Lilith ist eine in der Programmiersprache C++ entwickelte Ransomware-Familie, die gezielt Unternehmensnetzwerke kompromittiert. Angreifer setzen dabei auf doppelte Erpressung, auch Double Extortion genannt<\/strong>: Neben der Verschl\u00fcsselung von Daten drohen sie zus\u00e4tzlich mit der Ver\u00f6ffentlichung gestohlener Informationen, um den Druck auf das betroffene Unternehmen zu erh\u00f6hen. Diese Kombination aus Datenverschl\u00fcsselung und Datenexfiltration z\u00e4hlt Lilith zur Kategorie moderner Unternehmens-Ransomware, die \u00fcber die reine Datenblockade hinausgeht. Der Name der Schadsoftware ist an die altorientalische D\u00e4monenfigur Lilith angelehnt. F\u00fcr betroffene Unternehmen bedeutet diese Kombination, dass eine reine Wiederherstellung aus Backups die Erpressung nicht vollst\u00e4ndig entsch\u00e4rft<\/strong>.<\/p>\n Exfiltrieren Angreifer vor der Verschl\u00fcsselung vertrauliche Unterlagen aus dem Netzwerk eines Unternehmens, ist die Vertraulichkeit der betroffenen Daten bereits gef\u00e4hrdet, bevor die eigentliche Blockade der Systeme einsetzt<\/strong>. Kundendaten und Vertragsunterlagen k\u00f6nnen dabei ebenso abflie\u00dfen wie interne Dokumente, sofern die Angreifer vor der Verschl\u00fcsselung Zugriff auf die entsprechenden Speicherorte erhalten. Bei Versicherern z\u00e4hlt der Bestand an Kunden- und Vertragsdaten zu den Werten, deren Vertraulichkeit unabh\u00e4ngig davon gef\u00e4hrdet ist, ob die anschlie\u00dfende Verschl\u00fcsselung technisch erfolgreich verl\u00e4uft.<\/p>\n Lilith verschafft sich nach einer initialen Kompromittierung Zugriff auf ein Unternehmensnetzwerk und bewegt sich anschlie\u00dfend lateral durch verbundene Systeme, um m\u00f6glichst viele Endpunkte gleichzeitig zu erreichen. Vor der eigentlichen Verschl\u00fcsselung exfiltrieren die Angreifer zun\u00e4chst vertrauliche Dateien auf eigene Infrastruktur<\/strong>, damit ihnen f\u00fcr die sp\u00e4tere Erpressung Beweismaterial zur Verf\u00fcgung steht. Dieser Zwischenschritt l\u00e4uft ab, bevor auf dem Zielsystem sichtbare Ver\u00e4nderungen auftreten, wodurch der Datenabfluss zu diesem Zeitpunkt leicht unbemerkt bleiben kann.<\/p>\n Erst nach Abschluss dieses Datenabflusses verschl\u00fcsselt Lilith die erreichbaren Dateisysteme, wodurch der Zugriff auf Daten und Anwendungen im betroffenen Netzwerk blockiert wird. Ein Erpresserbrief fordert anschlie\u00dfend ein L\u00f6segeld f\u00fcr die Entschl\u00fcsselung und droht zus\u00e4tzlich mit der Ver\u00f6ffentlichung der zuvor exfiltrierten Daten, sofern die Zahlung ausbleibt. Diese Reihenfolge, zuerst Datendiebstahl, dann Verschl\u00fcsselung, erh\u00f6ht den Druck auf das betroffene Unternehmen, weil ein Wiederherstellen der Systeme aus Backups die Drohung der Ver\u00f6ffentlichung nicht entkr\u00e4ftet<\/strong>. F\u00fcr die Angreifer bleibt der Erpressungshebel damit auch dann bestehen, wenn die verschl\u00fcsselten Systeme technisch vollst\u00e4ndig wiederhergestellt werden k\u00f6nnen.<\/p>\nWie funktioniert Lilith?<\/h2>\n
Woran erkenne ich Lilith?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Erpresserbrief droht zus\u00e4tzlich mit Ver\u00f6ffentlichung gestohlener Daten<\/td>\n Textbaustein zur Double-Extortion-Taktik, nicht nur Aufforderung zur Zahlung f\u00fcr die Entschl\u00fcsselung<\/td>\n<\/tr>\n \n Angriff richtet sich gegen ein Unternehmensnetzwerk, nicht gegen Einzelger\u00e4te<\/td>\n Verschl\u00fcsselung betrifft mehrere miteinander verbundene Systeme, nicht ein isoliertes Ger\u00e4t<\/td>\n<\/tr>\n \n Datenabfluss vor der eigentlichen Verschl\u00fcsselung<\/td>\n Ungew\u00f6hnlicher ausgehender Datenverkehr in gro\u00dfem Umfang, bevor Dateien unzug\u00e4nglich werden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n