BlackCat/ALPHV vs. MGM Resorts: 100 Millionen Dollar durch einen Anruf

Der Vorfall

Am 11. September 2023 begannen bei MGM Resorts International – einem der größten Hotel- und Casino-Betreiber der Welt – die Systeme auszufallen. Spielautomaten stoppten, Hotel-Schlüsselkarten funktionierten nicht mehr, das Online-Buchungssystem ging offline, und Gäste mussten an der Rezeption stundenlang warten. Was zunächst wie ein technischer Ausfall aussah, entpuppte sich als einer der spektakulärsten Ransomware-Angriffe der Geschichte.

Hinter dem Angriff steckte die Ransomware-Gruppe BlackCat/ALPHV, die mit der Hackergruppe Scattered Spider zusammenarbeitete. Scattered Spider – eine Gruppe hauptsächlich junger, englischsprachiger Hacker – übernahm den initialen Zugang. Ihr Werkzeug war nicht technisch ausgereift: Ein einziger Anruf beim IT-Helpdesk von MGM genügte.

Die Auswirkungen waren verheerend: Zehn Tage lang waren die Systeme von MGM Resorts gestört. Casinos in Las Vegas – darunter das MGM Grand, das Bellagio und das Mandalay Bay – konnten nur eingeschränkt operieren. In seiner Quartalsmeldung an die US-Börsenaufsicht SEC bezifferte MGM den Gesamtschaden auf rund 100 Millionen US-Dollar, davon etwa 10 Millionen direkte Kosten für die Incident Response.

MGM weigerte sich, das Lösegeld zu zahlen – im Gegensatz zu Caesars Entertainment, das wenige Wochen zuvor von derselben Gruppe angegriffen worden war und 15 Millionen Dollar zahlte.

Wie der Angriff funktionierte

Der Angriff auf MGM Resorts ist ein Lehrbuchbeispiel für mehrstufige Angriffe, bei denen Social Engineering und technische Exploitation Hand in Hand gehen:

Stufe 1 – Aufklärung über LinkedIn: Die Angreifer von Scattered Spider durchsuchten LinkedIn nach Mitarbeitern von MGM Resorts. Sie identifizierten einen Mitarbeiter im IT-Bereich, sammelten persönliche Informationen und bereiteten ihren Anruf vor.

Stufe 2 – Social Engineering am Helpdesk: Ein Mitglied von Scattered Spider rief beim IT-Helpdesk von MGM an, gab sich als der identifizierte Mitarbeiter aus und bat um ein Passwort-Reset. Der Helpdesk-Mitarbeiter – im Glauben, einem Kollegen zu helfen – setzte das Passwort zurück. Der gesamte Vorgang dauerte angeblich nur zehn Minuten. Die Angreifer hatten nun gültige Zugangsdaten für das MGM-Netzwerk.

Stufe 3 – Laterale Bewegung: Mit den erbeuteten Zugangsdaten loggten sich die Angreifer in das Unternehmensnetzwerk ein. Sie escalierten ihre Berechtigungen und bewegten sich lateral durch die Infrastruktur. Dabei nutzten sie unter anderem Okta (MGMs Identity-Management-System), um Zugang zu weiteren Systemen zu erhalten. Auf den kompromittierten Workstations und Servern installierten sie Fernzugriffs-Tools und sammelten weitere Zugangsdaten.

Stufe 4 – Datenexfiltration: Bevor die eigentliche Ransomware zum Einsatz kam, kopierten die Angreifer große Mengen sensibler Daten: Kundendaten, persönliche Informationen, interne Dokumente. Diese Daten dienten als zusätzliches Druckmittel – selbst wenn MGM die Verschlüsselung ohne Lösegeld rückgängig machen konnte, drohten die Angreifer mit der Veröffentlichung der gestohlenen Daten.

Stufe 5 – Ransomware-Deployment: Scattered Spider übergab den Zugang an BlackCat/ALPHV, die ihre Ransomware im gesamten Netzwerk verteilten. Die ALPHV-Ransomware (auch bekannt als BlackCat, geschrieben in Rust) verschlüsselte Server, Workstations und kritische Infrastruktursysteme. Die ESXi-Hypervisoren, auf denen Tausende virtuelle Maschinen liefen, waren besonders betroffen.

Stufe 6 – Das Chaos: Die Verschlüsselung traf MGM ins Mark. Spielautomaten zeigten Fehlermeldungen, das Reservierungssystem fiel aus, Kreditkartenzahlungen funktionierten nicht, Hotel-Schlüsselkarten mussten manuell ersetzt werden, und das Treueprogramm M life Rewards war offline. Gäste berichteten von handgeschriebenen Quittungen und Warteschlangen, die sich durch die Lobby zogen.

Warum Virenscanner versagten

Der Angriff auf MGM demonstrierte, warum technische Sicherheitsmaßnahmen allein nicht ausreichen:

Social Engineering umgeht alle technischen Barrieren. Kein Virenscanner der Welt kann einen Helpdesk-Mitarbeiter daran hindern, ein Passwort zurückzusetzen. Der Angriff begann nicht mit einer Datei, einem Link oder einem Exploit – er begann mit einem Telefonanruf und menschlichem Vertrauen.

Legitime Zugangsdaten sind unsichtbar. Sobald die Angreifer ein gültiges Passwort hatten, nutzten sie reguläre Anmeldewege. Für Sicherheitssysteme sah der Zugriff aus wie ein normaler Mitarbeiter-Login. Es gab keine Malware zu erkennen, keine verdächtige Datei zu blockieren.

Laterale Bewegung über Identitätsmanagement. Die Angreifer nutzten Okta und andere Identitäts-Plattformen, die MGM selbst einsetzte. Sicherheitsprodukte, die den normalen Betrieb dieser Plattformen ermöglichen müssen, konnten den Missbrauch nicht von legitimer Nutzung unterscheiden.

Ransomware wurde erst spät eingesetzt. Die eigentliche Verschlüsselungs-Malware kam erst zum Einsatz, nachdem die Angreifer bereits volle Kontrolle über das Netzwerk hatten. Zu diesem Zeitpunkt hatten sie die Möglichkeit, Sicherheitsprodukte gezielt zu deaktivieren, bevor sie die Ransomware starteten.

Rust-basierte Ransomware. BlackCat/ALPHV war in Rust geschrieben – einer Programmiersprache, für die viele Sicherheitsprodukte noch keine ausgereiften Analysemodule hatten. Die Erkennung war dadurch zusätzlich erschwert.

So hätte Deep Freeze geschützt

Obwohl der MGM-Angriff primär die Serverinfrastruktur betraf, zeigt er ein Muster, das auch für Arbeitsplatzrechner höchst relevant ist:

Workstations als Einstiegspunkt werden neutralisiert. In den meisten Ransomware-Angriffen dient ein einzelner kompromittierter Arbeitsplatzrechner als Sprungbrett ins Netzwerk. Auf einer eingefrorenen Systempartition können Angreifer keine dauerhaften Fernzugriffs-Tools installieren. Nach dem Neustart ist der Rechner sauber – der Brückenkopf im Netzwerk verschwindet.

Nachgeladene Tools überleben keinen Reboot. Scattered Spider installierte auf kompromittierten Rechnern verschiedene Hacking-Tools, Passwort-Dumper und Fernzugriffs-Software. Deep Freeze würde all diese Tools beim nächsten Neustart entfernen. Die Angreifer könnten sich nicht dauerhaft im Netzwerk bewegen.

Die Ransomware wird auf Endgeräten gelöscht. Selbst wenn die ALPHV-Ransomware auf einen eingefrorenen Rechner gelangt und Dateien verschlüsselt – nach dem Neustart ist die Verschlüsselung rückgängig gemacht, und die Originaldateien sind wiederhergestellt. Auf Arbeitsplatzrechnern mit Deep Freeze gibt es nichts zu entschlüsseln, weil es nichts dauerhaft Verschlüsseltes gibt.

Der mehrstufige Angriff wird unterbrochen. Das Angriffsmuster – Zugang erlangen, Persistenz etablieren, lateral bewegen, Daten exfiltrieren, verschlüsseln – hängt davon ab, dass jede Stufe auf der vorherigen aufbauen kann. Wenn Deep Freeze die Persistenz auf Endgeräten verhindert, fehlt den Angreifern ein stabiler Stützpunkt im Netzwerk.

Regelmäßige Neustarts als Schutzstrategie. In einer Umgebung wie einem Casino, wo Arbeitsplatzrechner ohnehin am Ende jeder Schicht neu gestartet werden könnten, würde Deep Freeze automatisch alle eingeschleusten Komponenten entfernen – selbst wenn der initiale Social-Engineering-Angriff erfolgreich war.

Die Lehre

• Social Engineering ist die gefährlichste Angriffstechnik. Kein noch so guter Virenscanner hilft, wenn ein Helpdesk-Mitarbeiter ein Passwort an den falschen Anrufer herausgibt. Technische Sicherheit muss durch organisatorische Maßnahmen ergänzt werden.
• Ein einziger kompromittierter Account kann ein ganzes Unternehmen lahmlegen. MGMs 100-Millionen-Dollar-Schaden begann mit einem zehnminütigen Telefonat.
• Ransomware-Gruppen arbeiten zusammen. Scattered Spider übernahm den Zugang, BlackCat/ALPHV lieferte die Ransomware. Diese Arbeitsteilung macht Angriffe professioneller und schwerer abzuwehren.
• Die Weigerung, Lösegeld zu zahlen, ist teuer, aber richtig. MGM zahlte nicht – und musste dafür zehn Tage Ausfallzeit hinnehmen. Doch jede Zahlung finanziert den nächsten Angriff.
• Deep Freeze schützt Endgeräte auch nach erfolgreichem Social Engineering. Selbst wenn Angreifer gültige Zugangsdaten haben, können sie auf eingefrorenen Rechnern keine dauerhaften Werkzeuge installieren. Die eingefrorene Systempartition begrenzt den Schaden, auch wenn der menschliche Faktor versagt hat.