Cyberkriminelle nutzen Velociraptor-Tool für Ransomware-Angriffe

LONDON (IT BOLTWISE) – In einer neuen Welle von Cyberangriffen haben Bedrohungsakteure das Open-Source-Tool Velociraptor für digitale Forensik und Incident Response missbraucht. Diese Angriffe, die mit der Ransomware LockBit in Verbindung stehen, zeigen die zunehmende Gefahr durch die Umnutzung legitimer Sicherheitswerkzeuge.

In der jüngsten Entwicklung der Cyberkriminalität haben Bedrohungsakteure das Open-Source-Tool Velociraptor, das ursprünglich für digitale Forensik und Incident Response (DFIR) entwickelt wurde, in eine Waffe verwandelt. Diese Angriffe, die vermutlich von der Gruppe Storm-2603 orchestriert werden, stehen im Zusammenhang mit der Verbreitung der Ransomware LockBit und Warlock. Sophos dokumentierte diesen Missbrauch bereits im letzten Monat, wobei die Angreifer bekannte Schwachstellen in SharePoint ausnutzten, um Zugang zu erlangen und eine veraltete Version von Velociraptor zu installieren.

Die Angreifer nutzten eine Schwachstelle in der Version 0.73.4.0 von Velociraptor, die es ihnen ermöglichte, beliebige Befehle auszuführen und die Kontrolle über Endpunkte zu übernehmen. In einem Angriff im August 2025 versuchten die Bedrohungsakteure, ihre Privilegien zu erweitern, indem sie Domain-Admin-Konten erstellten und sich lateral innerhalb der kompromittierten Umgebung bewegten. Zudem setzten sie Tools wie Smbexec ein, um Programme über das SMB-Protokoll remote zu starten.

Bevor sie Daten exfiltrierten und die Ransomware Warlock, LockBit und Babuk einsetzten, manipulierten die Angreifer Active Directory Group Policy Objects, deaktivierten den Echtzeitschutz und umgingen so die Systemverteidigung. Dies markiert das erste Mal, dass Storm-2603 mit dem Einsatz der Babuk-Ransomware in Verbindung gebracht wird. Rapid7, das Velociraptor seit 2021 betreut, ist sich des Missbrauchs bewusst und betont, dass dies ein Missbrauchsmuster und kein Softwarefehler sei.

Halcyon vermutet, dass Storm-2603 Verbindungen zu chinesischen staatlichen Akteuren hat, da sie frühzeitig Zugang zu dem ToolShell-Exploit hatten und neue, professionell entwickelte Samples aufgetaucht sind. Die Ransomware-Gruppe, die im Juni 2025 erstmals in Erscheinung trat, nutzte LockBit sowohl als operatives Werkzeug als auch als Entwicklungsgrundlage. Warlock war der letzte registrierte Affiliate im LockBit-Programm, bevor es zu einem Datenleck kam.

Die Gruppe zeigt eine bemerkenswerte Flexibilität und schnelle Entwicklung, indem sie innerhalb von 48 Stunden von einer reinen LockBit-3.0-Implementierung zu einer Multi-Ransomware-Strategie wechselte. Diese schnelle Anpassungsfähigkeit und die Fähigkeit, die Attribution zu verschleiern, deuten auf eine gut organisierte und ressourcenstarke Gruppe hin, die möglicherweise mit staatlichen Akteuren in Verbindung steht.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

31,20 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!