Microsoft Defender Predictive Shielding stoppt GPO-Ransomware

Einführung

Microsofts aktuelle Defender-Fallstudie beleuchtet eine zunehmende Ransomware-Taktik: den Missbrauch von Group Policy Objects (GPOs), um Sicherheitstools zu deaktivieren und Payloads in großem Umfang zu verteilen. Für IT- und Sicherheitsteams ist das relevant, weil GPOs in den meisten Windows-Umgebungen vertrauenswürdige Verwaltungsmechanismen sind und damit einen attraktiven Angriffsweg für von Menschen gesteuerte Ransomware darstellen.

Was passiert ist

Microsoft untersuchte einen Angriff auf eine große Bildungseinrichtung mit Tausenden von Geräten, 33 Servern, 11 Domain Controllers und 2 Entra Connect-Servern. Der Angreifer hatte bereits Domain Admin-Zugriff erlangt und durchlief mehrere bekannte Phasen:

• Aufklärung: Active Directory-Aufzählung und Brute-Force-Aktivität
• Zugriff auf Anmeldeinformationen: Kerberoasting- und NTDS-Dump-Aktivität
• Laterale Bewegung: Einsatz hochprivilegierter Anmeldeinformationen und Erstellung lokaler Konten zur Persistenz
• Auswirkungsversuch: GPO-basierte Manipulation und Ransomware-Bereitstellung

So funktionierte der GPO-Angriff

Der Angreifer nutzte GPOs in zwei Phasen:

• Phase 1: Sicherheitsmanipulation
  Ein bösartiges GPO versuchte, zentrale Defender-Schutzfunktionen zu deaktivieren, darunter Echtzeitschutz und Verhaltensüberwachung.

• Phase 2: Ransomware-Verteilung
  Etwa 10 Minuten später erstellte der Angreifer ein weiteres GPO, das eine geplante Aufgabe bereitstellte, um Ransomware-Dateien aus SYSVOL zu kopieren und auszuführen.

Das ist effektiv, weil der Angreifer die Richtlinie nur einmal festlegen muss; domain-joined Geräte erledigen den Rest automatisch.

So hat Defender es gestoppt

Defenders Predictive Shielding erkannte die GPO-Manipulation als wahrscheinlichen Vorläufer eines Ransomware-Angriffs und löste GPO Hardening aus, bevor sich das Ransomware-GPO breit verteilen konnte.

Wichtige Ergebnisse aus der Fallstudie:

• Keine Geräte wurden über den GPO-Pfad verschlüsselt
• Insgesamt wurden rund 97 % der versuchten Verschlüsselungsaktivität blockiert
• 700 Geräte erhielten GPO Hardening-Schutz
• Mehr als ein Dutzend kompromittierter Entitäten wurden unterbrochen
• Tausende Authentifizierungs- und Zugriffsversuche des Angreifers wurden blockiert

Warum das für Administratoren wichtig ist

Dieser Vorfall zeigt, dass Ransomware-Akteure zunehmend standardmäßige IT-Verwaltungstools missbrauchen, statt sich nur auf offensichtliche Malware-Verteilungsmethoden zu verlassen. GPOs, geplante Aufgaben, SMB und Remote Administration Tools sind alles legitime Betriebsmechanismen, was Missbrauch ohne erweiterte Erkennung und Reaktion schwerer erkennbar macht.

Für Administratoren ist die Lehre klar: Eine kompromittierte Identität plus GPO-Missbrauch kann sich schnell zu einem unternehmensweiten Vorfall entwickeln.

Empfohlene nächste Schritte

• Prüfen Sie die Exposition privilegierter Konten, insbesondere die Nutzung von Domain Admin
• Auditieren Sie aktuelle GPO-Änderungen und Bereitstellungen geplanter Aufgaben
• Untersuchen Sie Anzeichen für Kerberoasting, NTDS-Zugriffe und ungewöhnliche SMB-basierte Ausführung
• Stellen Sie sicher, dass die Angriffsstörungsfunktionen von Microsoft Defender aktiviert sind
• Validieren Sie Defender Tamper Protection und die Endpoint-Abdeckung auf allen domain-joined Geräten
• Überwachen Sie SYSVOL auf unerwartete Skripts, ausführbare Dateien und DLLs

Organisationen, die Microsoft Defender einsetzen, sollten diesen Fall als Erinnerung verstehen, Identitäten zu härten, Verwaltungstools zu überwachen und sich auf Ransomware-Kampagnen vorzubereiten, die native Unternehmenssteuerungen missbrauchen.