Im vergangenen Jahr haben wir im Security Operations Center von ACS einen klaren Trend beobachtet: Ransomware-Gruppen zielen längst nicht mehr nur darauf ab, „einzudringen und zu verschlüsseln“, sondern bauen zunehmend methodische Kampagnen auf, mit klar erkennbaren und wiederkehrenden Phasen.
In diesem Kontext ermöglicht die Analyse von Sicherheitsvorfällen anhand der TTP (Tactics, Techniques and Procedures), die operative Logik des Angreifers zu rekonstruieren, Ereignisse miteinander zu verknüpfen und Alerts in eine stimmige Abfolge zu überführen, die sowohl für die Incident Response als auch zur Stärkung der Prävention wertvoll ist.
Was sind TTP im Kontext der Cybersecurity?
Wenn wir von TTP sprechen, beschreiben wir, wie ein Akteur im Rahmen einer Kampagne vorgeht. Die Taktiken definieren das Ziel einer Phase, die Techniken erklären die Methode, und die Vorgehensweisen sind die konkrete Abfolge von Schritten, Werkzeugen und beobachtbaren Verhaltensmustern. Kurz gesagt: weniger „isolierte Indikatoren“, mehr Kontext.
Wozu dienen TTP in der Cybersecurity?
Diese Methodik hilft dabei, eine Kampagne bereits vor der Verschlüsselung zu erkennen, zu verstehen, an welchen Stellen Kontrollen umgangen werden, und das Monitoring auf Tools und Techniken zu priorisieren, die in realen Vorfällen tatsächlich wiederkehren.
Initial Access: wie sie eindringen
In den meisten Fällen erfolgt der initiale Zugriff über Phishing, kompromittierte Zugangsdaten oder Schwachstellen in Firewalls und exponierten Services. Entscheidend ist dabei, dass der Angreifer häufig versucht, so „normal“ wie möglich einzudringen, um im legitimen Traffic und in regulären Abläufen unterzugehen.
Beobachtete Loader, Stealer und RATs (am häufigsten):
- CVE-2025-40596 e CVE-2025-40597
- Lumma Stealer
- Vidar Stealer
- StealC
- Rhadamanthys
- Remcos RAT
- Modified ValleyRAT
Wiederkehrende Beobachtung: Gestohlene Zugangsdaten werden häufig genutzt, um auf exponierte SSL-VPNs zuzugreifen.
Reconnaissance: wie sie das Netzwerk auskundschaften
Nach dem Zugriff ist die Aufklärung meist schnell und pragmatisch: Es werden Hosts, Dienste, Freigaben und mögliche „Brücken“ für weitere Bewegungen identifiziert. Hier sehen wir häufig den Einsatz legitimer Tools, weil sie auch in IT-Umgebungen verbreitet sind.
Am häufigsten verwendete Tools:
- Advanced Port Scanner
- Soft Perfect Network Scanner
- Angry IP Scanner
Defense Evasion: wie sie EDR/XDR/AV umgehen
Im Jahr 2025 beobachten wir mehr Fokus auf die Evasion-Phase: Bevor der Angreifer bei lateralem Movement und Exfiltration beschleunigt, versucht er, Sichtbarkeit und Reaktionsfähigkeit zu reduzieren. Eine wiederkehrende Technik ist BYOVD (Bring Your Own Vulnerable Driver).
Beobachtete Treiber im Einsatz:
- TFSysMon.sys
- Wsftprm.sys
- ThrottleStop.sys
- BdApiUtil64.sys
- K7RKScan.sys
- Wamsdk.sys
Zusätzlich wurde der Einsatz von EDR-Freeze beobachtet.
Dump Credentials: wie sie Zugangsdaten auslesen
Das Auslesen von Credentials bleibt ein zentraler Hebel: Sobald der Angreifer verwertbares Material in der Hand hat, wird die Ausbreitung deutlich schneller und „sauberer“.
Am häufigsten eingesetzte Tools:
- Mimikatz
- LaZagne
- PPLDump
- Impacket
Lateral Movement: wie sie sich im Netzwerk bewegen
Diese Phase wirkt häufig wie klassische Systemadministration, insbesondere wenn die Umgebung weitreichende Berechtigungen und nur geringe Segmentierung aufweist. Genau hier macht Korrelation über mehrere Ereignisse hinweg den Unterschied.
Wiederkehrende Tools und Techniken:
- Impacket (PsExec, WMIExec, SMBExec)
- PassTheHash
- PassTheTicket
- PsExec (Sysinternals)
Persistence: wie sie im Netzwerk verbleiben
Neben klassischen Methoden (Registry und Scheduled Tasks) nimmt der Einsatz legitimer RMM-Tools zu: Sie sind stabil, weit verbreitet und können, wenn sie nicht sauber gesteuert werden, zu einer „stillen“ Persistenz werden.
Persistenz über:
- AutoRun Registry
- Scheduled Tasks
Beobachtete C2-Frameworks:
- CobaltStrike, BruteRatel, Sliver, Havoc, Empire, Covenant, Mythic, Merlin
Häufig verwendete RMM-Tools:
- AnyDesk
- TeamViewer
- RustDesk
- SplashTop
- AteraAgent
- ConnectWise
- SimpleHelp
- Zoho Assist
Exfiltration: wie sie Daten exfiltrieren
Die Exfiltration erfolgt oft mit legitimen Transfer- oder Sync-Tools. Fehlen Egress-Kontrollen und Kontext auf den Endpoints, kann diese Phase unbemerkt bleiben, bis es zu spät ist.
Am häufigsten verwendete Tools:
- RClone
- MegaSync
- FileZilla
- WinSCP
- FreeFileSync
- CyberDuck
- S3Browser
- Custom SFTP Tools
In den meisten Fällen erfolgt die Exfiltration auf Server, die von den Angreifern kontrolliert werden, teils auch unter Nutzung von Diensten wie MegaUpload und S3-Buckets.
Die Bedeutung von TTPs in der Arbeit eines SOC
In ihrer Gesamtheit liefern diese TTP ein klares Bild der Kampagne: initialer Zugriff, Aufklärung, Umgehung von Schutzmechanismen, Credential Access, laterale Bewegung, Persistenz und Exfiltration. Gerade diese Kontinuität macht das TTP-Modell zu einem praxisnahen Werkzeug, weil es hilft, Muster zu erkennen, nächste Schritte zu antizipieren und Detection- sowie Containment-Aktivitäten gezielt zu priorisieren.
Die hier beschriebenen Techniken und Verhaltensweisen werden vom Security Operations Center (SOC)und vom Threat-Intelligence-Team von Cyberlys blockiert oder engmaschig überwacht.
