Der 57-jährige Daniel Rhyne wurde zu 32 Monaten Haft verurteilt, nachdem er sich an einem gescheiterten Erpressungsversuch gegen ein in New Jersey ansässiges Industrieunternehmen schuldig bekannt hatte. Rhyne nutzte seine früheren Zugriffsrechte als Ingenieur für die Kerninfrastruktur, um aus der Ferne auf das Unternehmensnetzwerk zuzugreifen und einen Angriff durchzuführen, der einem Ransomware-Angriff ähnelte.
Wie wurde das Netzwerk außer Betrieb gesetzt?
Zwischen dem 8. und 25. November griff Rhyne ohne Genehmigung über ein Administratorkonto auf das Netzwerk zu. Gerichtsunterlagen zufolge erstellte er geplante Aufgaben, die das Passwort des Administratorkontos in TheFr0zenCrew! änderten und 13 Konten von Domänenadministratoren löschten. Außerdem änderte er die Passwörter von 301 Domänenbenutzerkonten in dasselbe Passwort.
Weitere Aufgaben änderten die Passwörter von zwei lokalen Administratorkonten in PsPasswd, wodurch der Zugriff auf 254 Server blockiert wurde. Zudem wurden die Passwörter von zwei weiteren Administratorkonten geändert, wodurch 3.284 zusätzliche Arbeitsstationen isoliert wurden. Während mehrerer Tage im Dezember 2023 schaltete Rhyne zufällige Server und Arbeitsstationen im Unternehmensnetzwerk ab.
Lösegeldforderung und Drohung mit wiederholten Ausfällen
Am 25. November schickte er seinen Kollegen eine Nachricht mit dem Betreff „Your Network Has Been Penetrated“. Darin erklärte er, die Server-Backups seien gelöscht worden, um eine Wiederherstellung der Daten unmöglich zu machen, und forderte das Unternehmen zur Zahlung von 20 Bitcoin auf, was damals etwa 750.000 Dollar entsprach. Außerdem drohte er, zehn Tage lang täglich 40 zufällige Server abzuschalten, falls das Lösegeld nicht gezahlt werde.
Aus der Strafanzeige geht hervor, dass Netzwerkverantwortliche gegen 16 Uhr Eastern Time Benachrichtigungen über die Zurücksetzung der Passwörter eines Domänenadministratorkontos und Hunderter Benutzerkonten erhielten. Anschließend stellten sie fest, dass alle anderen Konten der Domänenadministratoren gelöscht worden waren, wodurch ihnen die Administrationsrechte für die Unternehmensnetzwerke entzogen wurden.
Was ist für Sicherheitsteams wichtig?
Der Vorfall zeigt in der Praxis, wie groß der Schaden sein kann, den ein internes Konto mit weitreichenden Berechtigungen selbst ohne herkömmliche Dateiverschlüsselung verursachen kann. Der Angriff konzentrierte sich auf das Ändern von Passwörtern, das Löschen von Konten, das Abschalten von Geräten und das Angreifen von Backups – Maßnahmen, die ausreichten, um eine Unternehmensumgebung lahmzulegen und die Reaktionsteams daran zu hindern, schnell wieder die Kontrolle zu erlangen.
Die Ermittler stellten fest, dass Rhyne vor der Umsetzung des Plans nach Möglichkeiten gesucht hatte, Passwörter von Domänenbenutzern zu ändern, Konten zu löschen und Windows-Protokolle zu entfernen. Außerdem suchte er nach Befehlen, um Passwörter lokaler Administratoren vor Ort und aus der Ferne zu ändern sowie Computer über die Befehlszeile abzuschalten. Einzelheiten zur Abwehr des Unternehmens und zu den Mechanismen zur Erkennung der Aktivitäten werden im Ausgangsmaterial nicht genannt. Daher lässt sich weder die Wirksamkeit seiner Kontrollen noch der Grund für den fortbestehenden unbefugten Zugriff ableiten.
Das Urteil erfolgte nach der Festnahme von Rhyne im August 2024 und seiner Freilassung nach seinem ersten Erscheinen vor dem Bundesgericht. Die Quelle berichtete außerdem über ein separates Urteil im März gegen einen beauftragten Datenanalysten aus North Carolina, der zu zwei Jahren Haft verurteilt wurde, nachdem er sich der Erpressung seines Arbeitgebers Brightly Software um 2,5 Millionen Dollar schuldig bekannt hatte.