HelloKitty bezeichnet sowohl eine Ransomware-Familie als auch die dahinterstehende Gruppe, die seit Anfang 2021 gezielte Angriffe auf Unternehmen und Organisationen durchf\u00fchrt. Nach dem Eindringen in ein Netzwerk verschl\u00fcsselt die Schadsoftware Daten auf Windows-Systemen und kombiniert dies mit doppelter Erpressung: Gestohlene Daten dienen zus\u00e4tzlich als Druckmittel, um eine Zahlung zu erzwingen, unabh\u00e4ngig davon, ob das Opfer \u00fcber funktionierende Backups verf\u00fcgt<\/strong>. Neben der Windows-Variante existiert eine eigene Linux-Variante, die gezielt auf VMware-ESXi-Umgebungen zielt und damit ganze virtualisierte Infrastrukturen einzelner Unternehmen treffen kann<\/strong>. Weil die Angreifer zus\u00e4tzlich mit der Ver\u00f6ffentlichung gestohlener Daten drohen, bleibt der Erpressungsdruck bestehen, selbst wenn ein Unternehmen verschl\u00fcsselte Systeme aus eigenen Backups wiederherstellen kann. Diese Kombination aus Verschl\u00fcsselung und Datendiebstahl unterscheidet HelloKitty von \u00e4lteren Ransomware-Familien, die allein auf Verschl\u00fcsselung setzten.<\/p>\n Setzt ein Versicherer VMware-ESXi zum Betrieb seiner Bestandsf\u00fchrungssysteme ein, kann ein einzelner HelloKitty-Angriff \u00fcber die Linux-Variante den ESXi-Host treffen und Prozesse der dort laufenden virtuellen Systeme beenden<\/strong>, statt nur einen einzelnen Server zu treffen. Diese B\u00fcndelung mehrerer Systeme in einer virtualisierten Umgebung vergr\u00f6\u00dfert die Angriffsfl\u00e4che gegen\u00fcber klassischen Einzelserver-Infektionen.<\/p>\n HelloKitty verschafft sich zun\u00e4chst Zugang zu einem Unternehmensnetzwerk und exfiltriert Daten, bevor die eigentliche Verschl\u00fcsselung beginnt. Die gestohlenen Daten dienen als zus\u00e4tzliches Druckmittel der doppelten Erpressung, unabh\u00e4ngig davon, ob das Opfer \u00fcber funktionsf\u00e4hige Backups verf\u00fcgt, da die Drohung der Ver\u00f6ffentlichung unabh\u00e4ngig von einer Wiederherstellung wirkt. Die Angreifer nutzen daf\u00fcr bekannte Schwachstellen in extern erreichbaren Diensten aus, ohne dass ein Mitarbeiter zwingend eine sch\u00e4dliche Datei ausf\u00fchren muss<\/strong>. Dadurch bleibt der erste Zugriff l\u00e4ngere Zeit unbemerkt, bevor die eigentliche Verschl\u00fcsselung sichtbar wird.<\/p>\n Auf Windows-Systemen verschl\u00fcsselt die Schadsoftware lokale und \u00fcber das Netzwerk erreichbare Laufwerke und hinterl\u00e4sst anschlie\u00dfend eine L\u00f6segeldforderung. Die Linux-Variante zielt dagegen gezielt auf VMware-ESXi-Hosts und beendet dort Prozesse laufender virtueller Maschinen<\/strong>.<\/p>\nWie funktioniert HelloKitty?<\/h2>\n
Woran erkenne ich HelloKitty?<\/h2>\n