Projekt / Sicherheitsvorfall und Wiederherstellung
Von auffälliger Auslastung zur bereinigten und erneuerten Umgebung.
Anhaltend hohe Auslastung führte zur Entdeckung eines Rootkits mit Kryptominer. Patina Intelligence untersuchte den Angriff manuell, sicherte technische Beweise, entfernte die Schadkomponenten und Hintertüren und schloss das identifizierte Einfallstor.
Ausgangslage
Eine ungewöhnlich hohe Systemlast untersuchen
In einer bestehenden Serverumgebung war anhaltend hohe Auslastung aufgefallen. Die technische Untersuchung führte zur Aufdeckung eines Rootkits mit Kryptominer. Im Verlauf der Analyse wurden außerdem mehrere eingebaute Hintertüren gefunden.
Damit betraf die Aufgabe sowohl die vorhandenen Schadkomponenten als auch die Zugangswege und Startmechanismen, über die sich der Angriff fortsetzen konnte. Die Erkennung und Bereinigung erfolgten durch manuelle technische Analyse.
Untersuchung und Bereinigung
Die einzelnen Schritte der Vorfallsbearbeitung
Auffällige Prozesse und Veränderungen untersuchen
Patina Intelligence untersuchte die Systemlast, verdächtige Prozesse und Zugriffe. Protokolle, Berechtigungen, Verbindungen und Startmechanismen wurden in die Analyse einbezogen. Aus diesen technischen Befunden ergab sich das Bild des Angriffs.
Technische Beweise sichern
Relevante Spuren und Schadkomponenten wurden für die weitere Aufklärung gesichert. Die Befunde wurden mit dem betroffenen System und dem jeweiligen Untersuchungsstand dokumentiert.
Rootkit, Kryptominer und Hintertüren entfernen
Die festgestellten Schadkomponenten wurden manuell bereinigt. Mehrere eingebaute Hintertüren und Mechanismen zur erneuten Aktivierung wurden identifiziert und entfernt.
Das Einfallstor schließen
Das identifizierte Einfallstor wurde geschlossen. Die betroffenen Zugänge wurden in die Absicherung einbezogen. Bereinigung, Zugangswege und Wiederanlauf wurden als zusammenhängende Aufgabe bearbeitet.
Die Umgebung nachüberwachen
Nach der Bereinigung wurde die Umgebung auf erneute verdächtige Vorgänge überwacht. Die Nachkontrolle ergänzte die unmittelbaren Eingriffe und die Vorbereitung der weiteren Wiederherstellung.
Neuaufbau und Migration
Die benötigten Systeme auf eine erneuerte Plattform übertragen
Im weiteren Verlauf wurde die betroffene Infrastruktur neu aufgebaut. Die benötigten Systeme und Dienste wurden auf die erneuerte Plattform migriert. Die Arbeiten berücksichtigten den laufenden Betrieb und die Erreichbarkeit der Arbeitsumgebungen.
Damit reichte die Bearbeitung von der technischen Aufklärung über Beweissicherung und Bereinigung bis zur praktischen Erneuerung der kompromittierten Umgebung. Die ausgeführten Maßnahmen und ihre Prüfungen wurden fortlaufend dokumentiert.
Ergebnis
Schadkomponenten bereinigt und den Betrieb erneuert
Die festgestellten Schadkomponenten und Hintertüren wurden entfernt. Neuaufbau und Migration erfolgten mit sehr geringen Betriebsunterbrechungen für Mitarbeiter und Teilnehmer. Während der Nachüberwachung wurden keine erneuten verdächtigen Vorgänge festgestellt.
Einen Sicherheitsvorfall besprechen