Wie Sinobi-Ransomware Dateien verschlüsselt und Backups zerstört

Zusammenfassung

Sinobi ist eine Ransomware-as-a-Service-Variante, wahrscheinlich eine umbenannte Version der Lynx-Ransomware, die erstmals im Juli 2025 beobachtet wurde. Es verwendet Curve25519 zusammen mit AES-128-CTR zur Dateiverschlüsselung und setzt fortgeschrittene Techniken zur Zerstörung von Backups ein, einschließlich des Missbrauchs von DeviceIoControl um Volumenschattenkopien zu entfernen. Die Malware leert auch den Papierkorb und nutzt die Restart Manager API, um Prozesse zu beenden, die Zieldateien offenhalten.

Untersuchung

Die Untersuchung beschrieb einen Einbruch, bei dem ein Partner gestohlene Anmeldeinformationen eines Drittanbieter-Managed-Service-Providers verwendete, um auf ein SonicWall SSL VPN zuzugreifen. Nach dem Zugang eskalierte der Angreifer die Berechtigungen, indem er ein Konto eines lokalen und eines Domain-Administrators mit dem Namen Assistanceerstellte. Der Betreiber deaktivierte dann Sicherheitsdienste durch Änderung von Binärpfaden und verwendete RClone um Daten zu exfiltrieren, bevor die Verschlüsselung startete.

Minderung

Verteidiger sollten VPN-Infrastrukturen mit Multi-Faktor-Authentifizierung sichern und den Zugang von Drittanbieter-MSPs genau überprüfen. Organisationen sollten auch die unerlaubte Erstellung von Administratorkonten und verdächtige Dienstkonfigurationsänderungen überwachen, insbesondere veränderte Binärpfade. Der Schutz von Volumenschattenkopien und die Erkennung des Missbrauchs der Restart Manager API können ebenfalls helfen, die Ransomware-Kette zu unterbrechen.

Antwort

Wenn Sinobi-Aktivitäten erkannt werden, sollten die Verantwortlichen sofort kompromittierte Konten isolieren, insbesondere privilegierte Konten wie Assistance. Nicht autorisierte RClone Prozesse sollten beendet werden, und alle Dienständerungen im Windows Service Control Manager sollten untersucht werden. Offline-Backups sollten überprüft und für die Wiederherstellung vorbereitet werden, da Sinobi darauf ausgelegt ist, Online-Schattenkopien und Papierkorbinhalte zu zerstören.

Simulation Ausführung

Voraussetzung: Die Telemetrie- und Basislinie-Vorflugkontrolle muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die die Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und sollen die genaue Telemetrie generieren, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu einer Fehldiagnose.

• Angriffserzählung & Befehle: Der Gegner hat sich den ersten Zugang verschafft und führt nun die Ransomware-Nutzlast aus. Um den größtmöglichen Einfluss und die Forderung zu maximieren, besteht das Ziel des Gegners darin, Benutzerdokumente zu verschlüsseln und Anweisungen zu hinterlassen. Das Skript wird dies simulieren durch: 1) Erstellen eines Dummy-Dokuments, 2) „Verschlüsseln“ durch Umbenennen in document.pdf.SINOBI, 3) Schreiben einer Lösegeldforderung mit dem Namen README.txt, und 4) Schreiben einer Datei mit den spezifischen Metadaten curve25519_pubkey um die Verschlüsselungsfußzeile der Ransomware zu simulieren.

• Regressions-Testskript:

  # Sinobi-Ransomware-Simulationsskript
  $targetDir = "$env:USERPROFILEDesktopSinobi_Sim"
  if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory }
  
  Write-Host "[+] Simuliere Dateiverschlüsselung..."
  $originalFile = "$targetDirimportant_data.pdf"
  "Empfindlicher Dateninhalt" | Out-File -FilePath $originalFile
  
  # Trigger selection_ext und selection_ransom
  Rename-Item -Path $originalFile -NewName "important_data.pdf.SINOBI"
  "IHRE DATEIEN SIND VERSCHLUSSELT! BEZAHLEN SIE BITCOIN AN..." | Out-File -FilePath "$targetDirREADME.txt"
  
  Write-Host "[+] Simuliere Verschlüsselungsmetadaten (selection_footer)..."
  # Trigger selection_footer
  $metadataFile = "$targetDirmetadata.dat"
  "Encryption_mode: AES256; curve25519_pubkey: 0xABC123" | Out-File -FilePath $metadataFile
  
  Write-Host "[!] Simulation abgeschlossen. Überprüfen Sie SIEM auf Alarme."

• Bereinigungsbefehle:

  Remove-Item -Path "$env:USERPROFILEDesktopSinobi_Sim" -Recurse -Force
  Write-Host "[+] Bereinigung abgeschlossen."