Ransomware-Gruppen erweitern ihre Taktiken mit Citrix-Schwachstelle, BYOVD und Supply-Chain-Zugriff

Cybersicherheitsforscher beobachten eine wachsende Zahl von Techniken, die von Ransomware-Betreibern eingesetzt werden, darunter die Ausnutzung einer aktuellen Citrix-Schwachstelle, der Missbrauch legitimer Tools zur Fernverwaltung und Partnerschaften, die auf der Kompromittierung von Lieferketten basieren.

Laut Arctic Wolf haben mit der Ransomware-Operation Anubis verbundene Affiliates Citrix Bleed 2, verfolgt als CVE-2025-5777, genutzt, um sich ersten Zugriff auf die Netzwerke von Opfern zu verschaffen. Die Gruppe wurde außerdem bei der Verwendung gültiger VPN-Zugangsdaten beobachtet, deren genaue Herkunft unklar ist. Analysten zufolge könnten diese Zugangsdaten durch frühere Eindringversuche, Credential Stuffing, Protokolle von Infostealern oder Access Broker erlangt worden sein.

Nach dem Eindringen setzten die Angreifer Berichten zufolge gängige Administrationssoftware wie ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC und Total Software Deployment ein, um den Zugriff aufrechtzuerhalten und sich in normale IT-Aktivitäten einzufügen. Ermittler beobachteten außerdem die Verwendung von RDP, SMB, PsExec und Cloud-Transfer-Tools, um sich lateral auszubreiten und Daten zu exfiltrieren, bevor die Ransomware eingesetzt wurde. In einigen Fällen stellten die Verteidiger Versuche fest, Sicherheitstools zu deaktivieren, Protokolle zu löschen und die Reaktion auf Sicherheitsvorfälle zu beeinträchtigen.

Andere RaaS-Gruppen nutzen ähnliche Methoden

Kaspersky beschrieb unabhängig davon Aktivitäten im Zusammenhang mit der Ransomware-Gruppe The Gentlemen, die gestohlene oder schwache Zugangsdaten zusammen mit bekannten Schwachstellen genutzt hat, um in Zielsysteme einzudringen. Die Forscher erklärten, dass die Gruppe eine auf Go basierende Backdoor einsetzte, die Systeminformationen sammeln, an einen externen Server senden und entweder Befehle ausführen oder einen SOCKS-Proxy für weitere Bewegungen im Netzwerk einrichten kann.

Expel berichtete außerdem, dass The Gentlemen eine Zero-Day-Schwachstelle in einem Treiber eines Drittanbieters, ktapi.sys, im Rahmen einer Bring-Your-Own-Vulnerable-Driver- beziehungsweise BYOVD-Strategie ausnutzte. Dieser Ansatz kann Angreifern Zugriff auf Kernel-Ebene verschaffen und ihnen ermöglichen, geschützte Sicherheitsprodukte mehrerer Anbieter zu deaktivieren.

Supply-Chain-Zugriffe werden zu einem Bestandteil des Ransomware-Modells

Eine weitere Entwicklung betrifft die Partnerschaft zwischen VECT und TeamPCP, die laut Sophos darauf ausgerichtet war, Supply-Chain-Kompromittierungen in Ransomware-Möglichkeiten umzuwandeln. Die Zusammenarbeit scheint darauf abzuzielen, mit Infektionen Geld zu verdienen, die mit Supply-Chain-Angriffen auf Trivy und LiteLLM zusammenhängen. Frühere Berichte brachten TeamPCP außerdem mit der Marke CipherForce in Verbindung, bevor sich die Gruppe 2026 umbenannte.

• Citrix Bleed 2 wird für den ersten Zugriff eingesetzt
• Legitime Fernwartungstools helfen Angreifern, unentdeckt zu bleiben
• BYOVD bleibt ein schneller Weg, den Schutz von Endgeräten zu schwächen
• Supply-Chain-Kompromittierungen fließen zunehmend in Ransomware-Operationen ein

Forscher erklären, dass das gemeinsame Muster dieser Kampagnen in der Persistenz besteht: Bedrohungsakteure kombinieren gültige Zugänge, vertrauenswürdige Tools und mehrere Wege des Eindringens, um die Erkennung zu erschweren und den Druck auf Opfer zu erhöhen.