Ransomware kennt jeder Sysadmin, Wiper-Malware wird dagegen oft unterschätzt. Dabei zeigt aktuelle Bedrohungsanalyse, dass Wiper Malware Schutz für Windows-Unternehmensnetzwerke zur Pflichtaufgabe wird. Anders als bei Ransomware gibt es hier keinen Schlüssel, keine Verhandlung und keine zweite Chance. Wer sich nicht vorbereitet, verliert Daten unwiderruflich.
Was ist Wiper-Malware und warum unterscheidet sie sich fundamental von Ransomware
Ransomware verschlüsselt Daten, um Lösegeld zu erpressen. Wiper-Malware dagegen zerstört Daten gezielt, ohne Wiederherstellungsabsicht. Manche Varianten tarnen sich sogar als Ransomware, hinterlassen eine Lösegeldforderung, speichern den Schlüssel aber nirgendwo. Genau das zeigt eine aktuelle Kaspersky-Analyse zur Ransomware-Familie Monkey: Eine Rust-Variante generiert einen 32-Byte-Schlüssel, verschlüsselt Dateien mit ChaCha20-Poly1305, speichert den Schlüssel jedoch bei einigen Varianten nirgends. Damit wird die Malware faktisch zum Wiper, auch wenn eine Lösegeldnotiz erscheint. Für Sysadmins bedeutet das: Zahlen hilft nicht, deshalb zählt ausschließlich die eigene Backup- und Recovery-Strategie.
Aktuelle Fallstudie: NightEagle, Hacking Cat und Toy Ghouls als Beispiel für professionalisierte Wiper-Kampagnen
Ein aktueller Bericht von Kaspersky beschreibt drei Gruppen, die Unternehmen mit Backdoors, Ransomware und Wipern angreifen. NightEagle nutzt kompromittierte VPN-Zugangsdaten und die Backdoor GhostContainer, um sich dauerhaft in Exchange-Servern einzunisten. Die pro-ukrainische Gruppe Hacking Cat setzt neben Ransomware auch den Wiper Nemo Wiper ein, der Dateien mit Zufallsdaten überschreibt und den restlichen Speicherplatz mit sinnlosen Dateien füllt. Toy Ghouls wiederum hat von öffentlichen Ransomware-Buildern auf eine eigene Backdoor umgestellt, die über MQTT oder den Matrix-Messenger Element kommuniziert. Diese Entwicklung zeigt: Angreifer professionalisieren sich, kombinieren Werkzeuge und wechseln flexibel zwischen Spionage, Verschlüsselung und Zerstörung.
Warum gerade Windows-Infrastrukturen bevorzugte Angriffsziele sind
Active Directory, Exchange, Fileserver und Hyper-V bilden in den meisten Unternehmen das Rückgrat der IT. Wer die Kontrolle über AD erlangt, kontrolliert praktisch die gesamte Windows-Landschaft. Deshalb zielen Angreifer wie NightEagle gezielt auf Domain Controller, um über DCSync-Angriffe Passwort-Hashes abzugreifen und langlebige Kerberos-Tickets zu missbrauchen. Exchange-Server sind zusätzlich attraktiv, da bekannte Schwachstellen wie CVE-2021-26855 oder CVE-2019-0708 (BlueKeep) weiterhin ausgenutzt werden, wenn Patches fehlen. Hyper-V-Hosts wiederum sind lohnende Ziele, weil ein einziger kompromittierter Host gleich mehrere virtuelle Server lahmlegt.
Wie erkennt man Wiper Malware frühzeitig?
Typische Warnsignale sind ungewöhnliche Prozesse, die Volume Shadow Copies löschen, plötzliche massenhafte Dateiänderungen sowie das Deaktivieren von Windows-Wiederherstellungsmechanismen. Zudem deuten deaktivierte Ereignisprotokolle, abgeschaltetes ETW oder manipulierte Defender-Ausschlüsse auf eine bevorstehende Zerstörungsphase hin. Wer solche Aktivitäten über Endpoint-Telemetrie überwacht, gewinnt wertvolle Zeit zur Reaktion.
Typische Angriffsvektoren: kompromittierte Admin-Accounts, Lateral Movement, GPO-Missbrauch
Der Ausgangspunkt fast aller beschriebenen Kampagnen ist derselbe: kompromittierte, gültige Zugangsdaten. NightEagle nutzte VPN-Zugänge über Cloudflare-WARP-Tunnel, um unauffällig ins Netzwerk zu gelangen. Anschließend folgt Lateral Movement über RDP-Tunnel und Tools wie rdp2tcp, bis Domain-Admin-Rechte erreicht sind. Genau an diesem Punkt wird es gefährlich, denn mit Domain-Admin-Rechten lassen sich Group Policy Objects missbrauchen, um Wiper-Payloads unternehmensweit zu verteilen. Ein bösartiges Startskript in einer GPO reicht aus, um binnen Minuten tausende Endpunkte zu treffen. Wie Angreifer generell Zugangsdaten kompromittieren und MFA aushebeln, beschreibt der Artikel Session-Token-Diebstahl: Wie Malware MFA aushebelt ausführlich. Zusätzlich nutzt Toy Ghouls ungewöhnliche C2-Kanäle wie MQTT und den Matrix-Messenger Element, ähnlich wie bereits in unserem Beitrag zu Malware-Steuerung über Messenger-Apps beschrieben.
Backup-Strategien, die gegen Wiper wirklich schützen
Klassische Backup-Konzepte reichen gegen Wiper nicht mehr aus, da Angreifer gezielt Backup-Dateiendungen wie .bak, .backup oder .bkf löschen und die Volume Shadow Copy Service (VSS) deaktivieren. Deshalb gilt inzwischen die erweiterte 3-2-1-1-0-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine Kopie extern, eine Kopie unveränderlich (immutable) und null Fehler bei der Wiederherstellungsprüfung. Immutable Storage sorgt dafür, dass selbst ein Domain-Admin-Account das Backup innerhalb der Aufbewahrungsfrist nicht löschen oder überschreiben kann. Azure Blob Storage bietet dafür beispielsweise Immutable Blob Storage mit Time-Based Retention, dokumentiert in der Microsoft-Dokumentation zu Immutable Storage. Zusätzlich sollten Backups air-gapped, also physisch oder logisch vom Produktivnetz getrennt, aufbewahrt werden. Speziell für Active Directory lohnt sich ein separater Blick auf die Wiederherstellung von Domain Controllern, dazu passt unser Beitrag zu Active Directory Backups im Jahr 2024.
Welche Backup-Strategie schützt vor Wiper-Angriffen am besten?
Am wirksamsten ist eine Kombination aus unveränderlichem Cloud-Storage, einer physisch getrennten Offline-Kopie und regelmäßigen Restore-Tests. Nur getestete Backups liefern im Ernstfall echte Sicherheit, ungetestete Sicherungen sind reine Theorie.
Frühwarnsysteme im Microsoft-Stack
Microsoft Defender for Endpoint erkennt viele der beschriebenen Verhaltensmuster bereits automatisch, etwa das Löschen von Schattenkopien, verdächtige PowerShell-Ausführungen im Hintergrund (-NonInteractive -NoProfile) oder Manipulationen an Defender-Ausschlüssen. Zusätzlich lassen sich in Microsoft Sentinel eigene Analytics-Regeln definieren, die auf ungewöhnliche VSS-Admin-Aufrufe, massenhafte Dateiänderungen in kurzer Zeit oder verdächtige GPO-Änderungen reagieren. Ein Beispiel für eine einfache Erkennungsabfrage in Kusto Query Language:
DeviceProcessEvents
| where FileName in ("vssadmin.exe","wbadmin.exe","wmic.exe")
| where ProcessCommandLine has_any ("delete shadows","resize shadowstorage","catalog")
| project Timestamp, DeviceName, AccountName, ProcessCommandLineDiese Abfrage schlägt an, sobald Schattenkopien manuell gelöscht oder verkleinert werden, ein klassisches Vorzeichen eines bevorstehenden Wiper-Angriffs. Ergänzend hilft eine Überwachung von Anomalien bei Anmeldungen, wie sie im Beitrag Entra ID Password Protection & Risky Sign-ins beschrieben wird.
Incident-Response-Anpassungen für Wiper-Szenarien
Bei Ransomware existiert zumindest theoretisch eine Verhandlungsoption, bei Wiper-Malware nicht. Deshalb muss der Incident-Response-Plan für Wiper-Szenarien klar auf Wiederherstellung statt Verhandlung ausgerichtet sein. Sofort nach Erkennung gilt es, betroffene Systeme vom Netz zu trennen, um eine weitere Ausbreitung über GPOs oder Lateral Movement zu stoppen. Anschließend folgt die Bewertung, welche Backups noch intakt und unverändert sind. Grundlegende Abläufe für diesen Prozess beschreibt unser Incident Response Plan für Sysadmins im Detail. Zusätzlich müssen betroffene Unternehmen die Meldepflichten im Blick behalten, insbesondere wenn personenbezogene Daten betroffen sind, wie im Artikel zur DSGVO-Meldepflicht nach einem Datenleck erklärt.
Praxis-Checkliste: Sofortmaßnahmen und Präventionsschritte
- Immutable Backups für AD, Exchange und Fileserver einrichten und regelmäßig testen
- VSS-Löschbefehle und Backup-Manipulationen per Sentinel-Regel überwachen
- GPO-Änderungen protokollieren und Berechtigungen streng begrenzen
- Domain-Admin-Konten mit MFA und Tiering-Modell absichern
- Exchange- und RDP-Schwachstellen zeitnah patchen
- Air-Gapped-Kopie mindestens einmal wöchentlich aktualisieren
- Incident-Response-Plan speziell für Datenvernichtung durchspielen
FAQ
Ist Wiper Malware dasselbe wie Ransomware?
Nein. Ransomware verschlüsselt Daten mit dem Ziel, gegen Zahlung wieder Zugriff zu gewähren. Wiper-Malware zerstört Daten dauerhaft, teilweise sogar unter dem Deckmantel einer Lösegeldforderung, ohne dass ein funktionierender Schlüssel existiert.
Wie erkennt man Wiper Malware frühzeitig?
Wichtige Indikatoren sind gelöschte Schattenkopien, deaktivierte Wiederherstellungsfunktionen, abgeschaltete Protokollierung und ungewöhnliche PowerShell-Ausführungen. Endpoint-Detection-Lösungen wie Microsoft Defender for Endpoint erkennen diese Muster automatisiert.
Welche Backup-Strategie schützt vor Wiper-Angriffen?
Am zuverlässigsten schützt die 3-2-1-1-0-Regel mit unveränderlichem (immutable) Storage und einer physisch getrennten Offline-Kopie, kombiniert mit regelmäßigen Restore-Tests.
Warum sind Active Directory und Exchange besonders gefährdet?
Beide Systeme bilden das zentrale Rückgrat der Windows-Infrastruktur. Wer Domain-Admin-Rechte oder Exchange-Zugriff erlangt, kann über GPOs oder Backdoors nahezu das gesamte Netzwerk kontrollieren und Wiper-Payloads flächendeckend verteilen.