Conti

Managementzusammenfassung

Conti ist eines der wichtigsten historischen Ransomwareprofile, weil die Operation im grossen Massstab zeigte, wie professionelles RaaS funktionieren kann. CISA, FBI, NSA und USSS veroeffentlichten AA21-265A mit Indikatoren und TTPs.

Fuer Besucher ist Conti vor allem als Modell moderner Ransomwareketten nuetzlich. Der Name selbst ist historisch, aber die Arbeitsweise lebt weiter: Phishing, Loader, Command-and-Control, Credential Access, laterale Bewegung, Datenexfiltration und Impact.

Die wichtigste Uebersetzung in Policy ist, dass Praevention in Schichten funktionieren muss. Mail Security allein reicht nicht, MFA allein reicht nicht und Backups allein reichen nicht.

Gruppe und Entwicklung

Conti galt als RaaS-Modell mit professioneller Organisation, Affiliates und Verhandlungen. Die Gruppe zielte auf kritische Infrastruktur und andere Organisationen mit hohem Wiederherstellungsdruck.

Conti ist auch wegen der Verbindung zu Malware-Oekosystemen wichtig. TrickBot und IcedID waren nicht nur einzelne Malwarefamilien; sie konnten als Zugangspfad in Richtung Ransomware dienen.

Das Profil muss historisch und praktisch zugleich sein. Ziel ist nicht zu behaupten, dass Conti heute exakt dieselbe Form hat, sondern zu zeigen, wie eine Ransomwarekette von erster Mail bis Business Impact verlaeuft.

Angriffsmuster aus oeffentlichen Faellen

Die Advisory beschreibt malicious Word attachments mit embedded scripts, die Malware wie TrickBot, IcedID und/oder Cobalt Strike herunterladen oder droppen koennen.

Nach Initial Access geht es um Geschwindigkeit und Privilegien. Suchen Sie nach Credential Dumping, PowerShell, Remote Services, Cobalt-Strike-Beacons, neuen Services und Admin-Share-Nutzung.

Datenexfiltration und Double Extortion sind Teil des Modells. Pruefen Sie Staging, Kompression, Cloudtransfer, ausgehendes Volumen und Zugriff auf sensible Shares.

Bekannte IOCs und Artefakte

TrickBot, IcedID und Cobalt Strike sind Kernartefakte im Conti-Advisory-Kontext. Ein Treffer auf eine dieser Komponenten muss als moegliche Ransomwarevorbereitung eskaliert werden.

Malicious Word attachments mit embedded scripts sind ein konkretes Initial-Access-Muster. Suchen Sie nach Office Child Processes, Script Execution, Downloaders und unerwarteten Netzwerkverbindungen aus User Context.

Conti-IOCs aus AA21-265A sind fuer Retro-Hunting brauchbar. Nutzen Sie zusaetzlich Verhaltensdetektion vom Loader zur lateralen Bewegung.

Praktische Detektionslogik

Bauen Sie eine Kettendetektion von Office zu Loader zu Beacon. Word oder Excel, das Scripts startet, Payloads herunterlaedt und danach Cobalt-Strike-aehnlichen Verkehr erzeugt, muss als hohes Risiko gelten.

Pruefen Sie nach jedem TrickBot- oder IcedID-Treffer, ob Domain Discovery, Credential Dumping, Remote Service Creation oder RDP folgt.

Suchen Sie nach schneller Privilege Escalation: neue Domain Admins, Group-Policy-Aenderungen, Serviceaccounts mit interaktivem Login und Admin Shares von ungewoehnlichen Hosts.

Konkrete Hardening-Prioritaeten

Behandeln Sie Conti nicht nur als Malwarename, sondern als Angriffskette. Die erste sichtbare Indicator kann eine Ransom Note sein, aber die verteidigbaren Phasen liegen frueher.

Speichern Sie Logs zentral fuer Identity, VPN, EDR, Firewall, Windows Event Logs, Remote Access und Backupplattformen.

Testen Sie Recovery so, als waeren Domain Credentials kompromittiert. Backups, Hypervisoren und Storageverwaltung brauchen getrennte Accounts und Netzwerkpfade.

Blockieren oder beschraenken Sie Office-Makro- und Script-Ausfuehrung aus Internetdokumenten.

Behandeln Sie Loaderinfektionen als Pre-Ransomware. Credential Reset, Host Isolation und Hunting nach lateraler Bewegung sollten Standard sein.

Identität, Namen und Zuordnung

Eine belastbare Bewertung von Conti beginnt mit einer eindeutigen Zuordnung. Im lokalen Dossier sind folgende Namen oder Aliasnamen verzeichnet: Conti ransomware. Ein Alias erleichtert die Suche, belegt aber keine gemeinsamen Betreiber. Ähnliche Namen, wiederverwendete Logos und vergleichbare Erpressungstexte reichen dafür nicht aus. Bewahren Sie die ursprüngliche Schreibweise und unterscheiden Sie veröffentlichende Partei, Schadsoftwarefamilie und mutmaßliche Angreifer. Diese Rollen können verschiedene Personen übernehmen. Ein Vorfall darf nicht allein aufgrund eines ähnlichen Dateinamens einer Gruppe zugerechnet werden. Jede vermutete Verbindung benötigt eine eigene nachvollziehbare Quelle und einen zeitlichen Bezug. Neue Erkenntnisse müssen diese Zuordnung gegebenenfalls korrigieren können.

Zeitliche Einordnung der Beobachtungen

Für Conti ist das Registrierungsdatum 2020-07-31 verfügbar; der Metadatenstand stammt vom 2026-09-15. Diese Daten beschreiben den Eintrag, nicht den nachgewiesenen Beginn krimineller Aktivitäten. Eine Gruppe kann bereits vorher aktiv gewesen sein, und eine Veröffentlichung kann einen älteren Vorfall betreffen. Trennen Sie vermutetes Eindringen, Datenzugriff, Entdeckung durch das Opfer, Veröffentlichung durch den Erpresser und Beobachtung durch den Überwachungsdienst. Auch das Prüfdatum des Profils hat eine andere Bedeutung. Wandeln Sie diese Zeitpunkte nicht stillschweigend ineinander um. Bei widersprüchlichen Quellen bleiben beide Beobachtungen mit ihrer Herkunft sichtbar, bis zusätzliche Belege eine genauere Chronologie ermöglichen.

Opfermeldungen und mögliche Zielmuster

Der Opferbereich zu Conti zeigt höchstens fünf unterschiedliche Organisationen aus der gespeicherten Meldungshistorie. Er ist ein Ausschnitt, keine vollständige Vorfallstatistik. Öffentliche Listen können Opfer auslassen, alte Angaben wiederholen oder den Zugriff übertreiben. Mehrere Organisationen derselben Branche oder desselben Landes beweisen deshalb noch keine gezielte Kampagne. Vergleichen Sie insbesondere gemeinsame Dienstleister, Fernzugänge, öffentlich erreichbare Dienste und sensible Datenflüsse mit der eigenen Organisation. Eine Meldung über einen Lieferanten rechtfertigt eine Überprüfung über bekannte Ansprechpartner. Sie belegt nicht, dass dessen Kunden ebenfalls betroffen sind. Bestätigte Erklärungen und Behauptungen der Erpresser müssen getrennt erkennbar bleiben.

Belegqualität und Verlässlichkeit

Bewerten Sie das Quellenmaterial zu Conti für jede einzelne Beobachtung. Ein technischer Bericht kann eine Datei oder einen Vorfall belegen, ohne dieselbe Vorgehensweise bei allen Beteiligten nachzuweisen. Eine Leak-Seite dokumentiert zunächst eine öffentliche Behauptung, nicht den tatsächlichen Zugang. Trennen Sie Zitate, Einschätzungen von Forschern und eigene Protokolldaten in den Arbeitsnotizen. Halten Sie fest, welche Schlussfolgerung sich bei einer Korrektur oder Zurücknahme der Quelle ändern würde. Verlässlichkeit ergibt sich aus Qualität und Unabhängigkeit der Belege, nicht aus der Bekanntheit des Namens. Fehlende technische Berichte sind eine Wissenslücke, weder ein Nachweis besonderer Fähigkeiten noch ein Beleg für Harmlosigkeit.

Kompromittierungsindikatoren (IOCs)

Indikatoren sind historische Beobachtungen, kein Beweis für eine aktuelle Infektion. Prüfen Sie Quelle, Alter und Kontext vor Erkennung oder Blockierung; legitime Verwaltungswerkzeuge können Fehlalarme auslösen.

Quellen

• CISA Alert AA21-265A: Conti Ransomware
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — Conti

Belege und Einschränkungen

Die Zuordnung beschreibt die Einschätzung der Quelle, keine verifizierte Identität. Ein Eintrag auf einer Leak-Seite allein belegt weder Verschlüsselung noch Datendiebstahl, eine bestimmte Schwachstelle oder eine Affiliate-Beziehung. Fehlende Informationen werden ausdrücklich benannt.