LockerGoga ist eine Ransomware-Familie, die gezielt Industriebetriebe angreift und deren Systeme durch Verschl\u00fcsselung vollst\u00e4ndig offline nimmt. Der Angriff geht \u00fcber klassische Verschl\u00fcsselungs-Ransomware hinaus: Die Schadsoftware \u00e4ndert zus\u00e4tzlich Benutzerpassw\u00f6rter und kappt Netzwerkverbindungen<\/strong>, wodurch betroffene Arbeitspl\u00e4tze zus\u00e4tzlich zur Dateiverschl\u00fcsselung vom restlichen Firmennetz isoliert werden. Weil Produktionsanlagen auf einen durchgehenden Systemzugriff angewiesen sind, wirkt sich ein solcher Ausfall unmittelbar auf laufende Fertigungsprozesse aus. Weil die Passwort\u00e4nderung zentral \u00fcber die Active-Directory-Infrastruktur erfolgt, betrifft sie in kurzer Zeit eine gro\u00dfe Zahl an Benutzerkonten gleichzeitig.<\/p>\n In einem Versicherungsunternehmen verlieren Mitarbeiter durch ge\u00e4nderte Passw\u00f6rter und gekappte Netzwerkverbindungen den Zugriff auf ihre Verwaltungssysteme insgesamt, nicht nur auf verschl\u00fcsselte Dateien. Eine Wiederherstellung der Dateien aus Backups macht die ge\u00e4nderten Passw\u00f6rter und deaktivierten Netzwerkschnittstellen nicht r\u00fcckg\u00e4ngig<\/strong>. Schaden- und Vertragsbearbeitung, die auf den Zugriff mehrerer vernetzter Systeme angewiesen ist, bleibt so l\u00e4nger unterbrochen als bei einer reinen Dateiverschl\u00fcsselung. Weil Schadensf\u00e4lle an vertragliche Bearbeitungsfristen gebunden sind, versch\u00e4rft ein verl\u00e4ngerter Systemausfall zus\u00e4tzlich den Druck auf die Bearbeitungszeiten.<\/p>\n LockerGoga verschafft sich zun\u00e4chst \u00fcber kompromittierte Zugangsdaten oder eine bereits unterwanderte Active-Directory-Infrastruktur Zugang zum Firmennetz, bevor die eigentliche Verschl\u00fcsselung beginnt. Von dort aus verteilt sich die Schadsoftware auf m\u00f6glichst viele Endpunkte und Server im Netzwerk, bevor die Verschl\u00fcsselung zeitgleich ausgel\u00f6st wird<\/strong>.<\/p>\n Anschlie\u00dfend verschl\u00fcsselt LockerGoga Dateien und \u00e4ndert parallel die Passw\u00f6rter der betroffenen Benutzerkonten, wodurch sich Besch\u00e4ftigte selbst mit korrekten alten Zugangsdaten nicht mehr anmelden k\u00f6nnen. Zus\u00e4tzlich kappt die Schadsoftware Netzwerkverbindungen einzelner Systeme, was eine zentrale Fernsteuerung oder Fehlerbehebung durch die IT-Abteilung erschwert<\/strong>. Diese Kombination aus Datei-, Konto- und Netzwerksperre bedeutet, dass eine Wiederherstellung der Dateien aus Backups die ge\u00e4nderten Passw\u00f6rter, die abgemeldeten Nutzer und die deaktivierten Netzwerkschnittstellen nicht r\u00fcckg\u00e4ngig macht.<\/p>\nWie funktioniert LockerGoga?<\/h2>\n
Woran erkenne ich LockerGoga?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Pl\u00f6tzlicher Passwortwechsel bei mehreren Benutzerkonten gleichzeitig<\/td>\n Betroffene k\u00f6nnen sich trotz korrekter bisheriger Zugangsdaten nicht mehr anmelden<\/td>\n<\/tr>\n \n Abbruch von Netzwerkverbindungen einzelner Systeme<\/td>\n IT-Abteilung kann betroffene Rechner nicht mehr zentral erreichen<\/td>\n<\/tr>\n \n Verschl\u00fcsselte Dateien in Industrie- oder Fertigungsumgebungen<\/td>\n Angriff konzentriert sich auf Produktions- statt reine B\u00fcro-IT<\/td>\n<\/tr>\n \n Vorherige Kompromittierung der Active-Directory-Infrastruktur<\/td>\n ungew\u00f6hnliche administrative Zugriffe auf zentrale Verzeichnisdienste vor der eigentlichen Verschl\u00fcsselung<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n