Nefilim ist eine Ransomware-Familie, die befallene Systeme durch Dateiverschl\u00fcsselung lahmlegt und f\u00fcr die Entschl\u00fcsselung L\u00f6segeld fordert. Verschl\u00fcsselte Dateien erhalten dabei die Erweiterung .NEFILIM<\/strong> als eindeutiges Erkennungsmerkmal. Die Gruppierung kombiniert die Verschl\u00fcsselung mit Double Extortion: Vor der Verschl\u00fcsselung gestohlene Daten drohen bei ausbleibender Zahlung ver\u00f6ffentlicht zu werden, um den Erpressungsdruck zu erh\u00f6hen. Dieser Druck bleibt bestehen, selbst wenn Betroffene die verschl\u00fcsselten Systeme erfolgreich aus Backups wiederherstellen<\/strong> k\u00f6nnen. Die Angreifer setzen dabei auf Big Game Hunting und richten ihre Angriffe gezielt gegen gro\u00dfe Unternehmen mit entsprechender Zahlungsf\u00e4higkeit, statt breit gestreut kleinere Ziele anzugreifen. Nefilim teilt einen erheblichen Teil des Codes mit der \u00e4lteren Ransomware-Familie Nemty.<\/p>\n Missbrauchen Angreifer kompromittierte RDP-Zugangsdaten<\/strong>, verschaffen sie sich Zugang zum Unternehmensnetzwerk und k\u00f6nnen Daten exfiltrieren, bevor sie erreichbare Netzlaufwerke mit Vertragsunterlagen eines Versicherers verschl\u00fcsseln. Getrennt aufbewahrte Sicherungskopien bleiben von diesem Zugriff unber\u00fchrt, sofern sie nicht ebenfalls \u00fcber das kompromittierte Netzwerk erreichbar sind. Der Umfang der betroffenen Daten h\u00e4ngt dabei davon ab, welche Netzlaufwerke vom kompromittierten Konto aus tats\u00e4chlich erreichbar waren.<\/p>\n Nefilim gelangt \u00fcber kompromittierte RDP-Zugangsdaten in ein Netzwerk und verschl\u00fcsselt anschlie\u00dfend erreichbare Systeme nach vorheriger Exfiltration der Daten. Nach dem initialen Zugriff bewegen sich Angreifer lateral durch das Netzwerk<\/strong> und identifizieren Systeme mit wertvollen Daten, bevor sie mit der Exfiltration beginnen. Dieser Zwischenschritt kann sich \u00fcber mehrere Tage erstrecken, da Angreifer gezielt nach Systemen mit vertraglich oder finanziell sensiblen Inhalten suchen, statt die Verschl\u00fcsselung sofort nach dem Erstzugriff auszul\u00f6sen.<\/p>\n Erst nach Abschluss der Datenexfiltration l\u00f6st die Ransomware die Verschl\u00fcsselung erreichbarer Netzlaufwerke aus und versieht betroffene Dateien mit der Erweiterung .NEFILIM. Bleibt die geforderte Zahlung aus, drohen die Angreifer zus\u00e4tzlich mit der Ver\u00f6ffentlichung der zuvor gestohlenen Daten auf einer Leak-Site<\/strong>. Diese Reihenfolge \u2013 zuerst Datenabfluss, dann Verschl\u00fcsselung \u2013 verschafft den Angreifern einen zus\u00e4tzlichen Druckhebel, selbst wenn Betroffene die Verschl\u00fcsselung durch Backups ausgleichen k\u00f6nnen. F\u00fcr die Betroffenen bedeutet das, dass eine technische Wiederherstellung der Systeme das Erpressungsrisiko rund um die gestohlenen Daten allein nicht beseitigt.<\/p>\nWie funktioniert Nefilim?<\/h2>\n
Woran erkenne ich Nefilim?<\/h2>\n