· Mehdi Aroui · Cybersecurity · Lesedauer von ca. 3 Min.
EKING-Ransomware: Backups sichern mit Zugriffstrennung
Der EKING-Trojaner verschlüsselte 2021 Dateien, Netzlaufwerke und NAS-Sicherungen eines Unternehmens. Der Angriff zeigt, warum Backup-Konzepte mit Zugriffstrennung entworfen werden müssen.
Auch vier Jahre nach dem Vorfall bleibt er lehrreich, weil der beschriebene Konfigurationsfehler (gemeinsame Zugangsdaten für Betrieb und Backup) in der Praxis häufig anzutreffen ist. Im April 2021 traf der EKING-Crypto-Trojaner ein Unternehmen und verschlüsselte systematisch lokale Dateien, Netzlaufwerke und den NAS-Speicher. Besonders gravierend: Auch die Backups auf dem NAS waren betroffen. Schattenkopien und frühere Dateiversionen existierten nach dem Angriff nicht mehr.
Der Grund war ein klassischer Konfigurationsfehler, der sich in der Praxis häufig findet.
Das zentrale Problem: Shared Credentials für Arbeit und Backup
Der gleiche Benutzeraccount wurde sowohl für die tägliche Arbeit als auch für den Backup-Zugriff auf die NAS verwendet. Dieses Muster sehen wir regelmäßig in Hamburger KMU. Als EKING den Nutzerkontext übernahm, hatte die Schadsoftware denselben Zugriff wie das Backup-System. Die Sicherung war für den Trojaner genauso erreichbar wie für den Mitarbeitenden.
Das ist kein Einzelfall. Viele Backup-Konfigurationen wachsen organisch und werden nie auf Zugriffstrennung geprüft.
Was ein angreifbares Backup-Konzept kennzeichnet
- Backup-Dienst läuft unter demselben Konto wie der Benutzer
- NAS oder Backup-Speicher ist dauerhaft als Laufwerk eingebunden
- Keine Offline-Komponente im Backup-Konzept
- Shadow Copies als einzige Wiederherstellungsoption
- Keine regelmäßige Wiederherstellungstests
Was ein robustes Backup-Konzept erfordert
Getrennte Benutzerkonten
Das Backup-System verwendet ein eigenes Dienstkonto mit minimalen Rechten, das keine Verbindung zu aktiven Nutzerkonten hat. Ein Trojaner, der einen Benutzeraccount übernimmt, kommt an das Backup-Konto nicht heran.
Offline-Komponente nach dem 3-2-1-Prinzip
Mindestens eine Backup-Kopie muss physisch oder logisch vom laufenden System getrennt sein. Das bedeutet entweder ein Wechselmedium, das nicht dauerhaft angeschlossen ist, oder Cloud-Backup mit eigenem Zugangssystem, das nicht über dasselbe Konto erreichbar ist.
Keine dauerhaft eingebundenen Backup-Laufwerke
Ein NAS-Laufwerk, das als Netzlaufwerk dauerhaft verbunden ist, gilt für Ransomware als erreichbares Ziel. Backup-Verbindungen sollten nur während des Backup-Prozesses aktiv sein.
Regelmäßige Wiederherstellungstests
Ein Backup, das nie getestet wurde, ist kein Backup. Netzleiter führt im Rahmen des Managed Service regelmäßige Restore-Tests durch und dokumentiert die Ergebnisse.
Was Veeam hier leistet
Veeam Backup mit korrekter Konfiguration trennt Backup-Konten, verschlüsselt Backup-Daten und kann immutable Backups in der Cloud ablegen, auf die auch Trojaner mit Administratorrechten keinen Schreibzugriff haben. Netzleiter setzt Veeam für Unternehmen und Praxen in Hamburg ein.
Häufige Fragen
Warum verschlüsselte EKING auch die Backups auf dem NAS?
Der gleiche Benutzeraccount wurde sowohl für die tägliche Arbeit als auch für den Backup-Zugriff auf die NAS verwendet. Als EKING den Nutzerkontext übernahm, hatte die Schadsoftware denselben Zugriff wie das Backup-System, die Sicherung war für den Trojaner genauso erreichbar wie für den Mitarbeitenden.
Was kennzeichnet ein angreifbares Backup-Konzept?
Der Backup-Dienst läuft unter demselben Konto wie der Benutzer, die NAS oder der Backup-Speicher ist dauerhaft als Laufwerk eingebunden, es gibt keine Offline-Komponente und Shadow Copies sind die einzige Wiederherstellungsoption. Fehlen dazu regelmäßige Wiederherstellungstests, bleibt unklar, ob das Backup im Ernstfall überhaupt funktioniert.
Wie schützt man ein Backup-Konzept vor genau diesem Angriffsmuster?
Ein eigenes Dienstkonto mit minimalen Rechten für das Backup-System verwenden, das keine Verbindung zu aktiven Nutzerkonten hat. Dazu mindestens eine Offline-Komponente nach dem 3-2-1-Prinzip, keine dauerhaft eingebundenen Backup-Laufwerke und regelmäßige, dokumentierte Wiederherstellungstests.
Wenn im Ernstfall gar kein brauchbares Backup vorliegt, bleibt oft nur die Wiederherstellung aus lokalen Datenbankresten. Wie das am Beispiel einer Praxisdatenbank aussieht, zeigt der Beitrag zur THEORG-Wiederherstellung ohne Backup.
Fragen zur Backup-Sicherheit: Hotline 040 25 499 500 oder support@netzleiter.com.
