fcsselt beim Ausf\u00fchren gezielt nur festgelegte Byte-Bereiche einer Datei, anstatt sie vollst\u00e4ndig zu durchlaufen. Diese Technik der intermittierenden Verschl\u00fcsselung senkt den Anteil der ver\u00e4nderten Bytes, sodass die Datei dem Original statistisch sehr \u00e4hnlich bleibt; Schutzsysteme, die verschl\u00fcsselte Dateien \u00fcber statistische Inhaltsanalyse erkennen, schlagen dadurch unter Umst\u00e4nden nicht an. Vor dem eigentlichen Verschl\u00fcsselungsschritt verschafften sich die Angreifer in beobachteten F\u00e4llen zun\u00e4chst Zugang zum Netzwerk \u00fcber ungepatchte Schwachstellen wie ProxyShell in Microsoft-Exchange-Servern<\/strong>; anschlie\u00dfend kam PetitPotam f\u00fcr NTLM-Relay-Angriffe gegen Windows-Dom\u00e4nencontroller zur Ausweitung der Kontrolle zum Einsatz. Nach der Ausweitung ihrer Zugriffsrechte konnten die Angreifer den LockFile-Ransomware-Payload auf weiteren erreichbaren Systemen einsetzen, sodass mehrere Server gleichzeitig betroffen sein k\u00f6nnen<\/strong>, wenn die Ausbreitung im Netzwerk unentdeckt bleibt. Der Angriff verbindet damit einen technischen Initialzugang \u00fcber bekannte Schwachstellen mit einer Verschl\u00fcsselungstechnik zur Umgehung bestimmter statistischer Erkennungsverfahren, was die Erkennung insbesondere in der Verschl\u00fcsselungsphase erschwert.<\/p>\nWie funktioniert LockFile?<\/h2>\n
Woran erkenne ich LockFile?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Teilweise unleserliche Dateien<\/td>\n Eine Datei \u00f6ffnet sich fehlerhaft oder zeigt nur abschnittsweise unlesbaren Inhalt, statt vollst\u00e4ndig verschl\u00fcsselt zu wirken<\/td>\n<\/tr>\n \n Statistisch unauff\u00e4llige Teilverschl\u00fcsselung<\/td>\n Dateien sind nur abschnittsweise ver\u00e4ndert und weichen statistisch kaum vom Original ab, obwohl Inhalte verschl\u00fcsselt sind<\/td>\n<\/tr>\n \n Kompromittierte Exchange-Server<\/td>\n Zugriffe oder Prozesse, die auf eine ausgenutzte ProxyShell-Schwachstelle an einem Microsoft-Exchange-Server hindeuten<\/td>\n<\/tr>\n \n Ungew\u00f6hnlicher NTLM-Verkehr Richtung Dom\u00e4nencontroller<\/td>\n Anfragen, die zum Muster eines PetitPotam-basierten NTLM-Relay-Angriffs passen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n
Verwandte Begriffe<\/h2>\n