Unternehmen in Lateinamerika sind mit einer Form der BitLocker-Erpressung konfrontiert worden, bei der Angreifer nicht nur Systeme kompromittieren, sondern anschließend gezielt Verschlüsselung ausrollen und Lösegeldforderungen verbreiten. In zwei untersuchten Vorfällen in Kolumbien (Juni) und Mexiko (Mai) fiel vor allem die Kombination aus Netzwerk- und Dienstmissbrauch sowie der Nutzung vorhandener Microsoft-Komponenten auf. Zusätzlich wurden Drucker im Büro genutzt, um die Opfer direkt aufzufordern, Lösegeld zu zahlen, um wieder Zugriff auf Daten zu erhalten.
Was diese Fälle besonders anschaulich macht: Die Angreifer setzen nicht zwingend auf komplexe, externe Ransomware-Software. Stattdessen nutzen sie Werkzeuge und Funktionen, die in Unternehmensumgebungen bereits vorhanden sind – und verstärken damit den Druck auf die betroffenen Teams.
Erster Hinweis: BitLocker sperrt Laufwerke
In beiden Vorfällen bemerkten die betroffenen Nutzer zunächst ein auffälliges Zeichen in der Windows-Umgebung: Neben ihren Laufwerken erschien ein Schloss-Symbol im Windows Explorer. Dieses Symbol deutete darauf hin, dass die betreffenden Datenträger mit BitLocker verschlüsselt wurden und der Zugriff auf die Inhalte blockiert ist.
Um die Laufwerke wieder zu entsperren, wurde eine Wiederherstellungsschlüssel benötigt. Für die Unternehmen bedeutete das: Sie mussten nicht nur auf einen technischen Zwischenfall reagieren, sondern zugleich die Kontrolle über die Verschlüsselungsphase zurückgewinnen.
Fall 1 aus Kolumbien: RDP als Einstieg, BitLocker als Hebel
Im Juni kam es in Kolumbien zu einem Vorfall, bei dem Angreifer eine internet-exponierte RDP-Verbindung ausnutzten. Dabei handelte es sich um einen Remote-Desktop-Zugang zu einer Maschine, die an ein 8-TB-Speichergerät angeschlossen war – mit datenrelevanten, offenbar geschäftskritischen Informationen.
Nach dem Eindringen manipulierten die Angreifer Benutzeranmeldeinformationen. Anschließend aktivierten sie BitLocker gezielt auf dem Laufwerk, das vorrangig finanzbezogene Daten enthielt. Sobald der Verschlüsselungsvorgang abgeschlossen war, sperrten sie das Laufwerk und erzeugten Lösegeldnotizen, die über die Firmen-Drucker im Unternehmen ausgegeben wurden.
Die Ermittlungsarbeit blieb jedoch teilweise eingeschränkt, weil das Unternehmen das verschlüsselte Laufwerk sehr schnell wiederherstellen wollte. Dadurch standen der Forensik nur begrenzte Belege zur Verfügung. Aus der Kommunikation der Angreifer ergab sich außerdem eine Forderung von 3.000 US-Dollar, bei der das Unternehmen zunächst erwog, der Forderung nachzukommen.
Warum RDP-Offenheit riskant bleibt
Der Fall zeigt, wie stark eine falsch abgesicherte Zugriffsroute wirken kann. Der Angriff war möglich, weil RDP-Dienste nach außen erreichbar waren und zusätzlich weitere Ports geöffnet waren, die Mitarbeiter zur Arbeit mit Unternehmensdaten nutzten. In Kombination mit Fehlkonfigurationen konnten Angreifer in das System eindringen, ein weiteres Laufwerk identifizieren und dann die BitLocker-Erpressung konsequent umsetzen.
Der zentrale Punkt für Verteidigung lautet: RDP ohne strikte Sicherheitskontrollen erhöht das Risiko, dass Angreifer sich nicht nur Zugang verschaffen, sondern diesen Zugriff auch so lange ausbauen, bis Verschlüsselung und Erpressung starten.
Fall 1: Schwächere Kontrolle durch deaktivierte Endpoint-Schutzfunktionen
Ein weiterer Aspekt war, dass der betroffene Rechner offenbar wegen Kompatibilitätsproblemen die Endpoint Protection Platform (EPP)-Schutzfunktionen deaktiviert hatte. Das kann Angreifern helfen, Anwendungen zu validieren, zu katalogisieren und auszuführen, ohne dass zentrale Überwachungssysteme zwingend früh genug Alarm schlagen.
Für Unternehmen ist das ein Warnsignal: Wenn Sicherheitskomponenten aus Kompatibilitätsgründen reduziert werden, müssen alternative Schutzmaßnahmen und eine saubere Überwachungsstrategie entsprechend mitgedacht werden.
Fall 2 aus Mexiko: MSSQL-Misskonfiguration und RMM-Persistenz
Im zweiten untersuchten Fall in Mexiko begann der Angriff über einen falsch konfigurierten MSSQL-Dienst. Die Angreifer nutzten dabei eine Schwachstelle bzw. Fehlkonfiguration, die es ihnen ermöglichte, nach dem Erlangen der Datenbank-Zugriffsdaten Befehle auf dem System auszuführen.
Die Credentials wurden offenbar aus Code gewonnen, der unsicher auf GitHub veröffentlicht worden war. Damit verschob sich der Fokus von „Zugriff per RDP“ hin zu „Zugriff per Datenbankdienst“. Laut Bericht lag der Zeitraum zwischen erster Aktivität und späterer Erkennung bei rund drei Monaten.
Vom MSSQL-Server bis ins Betriebssystem
Nach der Bestätigung ihres Zugriffs in den MSSQL-Einstellungen konnten die Angreifer auf Funktionen zugreifen, die über die reine Datenbankwelt hinausgingen. Der Datenbankengine-Typ war Microsoft SQL Server 2019.0150.2160.04. Entscheidend war die Fehlkonfiguration, die es erlaubte, OS-Kommandos über die erweiterte gespeicherte Prozedur xp_cmdshell auszuführen.
Weil der betroffene MSSQL-Dienst im Internet erreichbar war, entstand für die Angreifer ein Kanal, der grundsätzlich die Ausführung beliebiger Befehle im Rahmen ihres Zielbereichs ermöglichte.
Web-Konfigurationen und Webshells: erste Schritte, dann Konsolidierung
Zunächst konzentrierten sich die Angreifer auf Manipulationen an der Webserver-Konfiguration. Außerdem legten sie Webshell-Dateien in öffentlich zugänglichen Ordnern an. Bestehende EPP-Kontrollen konnten einige Versuche eindämmen, doch trotz Alarmmeldungen wurde die erforderliche Untersuchung offenbar nicht zeitnah durchgeführt.
Später stellten die Angreifer lokal ihre Befehlsausführung sicher und bauten ihre Angriffsinfrastruktur so auf, dass Datenübertragung über eine Kommunikationsbrücke möglich wurde. In der Folge erhielten sie Zugang zu internen Systemen innerhalb der Umgebung.
RMM-Tools und BitLocker-Ausrollung in der Breite
Ein entscheidendes Element der BitLocker-Erpressung in diesem Fall war die Kombination aus Persistenz und Ausführungsfähigkeit. Anfang Mai fokussierten die Angreifer zusätzliche Scans und führten Endpoint Central von ManageEngine als RMM (Remote Monitoring and Management) ein. Mit dieser Grundlage konnten sie anschließend geplante Aufgaben anstoßen.
In den darauffolgenden Tagen kamen weitere RMM-ähnliche Anwendungen hinzu, darunter Mesh Agent und Tactical RMM. Diese Tools wurden genutzt, um scheduled tasks zu konfigurieren: Sie aktivierten den BitLocker-Dienst und verschlüsselten anschließend pro System die jeweiligen Laufwerke, wobei jeweils ein separater Schlüssel erzeugt wurde.
GPO als zentraler Verteiler für die Verschlüsselungsphase
Mid-May gelang es den Angreifern außerdem, ein Group Policy Object (GPO) zur Ausspielung von Aktivierungs- und Verschlüsselungsaufgaben einzusetzen. Darüber hinaus nutzten sie weitere Richtlinien, um RMM-Apps weiter über geplante Aufgaben nachzuladen.
Die Aktivität begann zunächst bei als kritisch eingestuften Systemen und breitete sich anschließend auf sämtliche Rechner aus, die mit dem Domain Controller synchronisierten. Für die Nutzer wurde das sichtbar: Einige Systeme zeigten einen blauen Bildschirm mit der Meldung „Hacked by XEntry Team“, und gleichzeitig funktionierten die Anmeldedaten nicht mehr für den Zugriff.
Einige Stunden später folgten dann die Lösegeldnotizen über die Büro-Drucker. Das Muster war damit ähnlich wie im ersten Fall: Erst Sperrung/Blockade durch Verschlüsselung, dann direkte Erpressungsbotschaften am physischen Arbeitsplatz.
Was beide Fälle gemeinsam haben
Auch wenn die Einstiegspfade unterschiedlich waren (RDP im ersten, MSSQL im zweiten Fall), zeigten die Vorfälle mehrere wiederkehrende Muster:
- Verschlüsselung mit BitLocker als Kernmechanismus zur Datenblockade.
- Gezieltes Vorgehen statt blindem Massenangriff, etwa durch Auswahl bestimmter Laufwerke oder Systeme.
- Nutzung vorhandener Unternehmensfunktionen (z. B. Microsoft-Tools) statt zwingender Abhängigkeit von externer Ransomware.
- Drucker als Ausgabekanal für Lösegeldforderungen und Eskalation im Büro.
- Ein Bedarf an besserem Alert-Management: In mindestens einem Fall führten Alarmmeldungen nicht rechtzeitig zu einer Untersuchung.
Zusätzlich deutet der Bericht darauf hin, dass Angreifer bewusst vermeiden, in eine Partnerschaft oder in Investitionen für Ransomware-Gruppen zu gehen. Stattdessen nutzen sie die Möglichkeiten, die sich aus der kompromittierten Infrastruktur ergeben.
Empfohlene Gegenmaßnahmen: von RDP-Härtung bis Log-Zentralisierung
Aus den Erkenntnissen leiten sich klare Prioritäten ab. Ein zentraler Bereich ist der Absicherungszustand von Remote Access. Für Unternehmen wird ausdrücklich empfohlen, RDP streng nach Best Practices zu konfigurieren. Der Bericht verweist dabei auf eine statistische Einordnung aus einem „Global Report“: Ein relevanter Anteil von Vorfällen geht auf Policy-Verletzungen und Konfigurationsfehler zurück.
Daneben sollte die Organisation den Umgang mit Anwendungskontrollen und die Überwachung von Netzwerkverkehr für Command-and-Control (C2) Kommunikation stärken. Besonders wichtig ist dies, weil RMM-Tools in einem großen Anteil von Vorfällen missbraucht werden. In den untersuchten Fällen kamen sogar mehrere Tools innerhalb einer einzelnen Incident-Kette zum Einsatz.
Weiterhin betont der Bericht die Bedeutung von zentralisierten Logs und einem schnellen, strukturierten Umgang mit Alarmen. Nur so lässt sich verhindern, dass technische Warnsignale verpuffen, während die Angreifer Zeit für Persistenz und Verschlüsselung gewinnen.
Warum Backups und ein belastbares Incident Response wichtig bleiben
Auch bei besten Sicherheitsmaßnahmen gilt: Niemand erreicht 100 Prozent Schutz. Der Text stellt deshalb die Verteidigungslogik auf eine robuste Grundlage: BACKUPS. Wenn es zu einer Verschlüsselung kommt, brauchen IT-Teams die Option, Systeme wiederherzustellen, ohne die Forderungen der Angreifer erfüllen zu müssen.
Außerdem wird deutlich, dass die Beweislage in einigen Fällen eingeschränkt war, weil ein Unternehmen das System sehr schnell wiederherstellen wollte. Das kann wichtige Untersuchungsstufen überspringen. Eine wirksame Incident-Response-Prozedur sollte darauf ausgelegt sein, Beweise zu sichern und die richtigen Kontrollen abzuleiten, statt nur den Betrieb kurzfristig wiederherzustellen.
Schlussfolgerung
Die untersuchten Vorfälle machen die BitLocker-Erpressung greifbar: Angreifer kombinieren den Missbrauch exponierter Dienste (RDP oder MSSQL), verwenden Verschlüsselungstechniken auf Systemebene und verstärken die Erpressung über Drucker im Büro. Gleichzeitig wird klar, dass die entscheidenden Hebel weniger „mystische“ Malware sind, sondern Sicherheitsgrundlagen: Konfiguration, Alert-Handling, strikte Anwendungskontrollen und ein Plan für Wiederherstellung.
Wer diese Bausteine ernst nimmt, reduziert nicht nur die Angriffsfläche, sondern gewinnt auch im Ernstfall Handlungsfähigkeit zurück – bevor aus einer Kompromittierung eine vollständige Erpressung wird.
Quelle: https://securelist.com/new-extortion-scheme-printers-bitlocker/120718/
