PARIS / LONDON (IT BOLTWISE) – Ein französischsprachiger Angreifer hielt trotz Offline-Schaltung seines Command-and-Control-Servers Zugriff auf eine kompromittierte Windows-Maschine. Der Trick: Er installierte OpenSSH Server und Tailscale und baute damit einen separaten, verschlüsselten Rückkanal ohne offene Ports. Als die Havoc-Infrastruktur Stunden später ausfiel, reaktivierten sich die Agenten automatisch, sobald der C2 wieder online war. Der Bericht zeigt damit eindrücklich, warum „C2 killen“ allein keine Remediation ist, wenn eine zweite Tür bereits eingebaut wurde.
Wer in Incident-Response vor allem am Command-and-Control-Server (C2) ansetzt, bekommt in diesem Fall eine unbequeme Lektion serviert: Der Angreifer konnte seine Operation fortsetzen, obwohl die eigene Havoc-Infrastruktur vorübergehend offline ging. Den Kern liefert eine detaillierte „Operator-in-the-loop“-Sicht auf den Ablauf, inklusive Hilfsmitteln, die nicht primär auf Malware-Signaturen, sondern auf Verhalten und Pfadabhängigkeiten setzen. Für Unternehmen bedeutet das: Selbst wenn Netzwerk-Takedowns greifen, kann eine bereits installierte Persistenzschicht die Kontrolle behalten. Technisch ist dabei besonders relevant, dass der Rückweg nicht über den C2 verlief, sondern über eine separat aufgebaute, kryptografisch abgesicherte Mesh-Verbindung.
Im beobachteten Ablauf zeigte sich eine bewusst schlanke, aber wirksame Malware-Chain: Ein VBScript-Stager entschärfte nicht nur die Ausführung in der frühen Phase, sondern verzögerte außerdem, um Sandbox-Umgebungen zu „überlisten“. Anschließend wurde ein PowerShell-Loader entschlüsselt und an eine .NET-Komponente übergeben, die den eigentlichen Agent („Demon“) aktivierte, ohne den Implant dauerhaft auf dem Datenträger abzulegen. Für Privilegsteigerung nutzte der Angreifer „Start-Process -Verb RunAs“ und damit zwar keine „lautlose“ UAC-Bypass-Illusion, aber dennoch eine Praxis, die bei unaufmerksamen Benutzern oder schlecht konfigurierten Prozessen zum Ziel führt. Danach kamen die Fixpunkte: ein geplanter Task bei jedem Logon mit höchsten Rechten, eine Injektion von Shellcode in „Explorer.exe“ sowie ein zusätzliches Backup über einen Remote-Desktop-Channel.
Marktseitig passt das Muster in eine breitere Entwicklung: Bedrohungsakteure greifen zunehmend auf legitime Fernzugriffs- und Tunneltechnologien zurück, um sich in „normales“ Administrationsverhalten einzufügen. Branchenberichte deuten etwa darauf hin, dass staatlich motivierte Gruppen wie Chinas APT31 Tailscale bereits in früheren Phasen zur unauffälligen Kommunikation nutzten, während organisierte Kriminelle wie Scattered Spider häufig auf bekannte Remote-Zugangswege setzen. Auch bei neueren Ransomware-Fällen taucht „RustDesk“ als Backup-Mechanismus in ähnlichen Kontexten auf. Der Punkt ist dabei weniger, dass die Komponenten neu sind, sondern dass ihre Kombination und das Timing beweisen, dass sich Angriffe vom C2 entkoppeln lassen. Genau diese Entkopplung erklärt, warum kurzfristige Infrastrukturmaßnahmen allein nicht reichen.
Aus Sicht der Sicherheitsforschung ergibt sich eine harte, aber klare Expertenbotschaft: „Remediation“ ist nicht gleich „C2 deaktivieren“. Die beobachtete Vorgehensweise zeigt, dass ein Angreifer bereits vor dem kritischen Zeitpunkt die zweite Tür installiert haben kann – und zwar in Form von OpenSSH Server plus Tailscale auf dem Zielsystem. Am 7. April wurde in einer mehrstündigen Sitzung in einer Art Overnight-Window die Maschine in ein privates Tailscale-Netz eingebunden; darüber richtete der Operator eine schlüsselbasierte SSH-Verbindung sowie einen Reverse-Tunnel ein. Als die Havoc-Infrastruktur am Folgetag offline ging, blieb der Zugriff über den alternativen Pfad bestehen. Damit wird auch der analytische Fokus verschoben: Nicht der „böse“ Server ist allein entscheidend, sondern die Persistenzschicht dahinter.
Für die technische Detektion liefert der Bericht konkrete, verhaltensorientierte Heuristiken, die sich leichter in Monitoring- und Hunting-Programme übersetzen lassen. So wird vorgeschlagen, das Installieren von OpenSSH Server auf Windows-Workstations als Warnsignal zu behandeln, weil es dort selten als legitimer Standard vorkommt. Ebenso auffällig ist tailscale.exe auf Hosts ohne nachvollziehbaren VPN- oder Administrationsbezug. Reverse-Tunnel-Strings mit „ssh -R“ auf externe Ziele sollten in Zusammenhang mit ungewöhnlichen Zielhosts bzw. Ports priorisiert werden. Ergänzend passen Muster wie wscript.exe bei der Ausführung von VBS-Dateien aus User- oder Staging-Umgebungen sowie geplante Tasks mit höchsten Privilegien, die Script-Interpreter starten, in ein gemeinsames Indizienbild. Auch Änderungen an „powercfg“-Parametern, die Standby-Zeiten reduzieren, können auf „ununterbrochenes“ Auslesen hindeuten.
Historisch betrachtet ist diese Strategie keine völlig neue Idee, aber die Umsetzbarkeit steigt, weil moderne Remote-Tools die Einstiegshürde sinken lassen. Bereits in früheren Wellen setzten Angreifer auf Web- oder SSH-basierte Gateways, auf kompromittierte Jump-Hosts oder auf „Living off the Land“-Techniken, um netzwerkseitige Erkennung zu umgehen. Neu ist vor allem die Breitenwirkung: Mesh-VPNs und leicht zu deployende Tunnel ermöglichen eine dauerhafte, verschlüsselte Steuerung auch dann, wenn dedizierte C2-Server in der Praxis abgeschaltet werden. Im Ergebnis wird die für Unternehmen übliche „Takedown-Schleife“ zu kurz, wenn sie nicht systematisch nach Persistenzmechanismen sucht. Das gilt insbesondere dann, wenn ein Angreifer wie hier zudem unauffällig auf Dateischichten und Benutzeraktionen setzt, etwa um Credentials direkt zu sammeln, ohne sofort exfiltrierende Server zu betreiben.
Damit rückt auch der Datenschutz- und Compliance-Aspekt in den Vordergrund. Die Tat hatte unmittelbar finanz- und kontenbezogene Ziele, etwa Banking- und E-Mail-Zugangsdaten sowie den Zugriff auf behördliche Portale. In der Praxis bedeutet das: Jede Persistenz, die auch nach C2-Off-Events bestehen bleibt, verlängert die Zeitspanne, in der personenbezogene Daten verarbeitet oder Abflussrisiken geschaffen werden. Für den Abgleich mit regulatorischen Anforderungen (z. B. organisatorische Pflichten aus Informationssicherheit, Meldeketten und Risikodokumentation) ist daher entscheidend, dass Unternehmen nicht nur „Network Threats“ schließen, sondern die betroffenen Endpoints und Identitäten vollständig bereinigen. Dazu gehört bei solchen Mustern typischerweise das Entfernen von SSH-Keys, das Zurücksetzen potenziell kompromittierter Konten und das gezielte Nachprüfen geplanter Tasks sowie geänderter Systemzustände.
Der Blick nach vorn sollte aus Sicht von Security Teams zweigleisig bleiben: Einerseits brauchen sie standardisierte Playbooks, die C2-Takedown sofort um eine „Persistence- und Alternate-Channel“-Suche erweitern. Andererseits müssen Incident-Teams die Frage beantworten, warum der Operator überhaupt so lange aktiv blieb, obwohl sein C2 zeitweise ausfiel. Der Bericht zeigt außerdem, dass „Thales.zip“ als Teil eines späteren, kurzen Aktivitätsfensters bislang offen lässt, welche weiteren Schritte genau in diesen 32 Minuten liefen. Für die Praxis ist die wichtigste Implikation dennoch eindeutig: Selbst wenn C2-Komponenten erfolgreich neutralisiert wurden, kann eine Reverse- oder Mesh-basierte Zugriffsschicht weiter funktionieren. Wer OpenSSH, Tailscale, geplante Tasks und die zugehörigen Agenten nicht vollständig beseitigt, lässt Angreifern die zweite Möglichkeit zum Rücksprung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Bedrohung bleibt nach C2-Ausfall: Angreifer nutzt OpenSSH und Tailscale als Persistence" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Bedrohung bleibt nach C2-Ausfall: Angreifer nutzt OpenSSH und Tailscale als Persistence" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Bedrohung bleibt nach C2-Ausfall: Angreifer nutzt OpenSSH und Tailscale als Persistence« bei Google Deutschland suchen, bei Bing oder Google News!