Die Institution Neues Leben, eine mittelgroße religiöse Organisation mit mehr als 70 Mitarbeitern, musste ihre Aktivitäten einstellen, nachdem sie von einem Angriff der Gruppe INC Ransomware betroffen war. Der Vorfall verschlüsselte Bilddateien, Videos und Office-Dokumente und kompromittierte auch die verfügbaren Backups, wodurch die sofortige Wiederaufnahme der Aktivitäten erschwert wurde. Nach den im Fall ermittelten technischen Informationen erfolgte der erste Zugriff der Kriminellen auf die Umgebung durch die Ausnutzung einer Schwachstelle. Nach dem Eindringen wurden die auf Synology-NAS-Geräten gespeicherten Dateien verschlüsselt, wodurch administrative, operative und institutionelle Daten direkt betroffen waren.
Betrieb blieb nach der Verschlüsselung der Daten lahmgelegt
Die Auswirkungen des Angriffs waren unmittelbar. Ohne Zugriff auf die Dateien und mit ebenfalls verschlüsselten Backups hatte die Institution Neues Leben keine einfache Alternative zur Wiederherstellung der Daten. Die Organisation berichtete von einem Szenario vollständiger Lähmung, mit der Möglichkeit, ihre digitale Struktur von Grund auf neu beginnen zu müssen. Neben den operativen Auswirkungen verursachte der Angriff auch eine starke emotionale Belastung im Team. Laut den Berichten aus der Betreuung begann der Kunde den Wiederherstellungsprozess ohne Hoffnung und in einem Zustand großer Anspannung, angesichts der Unsicherheit über die Möglichkeit, die Dateien wiederherzustellen. Zu den am stärksten betroffenen Daten gehörten Bilder, Videos und Office-Dokumente, Formate, die für die administrative und institutionelle Routine der Organisation wesentlich sind. Ein solcher Verlust kann interne Aufzeichnungen, Kommunikationsmaterialien, historische Dateien und Dokumente beeinträchtigen, die im täglichen Betrieb der Institution verwendet werden.
Auch Backups wurden verschlüsselt
Einer der Faktoren, die den Fall verschärften, war die Kompromittierung der Backups. Bei Ransomware-Angriffen ist das Vorhandensein von Sicherungskopien in der Regel einer der wichtigsten Wege zur Wiederherstellung der Umgebung. Wenn diese Kopien jedoch ebenfalls verschlüsselt werden, wird der Wiederherstellungsprozess komplexer und erfordert eine spezialisierte Analyse. Im Fall der Institution Neues Leben gab es keinen vorherigen Reaktionsplan für Ransomware-Vorfälle. Das Fehlen eines strukturierten Verfahrens zur Eindämmung, zur Sicherung der Geräte, zur Priorisierung der Daten und zur technischen Entscheidungsfindung erhöhte die Kritikalität des Szenarios. Die betroffene Umgebung umfasste zwei Synology-NAS-Geräte mit unterschiedlichen RAID-Arrays. Eine solche Struktur erfordert besondere technische Aufmerksamkeit, da die Wiederherstellung nicht nur vom Versuch abhängt, die verschlüsselten Dateien wiederherzustellen. Es ist auch notwendig, die Organisation der Volumes, die logische Integrität der Daten und die Auswirkungen der Verschlüsselung auf das Dateisystem zu verstehen.
Betroffene Geräte wurden ins Labor geschickt
Nach der Beauftragung von Digital Recovery bestand die erste Maßnahme darin, die Abholung der betroffenen Geräte zu organisieren und sie direkt in das Labor des Unternehmens zu schicken. Die erste Analyse wurde in 48 Stunden abgeschlossen. Diese Phase ermöglichte es, das Ausmaß der Schäden zu bewerten, die betroffenen Volumes zu identifizieren und mögliche technische Wege zur Wiederherstellung zu prüfen. Laut Digital Recovery war die angemessene Sicherung der Geräte entscheidend, um weitere Veränderungen an den Daten zu vermeiden und die Wiederherstellungsmöglichkeiten zu erweitern. Während des Prozesses wurde die Kommunikation mit der Institution Neues Leben kontinuierlich aufrechterhalten. Selbst in einem Szenario von Anspannung und Unsicherheit bemühte sich das für die Betreuung verantwortliche Team, den Kunden über die Analyseschritte, die gefundenen Herausforderungen und die Entwicklung des Prozesses informiert zu halten.
Komplexität der Verschlüsselung war die größte Herausforderung
Das wichtigste technische Hindernis war die Komplexität der durch die Ransomware angewendeten Verschlüsselung. Eine direkte Wiederherstellung der Dateien war nicht auf einfache Weise möglich, insbesondere weil die Daten auf mehrere Volumes verteilt und auf NAS-Geräten mit RAID-Konfigurationen gespeichert waren. Fälle dieser Art erfordern eine sorgfältige Analyse, um zusätzliche Schäden zu vermeiden. Ungeeignete Wiederherstellungsversuche, Volume-Rekonstruktionen oder Manipulationen an den Festplatten können die Integrität der Daten weiter beeinträchtigen und die Chancen auf eine Wiederherstellung verringern. Digital Recovery teilte mit, dass eigene Tools und ein spezialisiertes technisches Team eingesetzt wurden, um die Struktur der betroffenen Daten zu untersuchen. Nach der Analyse wurden mögliche Wege in der Verschlüsselung identifiziert, die es ermöglichten, den Wiederherstellungsprozess voranzubringen. Die Wiederherstellung umfasste technische Analyse, logische Rekonstruktion, Validierung der Dateien und die endgültige Freigabe der wiederhergestellten Daten durch den Kunden.
Daten wurden in 96 Stunden wiederhergestellt
Vom Beginn des Projekts bis zur Freigabe der wiederhergestellten Daten dauerte der Prozess 96 Stunden. Mit dem Abschluss der Wiederherstellung konnte die Institution Neues Leben wieder auf ihre Datenstruktur zugreifen. Die Reaktion des Kunden wurde als Erleichterung und Zufriedenheit beschrieben, insbesondere angesichts der anfänglichen Schwere des Vorfalls und der Möglichkeit eines endgültigen Verlusts der Dateien. Der Fall wurde aufgrund der Komplexität der Verschlüsselung und der kompromittierten Backups als herausfordernd eingestuft. Dennoch ermöglichte die Wiederherstellung der Institution, den vollständigen Neuaufbau ihrer Datenbasis zu vermeiden und die Kontrolle über wesentliche Informationen für ihren Betrieb zurückzugewinnen.
Fall verdeutlicht Risiken von Cyberangriffen auf mittelgroße Organisationen
Der Vorfall bei der Institution Neues Leben zeigt, dass Ransomware-Angriffe nicht nur große Unternehmen oder Technologieorganisationen treffen. Religiöse Institutionen, soziale Einrichtungen, gemeinnützige Organisationen und mittelgroße Unternehmen können ebenfalls zu Zielen werden, insbesondere wenn Schwachstellen in der Umgebung offenliegen. Der Fall macht auch einen kritischen Punkt deutlich: Backups, die mit derselben angegriffenen Umgebung verbunden oder über sie zugänglich sind, können zusammen mit den Hauptdaten verschlüsselt werden. Wenn dies geschieht, hängt die Wiederherstellung von einer tiefergehenden technischen Analyse ab. Ein weiterer relevanter Faktor ist die Bedeutung einer schnellen Reaktion. Die Sicherung der Geräte, die Unterbrechung improvisierter Wiederherstellungsversuche und die korrekte Weiterleitung zur spezialisierten Analyse können die Wiederherstellungschancen direkt beeinflussen. Im Fall der Institution Neues Leben ermöglichte die Kombination aus technischer Analyse, angemessener Behandlung der Geräte und Identifizierung tragfähiger Wege in der Verschlüsselung die Wiederherstellung der Daten in vier Tagen.
Weitere Hintergründe und praxisnahe Informationen zu Datenrettung nach INC-Ransomware-Angriffen bietet die Digital Recovery PHD GmbH auch online unter www.digitalrecovery.com/de.
Impressum:
Digital Recovery PHD GmbH
W-Tec Haus 4
Heinz-Fangman-Str. 2-6
42287 Wuppertal
info@digitalrecovery.de
www.digitalrecovery.com/de
