Der Angriff begann am 18. Dezember 2024 um 02:14 Uhr über einen achtlos offen gelassenen RDP-Port. Der Angreifer dehnte seine Aktivitäten anschließend wie folgt aus:
T+0 – Eindringen
Brute-Force-Angriff auf ein Administratorkonto. Die Passwortrichtlinie war schwach (12 Zeichen, keine MFA). Innerhalb von 41 Minuten war die Anmeldung erfolgreich.
T+2 Stunden – Aufklärung
Der Angreifer kartierte das Netzwerk mit SoftPerfect Network Scanner. Es umfasste 60 Server, 3 ESXi-Hosts, einen SAN-Speicher und – entscheidend – einen Veeam-Backup-Server mit Schreibzugriff auf den Backup-Speicher.
T+5 Stunden – Seitliche Bewegung
Mit PsExec verschaffte sich der Angreifer Administratorrechte auf dem Veeam-Backup-Server. Dort löschte er zuerst die Konfiguration des Backup-Repositorys und anschließend die Dateien, die die Backup-Kette starteten. Die klassische „attack the backups first“-Strategie.
T+11 Stunden – Verschlüsselung
Seit 06:00 Uhr morgens lief die Ransomware auf dem Dateiserver und dem SAN. Die Royal-Variante verschlüsselte mit AES-256 kombiniert mit ChaCha20. Die Frühschicht konnte sich nicht anmelden.
T+3 Tage – Erkennung und Verhandlung
Das Unternehmen kontaktierte eine DFIR-Firma. Das Ergebnis: Das klassische Backup war unbrauchbar, weil der Angreifer es gelöscht hatte, es gab keine Shadow Copies, weil Royal diese standardmäßig entfernt, und die einzige nutzbare Version war ein 11 Tage altes Band-Backup mit teilweisem Datenverlust.
Die Wende: Einführung der ViVeSec Box
Im Januar 2025 implementierte das Unternehmen die ViVeSec Box. Die Architektur änderte sich grundlegend: Die Backup-Kette wird nicht mehr von einem herkömmlichen Backup-Server, sondern von der gehärteten Appliance verwaltet. Eine Kompromittierung der Windows-Seite erreicht die unveränderlichen Volumes der ViVeSec Box nicht (Out-of-Band-Management, RBAC, Vier-Augen-Prinzip).
Der zweite Test
Das Unternehmen spielte die Angriffskette in einer Red-Team-Übung erneut durch. Ergebnis: Der Angreifer erreichte den Windows-Backup-Koordinator, konnte aber den unveränderlichen Speicher der ViVeSec Box nicht verändern. In einem internen Benchmark stellte Instant Recovery Betriebssysteme in 47 Minuten wieder her – ohne einen einzigen Tag Ausfallzeit.
Der Unterschied liegt nicht in schnelleren Backups. Der Unterschied besteht darin, dass der Angreifer sie nicht löschen kann, selbst wenn er die Windows-Seite vollständig gehackt hat.