Das Bundesamt für Sicherheit in der Informationstechnik hat bestätigt, wie einer der folgenschwersten Angriffe auf die deutsche öffentliche Verwaltung seit Jahren gelang: ein Fake-Captcha, ein kopierter Terminal-Befehl und ein abgelenkter Mitarbeiter.
In einer Sicherheitsmitteilung und einem Beitrag auf Mastodon identifiziert das BSI eine Kampagne namens „TerminalFix“ als ersten Angriffsvektor beim August-Angriff auf zwei Berliner Senatsverwaltungen — dem Einbruch, bei dem die Ransomware-Bande Rhysida rund 1,44 Millionen Dateien erbeutete und später veröffentlichte, darunter Personalunterlagen, Disziplinarakten und Angaben zu kritischer Infrastruktur. Die Analyse stützt sich auf Untersuchungen von Microsoft, das bereits im Februar vor der verwandten „ClickFix“-Familie gewarnt hatte.
TerminalFix ist eine Social-Engineering-Kette, die Windows' eigene Werkzeuge missbraucht. Ein Opfer wird per Phishing-Mail oder per „Water-Holing“ — dem Platzieren von Fallen auf regelmäßig besuchten Websites — auf eine manipulierte oder bösartige Seite gelockt. Die Seite zeigt ein gefälschtes Cloudflare-Captcha, während JavaScript im Hintergrund einen PowerShell-Befehl in die Zwischenablage kopiert. Die Anweisungen auf dem Bildschirm bitten das Opfer, per Windows+X und anschließend „I“ das Windows-Terminal zu öffnen und den Befehl einzufügen.
Der Befehl lädt im Hintergrund die erste Stufe der Schadsoftware herunter, während das Opfer im Vordergrund weiter „beweist, dass es ein Mensch ist“. Die Malware sideloadet eine signierte, gutartige Windows-Datei — LockScreenContentServer.exe — um eine schädliche DLL namens dui70.dll auszuführen, deren Code PNG-Bilder von Angreifer-Servern lädt, in denen per Steganografie weitere Programme versteckt sind. Die finale Schadsoftware verankert sich per Registry-Keys dauerhaft im System, prüft alle 60 Minuten, ob sie noch läuft, und richtet einen SOCKS-Proxy ein: einen Tunnel, der den Angreifern einen Fuß in das Netz des Opfers verschafft, wo sie Datenverkehr beobachten und sich lateral bewegen können.
In Berlin war die Folge auch deshalb verheerend, weil die Umgebung es leicht machte: Im Klartext geführte Passwortlisten gaben Rhysida einen schnellen Weg durch die Senatsverwaltungen für Bauen sowie für Mobilität und Verkehr. Das Land lehnte die Lösegeldforderung von rund zwei Millionen Euro ab; am 4. September veröffentlichte die Bande die Daten im Darknet.
Das BSI warnt nun vor einer „erhöhten Bedrohungslage für die Gesellschaft“. Es verweist darauf, dass Kriminelle in 92 Prozent der Fälle, in denen sie mit einer Veröffentlichung drohen, diese auch umsetzen — und dass Rhysida sich vor allem auf Gesundheits- und Bildungssektor konzentriert, wobei öffentliche Verwaltungen zu den fünf meistgenannten Zieltypen zählen.
Die eigentliche Botschaft an jede Organisation: Der Einfallsvektor ist banal. Die Kampagne braucht nur einen Mitarbeiter, der die falsche Seite aufruft und drei Schritte auf dem Bildschirm befolgt — weshalb Sicherheitsexperten empfehlen, unerwartete Captchas, vor allem solche, die Tastenkombinationen verlangen, mit großer Skepsis zu behandeln.
