Der Angriff von innen: der ehemalige Mitarbeiter, der die Administratoren blockierte, löschte Backups und forderte eine Bitcoin Rettung

Ein ehemaliger Arbeiter, der für die zentrale Infrastruktur eines Industrieunternehmens mit Sitz in Somerset County, New Jersey, verantwortlich ist, gab seine Schuld nach einem Erpressungsplan, der den Zugang von Windows-Administratoren zu Hunderten von Firmenteams blockierte. Nach den von der Staatsanwaltschaft veröffentlichten gerichtlichen Dokumenten handelte der Angeklagte, der als Daniel Rhyne identifiziert wurde, von seinem Verwaltungskonto und programmierte eine Reihe von Aufgaben, die massiv geänderte Anmeldeinformationen und Konten im Unternehmensnetzwerk zwischen Anfang und Ende November 2023. Offizielle Informationen finden Sie auf der Dokumente des Gerichts und in der Notiz des New Jersey District Attorney's Office auf seinem Schuldspruch: DOJ Kommunikation.

Der Manöver war keine einfache Passwortänderung: Forensic Records zeigen, dass Rhyne auf dem Domänencontroller Aufgaben programmierte, um die Konten von Domainadministratoren zu entfernen und die Wiederherstellung von Anmeldeinformationen in Hunderten von Benutzerkonten und Administratoren zu zwingen, sie durch einen in der Untersuchung identifizierten Schlüssel zu ersetzen. Darüber hinaus bearbeitete er lokale Administratorkonten, deren Änderung Tausende von Workstations und 254 Servern beeinflusste, und gab in Folgetagen zufällige Bestellungen für Geräte ab. All dies folgte eine E-Mail von Rhyne selbst an mehrere Kollegen am 25. November, in der er erklärte, dass die Administratoren blockiert wurden und dass die Sicherung gelöscht worden war, forderte eine Bitcoin-Rettung im Austausch zum Stoppen der geplanten Blackouts.

Die Forschung entdeckte Suchvorgänge von versteckten virtuellen Geräten und Maschinen, die mit dem Löschen von Windows-Datensätzen zusammenhängen, Domain-Passwörter aus der Befehlszeile ändern und Domain-Konten entfernen. Diese Fingerabdrücke auf Systeme und das Timing der Aktionen waren für Forscher beim Wiederaufbau des internen Angriffs entscheidend. Nach seiner Verhaftung im August plädierte Rhyne gegen Bundesgebühren, die, wenn sie einen vollen Satz erreichen, eine Inhaftierung von bis zu 15 Jahren nach dem Staatsanwaltschaft mit sich bringen.

Dieser Fall hebt eine Lektion hervor, die bei ähnlichen Ereignissen wiederholt wird: Das größte Risiko ist nicht immer ein ausgeklügelter externer Schauspieler, sondern jemand mit Privilegien und Wissen über das Netzwerk. Wenn der Infrastrukturbetreiber seinen Zugang nutzt, um vorsätzliche Schäden zu verursachen, können traditionelle Verteidigungen unzureichend sein. Werkzeuge und Praktiken wie die Segregation von Funktionen, die strenge Kontrolle der privilegierten Konten, die automatische und einzigartige Rotation der lokalen Passwörter und die Bereitstellung von dedizierten Workstations für administrative Aufgaben sind Maßnahmen, die den Angriffsbereich der Insider reduzieren. Microsoft bietet beispielsweise Lösungen, um lokale Passwörter von Administratoren wie LAPS zu verwalten, und Dokumentationen zu Active Directory-Sicherheitspraktiken, die Unternehmen helfen können, ihre Umgebungen zu verschärfen: Microsoft LAPS und Active Directory Sicherheitsführer in Microsoft Dokumentation.

Die Prävention umfasst auch Unterstützungsstrategien, die einer bewussten Beseitigung widerstehen, sowie eine kontinuierliche Überwachung und Erkennung von Anomalien in administrativen Maßnahmen. Die US-Agentur für Infrastruktur und Cybersicherheit. USA (CISA) veröffentlicht Empfehlungen und Straßenkarten, wie man mit Ransomware und das Risiko von internen Bedrohungen umgeht, die für Organisationen aller Größen nützlich sind: CISA Anleitung und Ressourcen auf Ransomware. Implementieren Sie Multifaktor für den administrativen Zugang, separaten täglichen Nutzungskonten von privilegierten Konten und wenden Sie das Prinzip des geringeren Privilegs sind grundlegende, aber effektive Schritte, um potenzielle Schäden zu begrenzen.

Neben technischen Kontrollen dient diese Episode als Erinnerung an die Bedeutung klarer Richtlinien für Fernzugriff und regelmäßige Privilegien-Bewertungen. Ein Mitarbeiter mit Netzwerkwissen und permanentem Zugriff kann diese Erfahrung zu einer Waffe machen, wenn es keine ausreichenden Nachweis- und Eindämmungsbarrieren gibt. Forensische Untersuchungen, die bestimmte Suchanfragen und die Verwendung versteckter virtueller Maschinen ergaben, zeigen, dass bei vielen Gelegenheiten der digitale Weg existiert und zu kriminellen Verantwortlichkeiten führen kann, wenn es schlechten Glauben gibt.

Fälle wie diese sind nicht einmalig: In den letzten Monaten sind andere Vorfälle zutage getreten, in denen Arbeitnehmer oder Subunternehmer versucht haben, privilegierte Daten oder Zugang zu nutzen. Die Anhäufung dieser Ereignisse hat Organisationen dazu veranlasst, die Verwaltung privilegierter Identitäten und Zugriffe neu zu überdenken, sowie ihre Vorfall-Reaktionspläne zu stärken, um eine rasche Erholung zu gewährleisten, ohne die Erpressung einzubeziehen.

Die Lektüre der amtlichen Dokumente und die Notizen des Staatsanwalts gibt einen direkten Blick auf die Art und Weise, wie der Angriff stattgefunden hat und auf welche Beweise der Autor hingewiesen hatte: Für diejenigen, die sich vertiefen wollten, hielt das Justizministerium die Kommuniqués und die Anhänge des Falles auf seiner Website (siehe DOJ's Link zur Klageschrift und Rechtsbehelfe Partner).

Wenn es einen klaren Abschluss gibt, ist es, dass die technologische Sicherheit nicht nur Schranken, sondern auch strenge interne Kontrollen, kontinuierliche Überwachung und eine Organisationskultur erfordert, die Risikosignale erkennt und wirkt. Die Kombination aus guten technischen Praktiken und menschlicher Überwachung ist die beste Verteidigung gegen Angriffe, die gerade von innen geboren werden, versuchen, den größten Vorteil zu nutzen, den die Unternehmen haben: Vertrauen in ihre eigenen Mitarbeiter.