Cyber-Alarm: Beispiellose Ransomware bedroht Windows- und Linux-Systeme

Lockbit 5.0 trifft Windows, Linux und VMware ESXigleichzeitig und deaktiviert Workstations, Server und Hypervisoren innerhalb von Minuten. Die neue Version, die von Trend Microenthüllt wurde, verbirgt ihren Code hinter aggressiver Verpackung und einer DLL-Reflection, die herkömmliche Antivirensoftware umgeht. Ransomware explodiert, Backups geraten ins Visier: Das defensive Ökosystem muss sofort reagieren.

Die Offensive bestätigt die „Multiplattform“-Strategie: Eine einzige Kampagne betrifft ein gesamtes Netzwerk, von der Microsoft 365-Workstation bis zum Kubernetes-Cluster. Experten von Cybermalveillance.gouv.fr

sprechen von einer „beispiellosen Beschleunigung“, obwohl Polizeieinsätze im Jahr 2024 nicht ausreichten, um die Ausbreitung zu stoppen. CISOs suchen nun nach Gegenmaßnahmen, um den wirtschaftlichen Druck und die Reputationsschäden einzudämmen. Lockbit 5.0 Ransomware: Anatomie einer plattformübergreifenden Malware

Version 5.0, die Anfang 2025 entdeckt wurde, fügt eine zufällige 16-stellige Erweiterung hinzu, die eine manuelle Wiederherstellung nahezu unmöglich macht. Im Gegensatz zu früheren Versionen konfiguriert sich die Binärdatei selbst, um ESXi-Datenbanken und Snapshots selektiv zu verschlüsseln und so die virtuelle Infrastruktur lahmzulegen. Ausweichtaktiken und Stealth-VerschlüsselungUnter Windows injiziert DLL-Reflection die Nutzlast in signierte Prozesse und zerstört so die meisten heuristischen Signaturen. Unter Linux zielt ein Befehlszeilenangriff mit einem Thread pro Kern auf die Verzeichnisse /home und /srv sowie NFS-Volumes ab und beschleunigt so die Verschlüsselung. ESXi-Umgebungen werden zunächst heruntergefahren und anschließend blockweise verschlüsselt. Der Host bleibt betriebsbereit und maskiert den Angriff bis zum geplanten Neustart am Morgen. Abwehr von Ransomware unter Windows, Linux und ESXi

Die Abwehr beginnt mit Offline-, getesteten und isolierten Backups; unveränderliche Zeitstempel unterbrechen die Angriffskette. Umfangreiche Erkennungssuiten, ob

Kaspersky-, Bitdefender-, ESET- oder XDR-Lösungen von Palo Alto Networks und Fortinet müssen Endpunkte, Cloud-Workloads und Hypervisoren abdecken.

Sofortmaßnahmenplan für IT-Teams

Die Segmentierung des Netzwerks begrenzt die Lateralisierung; selbst kleinste unverschlüsselte SMB-Freigaben werden zum Königsweg. Microsoft- und Kernel-Patches müssen kontinuierlich eingespielt werden, da sich Lockbit über ungepatchte Schwachstellen verbreitet – die Sopra-Stereria-Affäre im Jahr 2020 ist ein eindringliches Beispiel dafür. Schließlich identifiziert die Protokollüberwachung per SIEM eine abnormale CPU-Auslastung, oft das erste Anzeichen für massive Verschlüsselung.Angreifer nehmen immer mehr zu, und Verteidiger können sich nicht mehr auf bewährte Vorgehensweisen verlassen: Die gemeinsame Orchestrierung von Backup, EDR und automatisierter Reaktion wird zum unverzichtbaren Standard. Diesen Machtzuwachs zu ignorieren, bedeutet zu akzeptieren, dass die nächste Lösegeldforderung bereits unterwegs ist. Quelle: www.pcwelt.de