Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor der Angriffskampagne „TerminalFix“, die nach Erkenntnissen von Microsoft als Variante der bereits bekannten Kampagne „ClickFix“ eingesetzt wird. Über diesen Angriffsweg gelangten Cyberkriminelle in die Netze zweier Berliner Senatsverwaltungen. Dabei wurden große Mengen teils kritischer Daten gestohlen.

Der Angriff auf die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz war bereits Anfang August aktiv. Mitte August wurden die betroffenen Behörden vom Landesnetz getrennt. In der Folge kam es unter anderem zu Problemen bei staatlichen Leistungen. Ende August bestätigte sich, dass Daten abgeflossen waren und die Angreifer Lösegeld forderten. Die Ransomware-Gruppe Rhysida soll 30 Bitcoin verlangt haben. Anfang September wurde zudem bestätigt, dass auch Passwörter betroffen waren.

Am 4. September veröffentlichten die Angreifer rund 1,44 Millionen Dateien im Darknet. Darunter sollen sich Personal- und Finanzunterlagen, Angaben zu Disziplinarverfahren sowie Informationen zur Kritischen Infrastruktur befinden. Auch Listen mit Passwörtern im Klartext und zahlreiche Verträge sollen betroffen sein. Das Land Berlin überprüft deshalb seine rund 12.000 Systeme. Betroffene Bürger sollen informiert werden. Das BSI warnt angesichts des Vorfalls vor einer erhöhten Bedrohungslage.

TerminalFix nutzt vor allem Täuschung und Social Engineering. Nutzer werden auf manipulierte Webseiten gelockt, auf denen ein gefälschtes Cloudflare-Captcha angezeigt wird. Die Seite fordert dazu auf, bestimmte Tastenkombinationen auszuführen und einen vorgegebenen Befehl in die Windows PowerShell einzufügen. Der Befehl wurde zuvor unbemerkt per JavaScript in die Zwischenablage kopiert.

Nach dem Einfügen wird Schadsoftware heruntergeladen. Dabei werden unter anderem legitime Windows-Dateien missbraucht, um weitere Bestandteile der Malware unauffällig nachzuladen. Zusätzliche Schadprogramme werden in Bilddateien versteckt und anschließend auf dem System installiert. Über Registry-Einträge sorgt die Malware dafür, dass sie dauerhaft aktiv bleibt.

Die Angreifer können anschließend Befehle ausführen und über einen SOCKS-Proxy einen Tunnel in das Netzwerk der betroffenen Organisation aufbauen. Dadurch können Daten und Verbindungen überwacht oder abgefangen werden. Von einem infizierten Arbeitsplatz aus können sich die Angreifer innerhalb eines Netzes weiterbewegen. Offenbar vorhandene Passwortlisten im Klartext erleichterten den Zugriff erheblich.

Der Vorfall zeigt, wie wirkungsvoll bereits die Manipulation eines einzelnen Nutzers sein kann. Phishing-Mails, Social Media, Foren oder regelmäßig besuchte Webseiten können als Einstieg dienen. Behörden sind für solche Angriffe besonders interessant, weil Informationen über Mitarbeiter und Organisationsstrukturen teilweise öffentlich zugänglich sind. Zudem können umfangreiche Datenbestände und sensible Informationen einen hohen Erpressungswert besitzen.

Resümee

Der Vorfall macht deutlich, wie eng Datenschutz und IT-Sicherheit miteinander verbunden sind. Gerade bei sensiblen Daten und vernetzten Systemen sind klare Schutzmaßnahmen, sichere Prozesse und eine regelmäßige Überprüfung entscheidend, um Risiken frühzeitig zu erkennen und die Widerstandsfähigkeit einer Organisation nachhaltig zu stärken.

 

Unser Angebot für Sie:

• Gap-Analyse Ihres ISMS im Kontext von TISAX, NIS-2 und KRITIS
• Aufbau oder Anpassung von Risiko- und Sicherheitskonzepten nach NIS-2
• Unterstützung bei Incident-Management, Lieferkette und Meldepflichten
• Vorbereitung auf NIS-2 Nachweise sowie ISO 27001 Audits
• Schulungen für Geschäftsführung und Fachbereiche zu NIS-2 und IT-Sicherheit

 

Kontaktieren Sie uns noch heute!
Für ein unverbindliches Erstgespräch – wir beraten Sie
zu TISAX, ISO 27001 und DSGVO.

Fragen und Antworten zu KRITIS und NIS-2
https://www.tec4net.com/web/category/wissen-nis-2/

Der Super-GAU: Offenbar Daten nach Angriff auf Berliner Landesnetz veröffentlicht
https://www.tichyseinblick.de/daili-es-sentials/daten-berliner-landesnetz-veroeffentlicht/

ISO/IEC 27001:2022 – Grundlagen und Normenübersicht
https://www.iso.org/standard/27001

Fragen und Antworten zu KRITIS und NIS-2
https://www.tec4net.com/web/category/wissen-nis-2/

Risikomanagement und Business Continuity nach ISO 22301
https://www.iso.org/standard/50038.html

Datenschutz: DSGVO rechtssicher und praxisnah umsetzen mit tec4net
https://www.tec4net.com/web/datenschutz/