Conti Ransomware: Erkennung, Sofortmaßnahmen und Datenwiederherstellung

So erkennen Sie Conti

• Dateien erhalten die Endung .CONTI. Ob die Endung angehängt oder der Dateiname vollständig ersetzt wird, kann je nach Variante abweichen.
• In betroffenen Verzeichnissen liegt typischerweise die Datei CONTI_README.txt. Kopieren Sie eine Ransom Note als Beweismittel, statt sie auf produktiven Systemen zu öffnen oder zu löschen.
• Doppelte Erpressung: Datendiebstahl (häufig mit rclone) und Verschlüsselung mit Veröffentlichungsdrohung.^[1]
• Erstzugang u. a. über Spearphishing (Nachladen von TrickBot, IcedID oder Cobalt Strike), gestohlene oder schwache RDP-Zugangsdaten und Schwachstellen; Cobalt Strike für Lateral Movement.^[1][2]
• Schnelle Verschlüsselung über I/O Completion Ports; verbreitet sich über SMB auf Netzwerkfreigaben und andere Hosts.^[1][2]
• Löscht Volumenschattenkopien per vssadmin.^[1][2]
• Der Quellcode wurde von anderen Akteuren weiterverwendet (z. B. LockBit Green).^[5]
• In den Ransom Notes dokumentierte Kontaktadressen können bei der Zuordnung helfen. Nehmen Sie keinen Kontakt auf, bevor Incident Response und Geschäftsführung das Vorgehen abgestimmt haben.

Sofortmaßnahmen bei Conti

1. Isolieren statt löschen: Betroffene Systeme vom Netzwerk trennen (LAN, WLAN, VPN). Ob ein System ausgeschaltet wird, hängt vom Szenario ab: Beim Ausschalten gehen flüchtige Spuren im Arbeitsspeicher verloren, bei laufender Verschlüsselung kann sofortiges Abschalten dennoch richtig sein.
2. Verschlüsselte Originale nicht verändern: Keine Umbenennung von .CONTI-Dateien, kein Cleanup-Tool und keine Neuinstallation auf den Originaldatenträgern.
3. Merkmale dokumentieren: Ransom Note (CONTI_README.txt), Dateiendung, Zeitpunkt der ersten Auffälligkeit und betroffene Systeme festhalten.
4. Datenabfluss annehmen: Für diese Familie ist Double Extortion belegt. Firewall-, Proxy- und Cloud-Logs auf ungewöhnliche Uploads sichern und Datenschutzbeauftragte früh einbinden (DSGVO-Meldefrist 72 Stunden).
5. Backups schützen: Backup-Repositories nicht mit kompromittierten Systemen verbinden und Zugangsdaten zum Backup-System ändern – von einem sauberen Gerät aus.
6. Logs sichern: Windows-Ereignisprotokolle, EDR-Telemetrie, Firewall- und VPN-Logs exportieren, bevor sie rotieren.
7. Zwei Fragen getrennt klären: Wer dämmt den Angriff ein (Incident Response)? Wer prüft die Wiederherstellbarkeit der Daten (Datenrettung)?

Technische Merkmale

Kann Conti entschlüsselt werden?

Variantenabhängig

Ob sich Conti entschlüsseln lässt, hängt von der konkreten Variante ab.^[4]

• RakhniDecryptor (Kaspersky): Nur für eine modifizierte Conti-Variante (entdeckt Dezember 2022), für die 258 private Schlüssel in geleakten Daten auftauchten (Tool veröffentlicht März 2023). Für das ursprüngliche Conti ist kein allgemeiner Decryptor dokumentiert.

Laut Datenbestand kombiniert Conti symmetrische Verschlüsselung mit einem asymmetrischen Verfahren (AES (256) + RSA (4096)). Ohne den privaten Schlüssel der Angreifer ist ein Brute-Force-Angriff auf solche Verfahren praktisch aussichtslos. Erfolgreiche Entschlüsselungen beruhen in der Regel auf Implementierungsfehlern oder sichergestellten Schlüsseln.

Decryptoren immer zuerst an Kopien testen und nur aus seriösen Quellen beziehen, etwa über das Projekt No More Ransom. Angebliche Decryptoren aus Foren oder Videos sind häufig selbst Schadsoftware.

Mehr dazu: Ransomware entschlüsseln – Möglichkeiten und Grenzen.

Typische Techniken (MITRE ATT&CK)

Diese Techniken sind für Conti dokumentiert. Sie helfen IT-Teams, Logs und EDR-Daten gezielt zu prüfen, und zeigen, an welchen Stellen Schutzmaßnahmen greifen.

Quelle: MITRE ATT&CK: Conti (S0575)

Recovery-Optionen

Welche Methode greift, hängt vom Schadensbild ab. Keine der folgenden Optionen ist in jedem Fall möglich – sie sollten aber geprüft werden, bevor über eine Lösegeldzahlung nachgedacht wird.

Basisdaten aus dem Ransomware-Reverse-Datenbestand, redaktionell ergänzt und mit den genannten Quellen abgeglichen.