Die Antwort vorweg: Storm-2570 ist ein Akteur, bei dessen Angriffen Microsoft die Ransomware-Familien Qilin, DragonForce, Anubis und BERT beobachtet hat. Noch bevor die Dateiendungen verschlüsselter Dateien einen Hinweis liefern, lässt er sich an nicht eingeplanten Fernwartungswerkzeugen, Zugriffen auf Active Directory, Änderungen an Schutzmechanismen, dem massenhaften Einsatz von PsExec und ausgehenden Datenübertragungen erkennen.
Am 24. September 2026 veröffentlichte Microsoft Threat Intelligence eine Analyse des Akteurs Storm-2570, den das Unternehmen seit April 2025 beobachtet. Bei den einzelnen untersuchten Angriffen wechselte die eingesetzte Ransomware, die innerhalb der kompromittierten Netzwerke verwendeten Werkzeuge und Vorgehensweisen wiederholten sich jedoch. Microsoft registrierte Qilin, DragonForce, Anubis und BERT. Es handelte sich also nicht um ein einziges Erpressungsprogramm unter vier Namen, sondern um mehrere Einsätze mit gemeinsamen Merkmalen vor der Datenverschlüsselung. (Microsoft Threat Intelligence, 24. 9. 2026)
Für Unternehmen ist die zeitliche Abfolge entscheidend. Die Lösegeldforderung und die Endung verschlüsselter Dateien werden erst sichtbar, wenn der Schaden bereits eingetreten ist. Ein neuer Fernwartungsdienst, der Einsatz von ntdsutil, eine geänderte Defender-Konfiguration oder PsExec, das anhand einer Computerliste ausgeführt wird, können schon früher auffallen.
Was vor der Verschlüsselung der Dateien geschieht
Storm-2570 nutzte die legitimen Fernwartungswerkzeuge Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent und NinjaRMM. Der Name eines Programms allein ist kein Beweis für einen Angriff. Dieselben Werkzeuge können rechtmäßig von internen Administratoren oder einem beauftragten IT-Dienstleister eingesetzt werden.
Verdächtig ist eine Installation ohne bekannten Verantwortlichen, außerhalb des genehmigten Verfahrens oder auf Geräten, auf denen das betreffende Werkzeug nicht vorgesehen ist. Microsoft beschrieb außerdem umbenannte Varianten von MeshAgent, deren Namen auf die angegriffene Organisation verwiesen. Eine Suche allein anhand des Dateinamens reicht daher nicht aus.
| Angriffsphase | Was Microsoft beobachtete | Was das Unternehmen prüfen sollte |
|---|---|---|
| Fernsteuerung | Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent, NinjaRMM | Neue Dienste und Agenten ohne genehmigten Verantwortlichen |
| Netzwerkerkundung | NetScan, Nmap und weitere Werkzeuge zum Auffinden von Geräten und Diensten | Scans mehrerer Adressen von einem Rechner aus, der üblicherweise keine Scans durchführt |
| Zugriff auf Konten | ntdsutil, Mimikatz, LaZagne, pypykatz | Nicht eingeplante Zugriffe auf Active Directory und NTDS.dit |
| Schwächung des Schutzes | Deaktivierung der Defender-Überwachung, neue Ausnahmen | Änderungen an Sicherheitsrichtlinien außerhalb der kontrollierten Verwaltung |
| Bewegung zwischen Geräten | PsExec, Impacket, NetExec, Skripte für RDP | Massenhafte Fernausführung auf Arbeitsstationen und Servern |
| Datendiebstahl | Rclone, s5cmd | Neue Cloud-Ziele und ungewöhnliche ausgehende Datenübertragungen |
Microsoft beobachtete den Einsatz von ntdsutil zur Beschaffung von Daten aus Active Directory, Eingriffe in Microsoft Defender einschließlich einer Ausnahme für C:\PerfLogs sowie PsExec, das eine Geräteliste aus der Datei @ip.txt verarbeitete. Für die Übertragung von Daten aus der Organisation heraus wurden außerdem Rclone und s5cmd verwendet. (Microsoft Threat Intelligence, 24. 9. 2026)
Wann Sie nicht unüberlegt eingreifen sollten und was wir tun
Die bloße Deinstallation eines verdächtigen Programms beendet einen Vorfall nicht zwangsläufig. Zugleich können dadurch Spuren verloren gehen, die zur Ermittlung des Angriffsumfangs erforderlich sind. Brechen Sie eigenständige Maßnahmen insbesondere dann ab, wenn:
- ein unbekannter RMM-Agent auf einem Domänencontroller, Server oder Administratorrechner aufgetaucht ist,
- Sie neben einem neuen Dienst auch Änderungen am Defender, den Einsatz von
ntdsutiloder einen Zugriff aufNTDS.ditfeststellen, - PsExec auf mehreren Geräten ausgeführt wurde oder Rclone beziehungsweise s5cmd größere Datenmengen an ein unbekanntes Ziel übertragen haben.
Bei der Lösung von IT-Sicherheitsproblemen für Unternehmen gehen wir in drei Schritten vor:
- Bewertung und Eindämmung der Auswirkungen: Wir erfassen Zeitpunkt, Gerät, Konto, Dienst und Netzwerkverbindungen und schlagen eine sichere Trennung der betroffenen Systeme vor.
- Ermittlung des Umfangs: Wir vergleichen Dienste, Prozesse, Konten und Protokolle über Arbeitsstationen und Server hinweg und untersuchen einen möglichen Diebstahl von Zugangsdaten.
- Behebung: Wir erstellen ein konkretes Vorgehen zum Entfernen fremder Fernzugriffe, Ändern betroffener Passwörter, Wiederherstellen der Sicherheitsrichtlinien und Überprüfen der Sicherungen.
Falls bereits Daten verschlüsselt wurden, nehmen Sie keine unüberlegten Änderungen an den betroffenen Systemen vor. Eine praktische Reihenfolge der Schritte fasst der Artikel Ransomware im Unternehmen: die ersten 24 Stunden zusammen.
Betrifft das auch kleine Unternehmen in Tschechien?
Microsoft beschreibt Angriffe auf Organisationen in den Vereinigten Staaten, Kanada, dem Vereinigten Königreich, Spanien, den Niederlanden und Puerto Rico. Zu den betroffenen Branchen zählt das Unternehmen unter anderem das Gesundheitswesen, das Bildungswesen, die öffentliche Verwaltung, den Finanzsektor, die Energiewirtschaft, den Einzelhandel, die IT, die Fertigungsindustrie und den Verkehr. Der Weg des Erstzugriffs ist sowohl laut Microsoft als auch nach der Zusammenfassung von Forensix Intelligence unbestätigt. (Microsoft Threat Intelligence, 24. 9. 2026; Forensix Intelligence, 26. 9. 2026)
Aus diesen beiden Quellen lässt sich nicht ableiten, dass Storm-2570 ein tschechisches Unternehmen angegriffen hat. Die Kontrollpunkte sind jedoch weder vom Land noch von der jeweiligen Ransomware abhängig. Auch ein kleines Unternehmen muss wissen, wer Fernwartungssoftware installieren darf, auf welchen Geräten sie ausgeführt werden darf und wie sich Änderungen erkennen lassen.
Was Sie zuerst überprüfen sollten
Beginnen Sie mit einer Liste der erlaubten Fernzugänge. Erfassen Sie für jeden davon:
- den Namen des Programms und den Betreiber des Dienstes,
- die verantwortliche Person im Unternehmen,
- den Dienstleister, der das Programm verwendet,
- die Geräte, auf denen es ausgeführt werden darf,
- die Konten und die Art der Mehrfaktor-Authentifizierung,
- das Datum und den Grund der Installation.
Vergleichen Sie diese Liste anschließend mit den tatsächlich installierten Diensten und laufenden Prozessen. Wenn das Unternehmen einen bestimmten MeshAgent genehmigt hat, benötigen parallel vorhandene Installationen von Atera, ScreenConnect oder Splashtop einen nachweisbaren Verantwortlichen und Zweck. MeshAgent ist an sich keine Ransomware; Warnsignale sind eine unbekannte Herkunft, eine Umbenennung oder der Einsatz außerhalb des genehmigten Umfangs.
Das Monitoring sollte mindestens auf Folgendes hinweisen:
- die Installation einer neuen Anwendung oder eines neuen Systemdienstes zur Fernwartung;
- die Deaktivierung des Schutzes von Microsoft Defender oder die Einrichtung einer neuen Ausnahme;
- den nicht eingeplanten Einsatz von
ntdsutilund den Zugriff aufNTDS.dit; - die Ausführung von PsExec auf einer größeren Zahl von Arbeitsstationen oder Servern;
- die Ausführung von Rclone oder s5cmd und ungewöhnliche ausgehende Datenübertragungen.
Verlassen Sie sich nicht allein auf Dateinamen. Überwachen Sie das Anlegen neuer Dienste, den Herausgeber und die Signatur des Programms, das bei der Installation verwendete Konto, die Zielgeräte und das Netzwerkverhalten. Welche Bereiche eine solche Überwachung in einem kleinen Unternehmen abdecken sollte, erläutert der Artikel IT-Monitoring: Was kleine Unternehmen überwachen sollten.
Wenn Sie ein nicht genehmigtes RMM-Werkzeug finden
Notieren Sie zunächst das Gerät, den Namen des Dienstes, den Programmpfad, den Installationszeitpunkt, die laufenden Prozesse, die verbundenen Adressen und das Konto, unter dem der Dienst ausgeführt wird. Entscheiden Sie erst danach über eine Isolierung oder Deinstallation. Das Abschalten eines einzelnen Agenten behebt weder gestohlene Zugangsdaten noch weitere Zugänge, die ein Angreifer möglicherweise eingerichtet hat.
Microsoft empfiehlt, die Passwörter der Konten zu ändern, mit denen ein nicht genehmigtes RMM-Werkzeug installiert wurde. Wurde der Agent unter einem Systemkonto installiert, können laut Microsoft weitere Untersuchungen erforderlich sein. Das Unternehmen empfiehlt außerdem Mehrfaktor-Authentifizierung für genehmigte Fernverwaltungssysteme, den Schutz von Sicherheitseinstellungen vor unbefugten Änderungen sowie die Beschränkung der Bewegung zwischen Geräten nach dem Prinzip der geringsten Rechte. (Microsoft Threat Intelligence, 24. 9. 2026)
Überprüfen Sie auch die Administratorkonten. Es muss nachvollziehbar sein und regelmäßig kontrolliert werden, wer Arbeitsstationen, Server, Active Directory und Sicherungen verwalten darf. Ein praktisches Vorgehen bietet das Audit der Zugriffsrechte im Unternehmen.
Was dieser Fall nicht belegt
Die veröffentlichte Analyse bestätigt nicht, wie Storm-2570 ursprünglich in die Netzwerke gelangte. Daraus lässt sich daher nicht ableiten, dass bei jedem beschriebenen Angriff Phishing, eine nicht behobene Sicherheitslücke oder ein gestohlenes Passwort die Ursache war.
Ebenso bedeutet das Vorhandensein von MeshAgent, Atera oder ScreenConnect nicht automatisch, dass ein Angriff stattfindet. Entscheidend ist, ob das Werkzeug in der unternehmenseigenen Liste aufgeführt ist, einen bekannten Verantwortlichen hat und nach dem genehmigten Verfahren installiert wurde.
Die wichtigste Lehre besteht nicht darin, nach einer einzelnen Ransomware-Marke zu suchen. Entscheidend ist, Abweichungen zu erkennen: einen neuen Fernzugriff, ungewöhnliche Zugriffe auf Active Directory, eine Schwächung der Schutzmechanismen, massenhafte Bewegungen zwischen Computern oder ausgehende Datenübertragungen. Gerade diese Veränderungen können sichtbar werden, bevor Dateien verschlüsselt werden und eine Lösegeldforderung erscheint.
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).