Kyber Ransomware Doppeltes Problem: Angriffe auf Windows und ESXi erklärt

Zusammenfassung

Kyber ist eine plattformübergreifende Ransomware-Bedrohung, die darauf abzielt, Daten sowohl in VMware ESXi-Systemen als auch in Windows-Dateiservern zu verschlüsseln. Die Betreiber verlassen sich auf native Tools wie esxcli, PowerShell und vssadmin um virtuelle Maschinen herunterzufahren, Schattenkopien zu entfernen und Lösegeldnotizen in betroffenen Umgebungen zu verteilen. Im März 2026 stellten Forscher zwei verwandte Proben sicher: eine ELF-Binärdatei, die auf ESXi abzielt, und eine PE-Datei auf Rust-Basis, die für Windows erstellt wurde. Beide Varianten wurden durch die gemeinsame Tor-basierte Infrastruktur und eine gemeinsame Kampagnenkennung verknüpft.

Untersuchung

Rapid7 erwarb sowohl die ESXi- als auch die Windows-Payloads und führte eine statische Analyse durch, um ihr Verhalten besser zu verstehen. Die Forschung zeigte, dass die Malware benutzerdefinierte Verschlüsselungsroutinen verwendet, die auf ChaCha8 mit RSA-4096-Schlüsselumhüllung basieren, während die Windows-Version auch ein hybrides Kyber1024- und AES-CTR-Verschlüsselungsschema umfasst. Ermittler dokumentierten die gezielten Dateierweiterungen, den Standort der Lösegeldnotizen, das Verhalten bei Dienstbeendigungen und einen charakteristischen Mutex, der mit einer Boomplay-URL verknüpft ist.

Minderung

Empfohlene Abwehrmaßnahmen umfassen die Härtung des ESXi-Zugriffs durch Deaktivierung von SSH, wo möglich, und die Durchsetzung von Multi-Faktor-Authentifizierung, während gleichzeitig der Zugang zu nativen Dienstprogrammen wie vssadmin, wmic, und reg. Organisationen sollten Backups durch Unveränderlichkeit sichern und genau auf Änderungen an VMware-Management-Dateien und das Auftreten der .#~~~ Dateierweiterung achten. Zusätzliche Erkennungen sollten sich auf den identifizierten Mutex und die spezifischen Dateinamen der Lösegeldnotizen, die mit der Kampagne in Verbindung stehen, konzentrieren.

Antwort

Wenn Kyber-Aktivität erkannt wird, isolieren Sie das betroffene System sofort, bewahren Sie die Malware-Proben auf und beginnen Sie mit der Wiederherstellung unter Verwendung unveränderlicher Backups. Sicherheitsteams sollten den Zugang zu Tor-verborgenen Diensten, die mit der Kampagnen-ID verknüpft sind, blockieren, den Mutex entfernen und alle von der Malware abgelegten Lösegeldnotiz-Dateien löschen. Eine vollständige forensische Überprüfung sollte dann Dienstbeendigungsereignisse, Registrierungsänderungen und damit verbundene Systemaktivitäten untersuchen, bevor betroffene virtuelle Maschinen oder Hosts aus sauberen Images wiederhergestellt werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Basisvorflug-Check muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der Gegnertechnik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, genau die Telemetrie zu erzeugen, die von der Erkennungserfassung erwartet wird.

• Angriffserzählung & Befehle:
  Der simulierte Angreifer hat sich lokale Administratorrechte auf dem kompromittierten Host verschafft und versucht nun, nach der Verschlüsselung von Dateien die Systemwiederherstellung zu verhindern. Folgend dem Verhalten der Kyber-Ransomware zählt der Angreifer zuerst alle vorhandenen Volume-Schattenkopien über WMI auf und löscht jede einzelne mit einem PowerShell-Einzeiler. Als Rückgriff (oder um Vollständigkeit zu gewährleisten), führt der Angreifer zudem vssadmin.exe Delete Shadows /all /quiet. Beide Befehle erzeugen ein CommandLine -Feld, das exakt der Sigma-Regel entspricht und einen Alarm auslöst.

• Regressionstest-Skript:

  # ----------------------------------------------
  # Kyber-Style Anti-Recovery-Simulation
  # ----------------------------------------------
  
  # 1. PowerShell VSS-Löschung (exakte Übereinstimmung)
  $psCmd = 'powershell -ep bypass -nop -c "Get-WmiObject -Class Win32_ShadowCopy | ForEach-Object { $_.Delete() }"'
  Write-Host "Führe PowerShell VSS-Löschung aus..."
  Invoke-Expression $psCmd
  
  # 2. vssadmin-Löschung (exakte Übereinstimmung)
  $vssCmd = 'vssadmin.exe Delete Shadows /all /quiet'
  Write-Host "Führe vssadmin-Löschung aus..."
  & $vssCmd
  
  Write-Host "Simulation abgeschlossen."

• Aufräumbefehle:

  # Keine persistenten Artefakte durch dieses Skript erstellt.
  # Setzen Sie die PowerShell-Ausführungsrichtlinie in ihren ursprünglichen Zustand zurück, falls geändert:
  Set-ExecutionPolicy -Scope Process -ExecutionPolicy Restricted -Force
  Write-Host "Aufräumen abgeschlossen."