A támadás 2024. december 18-án, hajnali 02:14-kor kezdődött egy gondatlanul nyitva hagyott RDP-porton keresztül. A támadó ezt követően az alábbi időrendben terjeszkedett:
T+0 – Behatolás
Brute force támadás egy admin fiókra. A jelszó-házirend gyenge volt (12 karakter, MFA nélkül). 41 percen belül sikeres bejelentkezés.
T+2 óra – Felderítés
A támadó SoftPerfect Network Scannerrel feltérképezte a hálózatot. 60 szerver, 3 ESXi host, egy SAN tároló, és – kritikus pont – egy Veeam backup szerver, írási hozzáféréssel a backup tárolóhoz.
T+5 óra – Lateral movement
PsExec-kel a támadó adminisztrátorként eljutott a Veeam backupserverre. Itt elsőként a backup repository konfigurációt törölte, majd a backup láncot indító file-okat is megsemmisítette. A klasszikus „attack the backups first" stratégia.
T+11 óra – Kódolás
Reggel 06:00-tól a ransomware végigfutott a fájlszerveren és a SAN-on. A Royal variáns AES-256-tal kódolt, kombináltan ChaCha20-ral. A reggeli műszak nem tudott bejelentkezni.
T+3 nap – Felismerés és tárgyalás
A cég kapcsolatba lépett egy DFIR szakcéggel. Megállapították: a klasszikus mentés használhatatlan (a támadó letörölte), shadow copy nincs (mert a Royal alapból törli), az egyetlen használható verzió egy 11 napos szalagos mentés volt – részleges adatvesztéssel.
A változás: ViVeSec Box bevezetés
A cég 2025 januárjában telepítette a ViVeSec Box-ot. Az architektúra alapvetően változott: a mentési láncot már nem egy hagyományos backup szerver kezeli, hanem a hardenizált appliance. A Windows oldali admin hitelesítés kompromittálása nem ér el a ViVeSec Box immutable köteteihez (out-of-band menedzsment, RBAC, 4-szem elv).
A második tesztelés
A cég red-team szimulációs gyakorlattal újra végigjátszotta a támadási láncot. Eredmény: a támadó eljutott a Windows backup koordinátorig, de a ViVeSec Box immutable storage-ját nem tudta módosítani. Egy belső szabvány-mérésen az Instant Recovery 47 perc alatt visszaállította az operatív rendszereket – egyetlen napos veszteség nélkül.
A különbség nem a gyorsabb mentésben van. A különbség abban, hogy a támadó akkor sem tud törölni, ha mindent feltört a Windows oldalon.