Der Angriff begann am 18. Dezember 2024 um 02:14 Uhr über einen achtlos offengelassenen RDP-Port. Der Angreifer dehnte seine Aktivitäten anschließend wie folgt aus:
T+0 – Penetration
Brute-Force-Angriff auf ein Administratorkonto. Die Passwortrichtlinie war unzureichend (12 Zeichen, keine Zwei-Faktor-Authentifizierung). Anmeldung innerhalb von 41 Minuten erfolgreich.
T+2 Stunden – Aufklärung
Der Angreifer nutzte den SoftPerfect Network Scanner, um das Netzwerk zu kartieren. Es umfasste 60 Server, 3 ESXi-Hosts, einen SAN-Speicher und – entscheidend – einen Veeam-Backup-Server mit Schreibzugriff auf den Backup-Speicher.
T+5 Stunden – Seitliche Bewegung
Mithilfe von PsExec verschaffte sich der Angreifer Administratorrechte am Veeam-Backup-Server. Dort löschte er zunächst die Konfiguration des Backup-Repositorys und anschließend die Dateien, die die Backup-Kette initiierten. Die klassische Strategie: „Zuerst die Backups angreifen“.
T+11 Stunden – Codierung
Auf dem Dateiserver und dem SAN lief seit 6:00 Uhr morgens Ransomware. Die Royal-Variante verschlüsselt mit AES-256 in Kombination mit ChaCha20. Die Frühschicht konnte sich nicht anmelden.
T+3 Tage – Anerkennung und Verhandlung
Das Unternehmen kontaktierte eine auf digitale Hackerangriffe spezialisierte Firma. Diese stellte fest, dass das klassische Backup unbrauchbar war (der Angreifer hatte es gelöscht), es keine Schattenkopie gab (da Royal diese standardmäßig löscht) und die einzige brauchbare Version ein 11 Tage altes Band-Backup war – mit teilweisem Datenverlust.
Die Änderung: Einführung der ViVeSec Box
Das Unternehmen implementierte die ViVeSec Box im Januar 2025. Die Architektur hat sich grundlegend geändert: Die Backup-Kette wird nicht mehr von einem herkömmlichen Backup-Server, sondern von der gehärteten Appliance verwaltet. Eine Kompromittierung der Windows-seitigen Administratorauthentifizierung erreicht nicht die unveränderlichen Volumes der ViVeSec Box (Out-of-Band-Management, rollenbasierte Zugriffskontrolle, Vier-Augen-Prinzip).
Der zweite Test
Das Unternehmen simulierte die Angriffskette mithilfe einer Red-Team-Übung. Ergebnis: Der Angreifer erreichte den Windows-Backup-Koordinator, konnte aber den unveränderlichen Speicher der ViVeSec Box nicht manipulieren. In einem internen Benchmark stellte Instant Recovery Betriebssysteme in 47 Minuten wieder her – ohne einen einzigen Tag Ausfallzeit.
Der Unterschied liegt nicht in schnelleren Backups. Der Unterschied besteht darin, dass der Angreifer sie nicht löschen kann, selbst wenn er die Windows-Seite vollständig gehackt hat.