Was steckt hinter StormEncryptor?
Sicherheitsforscher haben eine neue Ransomware-Variante namens StormEncryptor identifiziert, die von einem ehemaligen Mitglied der Medusa-Ransomware-Gruppe eingesetzt wird. Medusa war in den vergangenen Jahren eine der aktivsten Ransomware-as-a-Service-Gruppen weltweit – mit zahlreichen Angriffen auf Unternehmen, Schulen und Behörden. Dass ein ehemaliger Affiliate nun mit einer eigenen Variante aktiv wird, ist ein bekanntes Muster in der Ransomware-Szene: Wenn Gruppen zerschlagen werden oder interne Konflikte entstehen, tauchen die Akteure unter neuem Namen wieder auf – mit weiterentwickelten Werkzeugen.
StormEncryptor ist nach aktuellem Stand keine grundlegend neue Technologie, sondern eine Weiterentwicklung bewährter Angriffsmethoden. Die Bedrohungslage für kleine und mittlere Unternehmen bleibt damit hoch – gerade weil solche Ableger oft gezielt auf Ziele setzen, die weniger gut geschützt sind als Konzerne.
Wie läuft ein typischer Angriff ab?
Ransomware-Angriffe folgen meist einem ähnlichen Muster, das auch bei StormEncryptor zu erwarten ist:
- Erstzugang – häufig über Phishing-Mails, kompromittierte RDP-Zugänge oder ungepatchte Schwachstellen in öffentlich erreichbaren Systemen.
- Ausbreitung im Netzwerk – der Angreifer bewegt sich seitlich durch das Netzwerk, sammelt Zugangsdaten und erhöht seine Rechte.
- Datenexfiltration – vor der Verschlüsselung werden sensible Daten abgezogen, um zusätzlichen Druck durch Veröffentlichungsdrohungen aufzubauen (sogenannte doppelte Erpressung).
- Verschlüsselung – Dateien werden verschlüsselt, Backups gezielt angegriffen oder gelöscht.
- Lösegeldforderung – Zahlung meist in Kryptowährung, verbunden mit einer Frist.
Was müssen IT-Verantwortliche jetzt tun?
Konkrete Maßnahmen, die Sie zeitnah prüfen sollten:
- IOCs (Indicators of Compromise) prüfen: BleepingComputer und einschlägige Threat-Intelligence-Quellen (z. B. AlienVault OTX, MISP) veröffentlichen laufend Hashes, IP-Adressen und Domänen, die mit StormEncryptor in Verbindung stehen. Diese sollten in Ihre Blocklisten und SIEM-Regeln einfließen.
- EDR-Signaturen aktualisieren: Stellen Sie sicher, dass Ihre Endpoint-Detection-and-Response-Lösung auf dem neuesten Stand ist. Viele EDR-Anbieter reagieren innerhalb von Stunden auf neue Varianten – aber nur, wenn Updates eingespielt werden.
- RDP und VPN absichern: Öffentlich erreichbare Remote-Desktop-Zugänge ohne Multi-Faktor-Authentifizierung sind ein bevorzugtes Einfallstor. MFA ist hier keine Option, sondern Pflicht.
- Backups prüfen: Sind Ihre Backups offline oder zumindest netzwerkisoliert? Ransomware greift gezielt Backup-Systeme an, die im selben Netzwerk erreichbar sind. Ein Backup, das verschlüsselt wird, hilft nicht.
- Patch-Stand kontrollieren: Ungepatchte Systeme – besonders VPN-Appliances, Firewalls und Exchange-Server – sind häufige Einstiegspunkte. Prüfen Sie, ob ausstehende Updates vorliegen.
Was können Mitarbeitende tun?
Technische Maßnahmen allein reichen nicht. Ransomware-Angriffe beginnen oft mit einer unachtsam geöffneten Mail oder einem schwachen Passwort. Sensibilisieren Sie Ihr Team:
- Keine Anhänge oder Links aus unerwarteten Mails öffnen – auch wenn der Absender bekannt wirkt.
- Verdächtige Aktivitäten sofort melden, ohne Angst vor Konsequenzen.
- Passwörter nicht mehrfach verwenden, Passwort-Manager einsetzen.
Fazit: Prävention schlägt Reaktion
Ransomware-Angriffe lassen sich nicht vollständig ausschließen – aber das Risiko lässt sich erheblich reduzieren. Wer seine Systeme aktuell hält, Backups konsequent isoliert und Zugänge mit MFA schützt, macht es Angreifern deutlich schwerer.
Wenn Sie unsicher sind, wie gut Ihr Unternehmen gegen aktuelle Bedrohungen wie StormEncryptor aufgestellt ist, sprechen Sie uns an. Im Rahmen unserer IT-Sicherheitsleistungen analysieren wir Ihre Angriffsfläche und helfen Ihnen, die richtigen Schutzmaßnahmen zu priorisieren. Für Unternehmen, die ihre IT dauerhaft im Blick behalten möchten, bieten unsere Managed IT Services eine verlässliche Grundlage.