» Resources » Eye Security Blog »
Written by Eye Security
Das Incident-Response-Team von Eye Security wurde neulich beauftragt, einen Ransomware-Vorfall zu untersuchen, den wir der 8Base-Ransomware-Gruppe zuordnen konnten. Schnell stellten wir fest, dass die Verschlüsselung auf einigen Hosts noch aktiv war. Daher beschlossen wir, herauszufinden, ob ein Memory Dump des Prozesses uns ausreichende Informationen liefern würde, um die Verschlüsselungsschlüssel wiederherzustellen.
Im Folgenden skizzieren wir die durchgeführten Schritte sowie diejenigen, die für eine erfolgreiche Wiederherstellung nötig gewesen wären, wenn wir früher eingreifen hätten können.
Dateien unter 1,5 MB werden vollständig verschlüsselt. Bei größeren Dateien verschlüsselt die Ransomware nur drei 256-KB-Blöcke: am Anfang, am Ende und einen zufälligen Block in der Mitte.
Diese Technik wird genutzt, um maximalen Schaden anzurichten, die Wiederherstellungschancen zu minimieren und gleichzeitig die Verschlüsselung zu beschleunigen sowie die Entdeckung zu erschweren. Die ersten und letzten Abschnitte einer Datei enthalten essenzielle Header, Metadaten, Formatinformationen und Indexstrukturen. Ohne diese ist eine Datei oft unbrauchbar. Dennoch gibt es Tools, die bestimmte Dateitypen teilweise wiederherstellen können. Um das zu verhindern, verschlüsselt die Ransomware zusätzlich einen zufälligen Block in der Mitte. Das zerstört die Datenstruktur und macht eine Wiederherstellung nahezu unmöglich.
Die Malware erstellt für jedes Laufwerk oder Netzlaufwerk, das sie verschlüsselt, ein neues (Paar) AES-Schlüssel. Dieser Zufallsgenerator wurde bereits von CERT Polska analysiert und mit begrenztem Erfolg angegriffen (siehe “A Tale of Phobos: How We Almost Cracked a Ransomware Using CUDA“). Daher wäre es unwahrscheinlich gewesen, die AES-Schlüssel per Brute-Force zu entschlüsseln.
Jeder AES-Schlüssel wird anschließend mit einem RSA-öffentlichen Schlüssel verschlüsselt. Die verschlüsselten Daten enthalten zudem die Volume-Seriennummer des Systemlaufwerks sowie eine eindeutige Kennung. So kann die Angreifer gezielt entscheiden, für welche Systeme sie die AES-Schlüssel freigeben.
struct rsa_encrypted_data { char key[32]; int volume_serial_nr; int identifier; // config variable 1 };
Nachdem beide Schlüssel generiert werden, werden sie in einer gemeinsamen Struktur zusammengeführt, die auch eine CRC-Prüfsumme enthält. Diese Prüfsumme wird über die Verkettung beider Schlüssel berechnet, wie aus dem folgenden Code ersichtlich ist.
Falls der AES-Schlüssel noch im Memory vorhanden ist, sollten wir eine Struktur mit dem folgenden Aufbau finden:
struct key_combo { char aes_key[32]; char rsa_encrypted_aes_key[128]; int crc_checksum; };Zur Analyse des Raw-Memory-Dumps verwendeten wir das folgende Python-Skript, um die Struktur zu identifizieren:
# data is raw memory dump import struct,zlib for i in range(len(data)-128-32-4): mem_crc = struct.unpack('I',data[i+32+128:i+32+128+4]) calc_crc = zlib.crc32(data[i:i+32+128]) if mem_crc == calc_crc: print(f'Found aes key: {data[i:i+32]}')
Leider konnten wir die Schlüssel nicht finden, da sie direkt nach Abschluss der Verschlüsselung eines Laufwerks von der Malware gelöscht wurden. Dadurch blieb uns nur ein sehr kurzes Zeitfenster, in dem die Schlüssel verfügbar waren.
Die Umgebung des Kunden wurde vollständig wiederhergestellt. Sie können darüber in unserem Artikel „8Base Ransomware Investigation Uncovers Surprising Insights” lesen. Dieser Prozess wäre jedoch etwas anders verlaufen, wenn wir die Schlüssel hätten wiederherstellen können. Hier sind die Schritte, die wir zur Wiederherstellung der Dateien unternommen hätten.
Am Ende jeder verschlüsselten Datei wurden zwei Datenstrukturen hinzugefügt. Bei der ersten handelt es sich um verschlüsselte Metadaten, bei der anderen um einen unverschlüsselten Footer. Um die Datei wiederherzustellen, lesen wir zunächst den Footer am Ende der Datei. Dieser enthält die Informationen, die zum Wiederherstellen und Entschlüsseln der verschlüsselten Metadaten benötigt werden. Hier ist die Struktur:
struct __declspec(align(1)) phobos_file_footer { char always_zero[20]; char iv[16]; int padding_size; char rsa_encrypted_part[128]; int metadata_offset; char attacker_id[6]; };
Das wichtigste Feld ist metadata_offset, ein Offset vom Ende der Datei zu ihren verschlüsselten Metadaten. Diese können mit dem wiederhergestellten AES-Schlüssel und der iv aus dem Footer mit AES-256 im CBC-Modus entschlüsselt werden. Daraus ergibt sich die folgende Struktur.
struct phobos_file_metadata { int always_zero; int encryption_mode; int magic; int nr_chunks; int chunk_len; int crc_checksum; int orig_filename_offset; //offset from start of structure phobos_file_metadata int padding; //chunks for large files only if encryption mode == 1 LARGE_INTEGER chunk_offsets[nr_chunks]; char chunk_data[nr_chunks][chunk_len]; };
Das wichtigste Feld ist encryption_mode. Modus 1 ist für teilweise Verschlüsselung, verwendet bei Dateien, die größer als 1,5 MB sind, und hat einen magischen Wert von 0xAF77BC0F. Modus 2 ist für die Verschlüsselung der gesamten Datei und hat einen magischen Wert von 0xF0A75E12.
Für vollständig verschlüsselte Dateien (Modus 2) verwenden Sie denselben AES-Schlüssel und Initialisierungsvektor zur Entschlüsselung. Entfernen Sie den Footer, die Metadaten und die letzten Bytes des Padding mithilfe des padding_size-Feldes.
Für große Dateien (Modus 1) sind die Daten in der Struktur enthalten. Um die Datei wiederherzustellen, suchen Sie den Offset chunk_offsets[idx] und schreiben Sie chunk_data[idx] an diesem Offset. Und natürlich entfernen Sie auch die Metadaten und den Footer am Ende der Datei.
Wären wir früher eingeschaltet worden, hätten wir den Verschlüsselungsprozess stoppen können, bevor die Schlüssel zerstört wurden – und die Dateiwiederherstellung wäre einfacher gewesen. Zudem hätte die Absicherung von Benutzerkonten mit starken Passwörtern und Multi-Faktor-Authentifizierung das Risiko eines Angriffs deutlich verringert. Glücklicherweise konnten wir die Umgebung des Kunden mit minimaler Ausfallzeit wiederherstellen.
Möchten Sie Ihre Sicherheitslage verbessern? Melden Sie sich bei uns für weitere Details.
Bedrohungen und Schwachstellen
Cyberangriffe werden nicht nur häufiger, sondern auch schneller, leiser und schwerer erkennbar. Genau das war die zentrale Botschaft unseres jüngsten Trend-Report-Webinars für die DACH-Region. Im Mittelpunkt stehen Erkenntnisse aus 630 untersuchten Sicherheitsvorfällen aus Deutschland, den Benelux-Ländern und dem operativen Alltag unseres Security Operations Centers.
Eye Security analysierte zwischen Januar 2023 und November 2025 insgesamt 630 anonymisierte Cybersicherheitsvorfälle in ganz Europa. Die Analyse liefert Einblicke in Erkennung, Verweildauer, Ursachen sowie die operativen Auswirkungen von Sicherheitsvorfällen. Die Auswertung zeigt, wie Bedrohungsakteure Vertrauen, Zeit und Technologie gezielt ausnutzen und wie Managed Detection and Response (MDR) den Verlauf sowie das Ergebnis maßgeblich beeinflusst.
Eye Research hat gezeigt, dass ein AI-Canvas legitime Inhalte imitieren kann, zum Beispiel eine HR Umfrage oder eine interne Login-Seite. Werden diese Canvases Inhalte per E-Mail oder über Messaging Plattformen verbreitet, wirken sie vertrauenswürdig, da sie mit bekannten KI-Diensten verbunden sind. Weitere Details finden Sie im vollständigen technischen Bericht.