Sophos nennt sechs Methoden für Security-Profis Wie sich Daten aus verschlüsselten virtuellen Festplatten extrahieren lassen

Anbieter zum Thema

Sophos Technology GmbH

DataCore Software GmbH

FAST LTA GmbH

Impossible Cloud GmbH

Der Sicherheitsspezialist Sophos hat sechs Methoden zusammengestellt, mit deren Hilfe sich Daten aus verschlüsselten virtuellen Festplatten retten lassen. Zielgruppe sind vor allem „Incident Responder“ und Task-Forces, die im Ernstfall schnell reagieren müssen.

Im Falle einer Ransomware-Attacke ist Geschwindigkeit ein wichtiger Faktor: Die Security-Teams müssen möglichst schnell und effizient vorgehen, um möglichst alle Daten zum Beispiel aus einer verschlüsselten virtuellen Maschine zu extrahieren. Die Sicherheitsexperten von Sophos haben deshalb sechs Tipps und Tools zusammengestellt, die insbesondere dort helfen sollen, wo Standardmethoden bereits versagt haben.

Sophos betont, dass die folgenden Tipps keine Erfolgsgarantie mitbringen. Es gebe aber viele positive Erfahrungen, etwa im Zusammenhang mit LockBit, Faust Phobos, Rhysida oder Akira. Zudem betonen die Experten ausdrücklich, alle Wiederherstellungsversuche mit Arbeitskopien und nicht mit den Originalen durchzuführen. Nur so sei sichergestellt, dass eine fehlgeschlagene Rettung nicht weitere Versuche mit anderen Tools zunichtemacht.

Methode 1: Einfaches „Mounten“ des Laufwerks

Diese Methode klingt einfach, funktioniert vielfach und spart ungeheuer viel Zeit. Wenn es nicht klappt, sind nur wenige Minuten verloren. Wenn die Methode jedoch erfolgreich ist und das Laufwerk gemountet, also fester Bestandteil des Betriebssystems geworden ist, kann auf die Dateien zugegriffen werden. Da lediglich die VM gemounted wird, sollte der Endpoint-Schutz keine bösartigen Dateien erkennen oder entfernen, um weitere forensische Erkenntnisse daraus zu gewinnen.

Methode 2: RecuperaBit

RecuperaBit ist ein automatisiertes Tool, das alle NTFS-Partitionen wiederherstellen kann, die in der verschlüsselten VM gefunden werden. Wenn es eine NTFS-Partition findet, erstellt es die Ordnerstruktur dieser Partition neu. Bei einem Erfolg können die Experten dann auf die Dateien zugreifen und sie wie gewünscht aus der neu erstellten Verzeichnis- oder Ordnerstruktur kopieren und einfügen. RecuperaBit wird wahrscheinlich den Endpunktschutz nicht auslösen, sofern ransom.exe oder andere bösartige Dateien vorhanden sind. Daher sollte RecuperaBit beispielsweise in einer Sandbox ausgeführt werden.

Methode 3: bulk_extractor

Der automatisierte bulk_extractor ist ein Tool für Windows- oder Linux-Umgebungen. Es kann sowohl Systemdateien wie Windows-Ereignisprotokolle (.EVTX) als auch Mediendateien wiederherstellen. Wie bei RecuperaBit wird bulk_extractor wahrscheinlich Erkennungen des Endpunktschutzes deaktivieren, wenn ransom.exe oder andere bösartige Dateien vorhanden sind. Daher sollte der Extraktions-Versuch mit bulk_extractor ebenfalls in einer Sandbox durchgeführt werden.

„Speicherhungrig“ – der Storage-Insider-Podcast, Folge 7

Speichergrößen: Thomas Sandner von Veeam Software

Methode 4: EVTXtract

Dieses automatisierte Linux-Tool durchsucht einen Datenblock beziehungsweise eine verschlüsselte VM nach vollständigen oder teilweisen .evtx-Protokolldateien. Wenn es solche findet, werden diese in ihre ursprüngliche XML-Struktur zurückverwandelt. XML-Dateien sind bekanntermaßen schwierig zu bearbeiten. In diesem Fall besteht die Datei aus fehlerhaft eingebetteten EVTX-Fragmenten, so dass die Ausgabe etwas unhandlich sein kann.

Methode 5: Scalpel, Foremost und weitere Tools zur Dateiwiederherstellung

Zu den Tools, die für die Wiederherstellung anderer Dateitypen entwickelt wurden, gehören Scalpel und Foremost. Obwohl es sich bei beiden um ältere Technologien handelt, hat das Sophos-IR-Team bei seinen Untersuchungen gute Ergebnisse mit diesen beiden Tools erzielt. Beide stellen hauptsächlich Medien- und Dokumentdateien wieder her, und bei beiden kann die Konfiguration geändert werden, um sich auf bestimmte Dateitypen zu konzentrieren.

Methode 6: Manuelles Zerlegen der NTFS-Partition

Im Gegensatz zu den beschriebenen Tools und Techniken erfordert das manuelle Carving eine gründliche Vorbereitung und ein genaueres Verständnis der verfügbaren Optionen. Für das korrekte manuelle Carving müssen die Ermittler vor dem Ausführen des Dienstprogramms drei Switches auf „dd“ setzen – „bs“ (Bytes pro Sektor), „skip“ (Offset-Wert des neu zu erstellenden NTFS-Sektors) und „count“. Schlussendlich wird die neue, gecarvte Datei gemounted, um die benötigten Daten wiederherzustellen.

Aktuelles eBook

Storage-Security – wie sichern Unternehmen ihre Daten ab?

Sich mit der Sicherheit von Storage-Systemen zu beschäftigen, ist heute notwendiger denn je. Neun von zehn Unternehmen wurden bereits mit Ransomware angegriffen. Einen Überblick über Schutzmaßnahmen und -technologien bietet dieses eBook.

Die Themen im Überblick:

• Replikation und Verschlüsselung
• Backup-Verfahren und -Schutz
• Wiederherstellung
• Air-Gap
• Unveränderbare Backups & Disaster Recovery
• Wirtschaftliche Aspekte

eBook „Storage-Security“ kostenlos downloaden

(ID:50117600)