©Arctic Wolf

Arctic Wolf Labs veröffentlicht neue Forschungsergebnisse, die über die bisherige Berichterstattung zur Anubis-Ransomware hinausgehen und auf Erkenntnissen aus fast sechs Monaten Incident-Response-Untersuchungen basieren. Nun haben Verteidiger zusätzliche Möglichkeiten, Angriffe frühzeitig zu erkennen und zu stoppen – noch bevor die Ransomware zum Einsatz kommt.


Im Mittelpunkt der Analyse steht nicht die Ransomware selbst, sondern das Vorgehen der Angreifer – wie sie sich initialen Zugriff verschaffen, mithilfe legitimer Administrationswerkzeuge unauffällig in kompromittierten Umgebungen agieren und sich schrittweise bis zur Verschlüsselung vorarbeiten.


Zentrale Erkenntnis: Anubis-Affiliates benötigen keine neuartige Malware, um erheblichen Schaden anzurichten. Stattdessen folgen sie wiederholt einer klar erkennbaren Angriffskette: Sie verschaffen sich zunächst über die Schwachstelle CitrixBleed 2 (CVE-2025-5777) oder mithilfe gültiger VPN-Zugangsdaten Zugriff auf Unternehmensnetzwerke und missbrauchen anschließend legitime Remote-Management- und Fernzugriffswerkzeuge. Entscheidend ist dabei weniger ein einzelnes Tool oder ein bestimmter Kompromittierungsindikator als vielmehr die Abfolge der Aktivitäten.  

Weitere Erkenntnisse: 

  • Seit Anfang 2026 hat Arctic Wolf Anubis-Intrusionen untersucht, bei denen Angreifer sowohl gültige VPN-Zugangsdaten als auch die Schwachstelle CitrixBleed 2 (CVE-2025-5777) für den Erstzugriff nutzten. Die Ergebnisse liefern neue Erkenntnisse über die Methoden, mit denen sich die Gruppe Zugang zu Unternehmensnetzwerken verschafft.
  • In mehreren untersuchten Angriffen missbrauchten die Affiliates konsequent legitime Remote-Management- und Administrationswerkzeuge – darunter ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC und Total Software Deployment –, um sich in reguläre IT-Abläufe einzufügen und dauerhaften Zugriff auf kompromittierte Systeme zu behalten.  
  • Die Angreifer hatten es wiederholt auf besonders kritische Systeme wie Microsoft Remote Desktop Services-Server, Domänencontroller, Hypervisoren, Backup-nahe Systeme und NAS-Geräte abgesehen. In einigen Fällen versuchten sie zudem, mithilfe von cloudflared, authentifizierten Proxys und SSH-basiertem SOCKS-Tunneling alternative Kommunikationspfade aufzubauen, um ihre Aktivitäten besser zu verschleiern und die Erkennung sowie Wiederherstellung zu erschweren. 

Interessiert? 
Weitere Informationen zum Thema finden Sie hier im Arctic Wolf Blogpost. 

Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“