DragonForce

Zusammenfassung der Verwaltung

DragonForce ist als moderne, aggressive Positionierungs-Ransomware zu verstehen. Die Gruppe ist nicht nur ein Nutzlastname, sondern eine kriminelle Plattform, die Affiliates, Markendruck, Datenerpressung und technische Erneuerung vereint. Im Jahr 2025/2026 wurde DragonForce auch im Kontext von Wettbewerb und sich verändernden Affiliate-Ökosystemen erwähnt.

Das Hauptrisiko besteht darin, dass DragonForce normale Geschäftsrouten ausnutzen kann, um die Sichtbarkeit von bösartigem Datenverkehr zu verringern. Jüngste Berichte beschreiben den Missbrauch von Microsoft Teams TURN- Relais für Befehls- und Kontrollfunktionen in einem Angriffsszenario. Das ist defensiv: Kommunikation, die über bekannte Cloud- oder Collaboration-Dienste läuft, sollte nicht automatisch vertrauenswürdig sein.

Für Unternehmen bedeutet dies, dass die Erkennung nicht auf Malware-Hashes beschränkt sein sollte. DragonForce-ähnliche Aktivitäten erfordern Sichtbarkeit von Identität, SaaS/Collaboration-Datenverkehr, Outbound-Muster, Fernzugriff, Datastaging und Recovery-Tools. Wenn Sie nur Endpunktsignaturen verwenden, verpassen Sie möglicherweise die Vorbereitungsphasen.

Gruppierung und Entwicklung

DragonForce ist seit 2023 sichtbar und hat sich zu einem organisierteren Ransomware-Ökosystem entwickelt. Die öffentliche Berichterstattung beschreibt ein kartellähnliches Modell, bei dem Affiliates oder Partner Infrastruktur und Markendruck nutzen können.

Die Gruppe wurde in Spannungen von RansomHub und in größeren Schichten auf dem Ransomware-Markt erwähnt, wobei es sich nicht nur um interne kriminelle Dramen handelt; sie können Opfer treffen, wenn Tochtergesellschaften wechseln, mehrere Gruppen denselben Zugang behaupten oder Daten erneut erpresst werden.

DragonForce ist ein gutes Beispiel dafür, warum Akteursprofile nicht statisch sein sollten.Die technische Nutzlast, die Affiliate-Basis und die Druckstrategie können sich verschieben, während der Name gleich bleibt.

Operation und Angriffskette

Die Angriffskette folgt dem modernen Muster: Erstzugriff über Schwachstellen, Creditials, Social Engineering oder Access Broker; dann Entdeckung, Privilegierung, Datensammlung, Exfiltration und Auswirkungen. Der genaue Weg variiert je nach Affiliate.

Der gemeldete Einsatz von Teams TURN-Relays oder ähnlichen Relay-Mechanismen ist wichtig, weil der C2-Verkehr dann auf legitimer Kollaborationsinfrastruktur zu heben scheint. Verteidiger sollten sich daher das Verhalten ansehen: Welche Hostgespräche führen zu welcher Zeit, mit welchen Volumina und welche Prozesse starten die Verbindung?

DragonForce kann Druck durch Verschlüsselung, Leak-Site-Behauptungen und Bedrohungen mit der Veröffentlichung aufbauen.In einer Affiliate-Umgebung kann dasselbe Unternehmen später auch mit zweiter Erpressung oder Wiederverkauf von Zugriffen oder Daten konfrontiert sein.

Die Forschung sollte immer prüfen, ob der Akteur in der Lage gewesen wäre, Backups, Hypervisoren, Cloud-Administratoren, Speicher oder Identitätsmanagement durchzuführen.

Bekannte IOCs und Artefakte

Zu den Artefakten gehören DragonForce Leak-Site-Behauptungen, Lösegeldnotizen, verschlüsselte Dateien, Datataging, C2-Datenverkehr über ungewöhnliche Relais- oder Cloud-Routen, Remote Access Tooling und möglicherweise Go-basierte Tools wie in der jüngsten Berichterstattung über TURN-Missbrauch.

Der Missbrauch von Team- oder Cloud-Relays sollte nicht in eine blinde Blockierung von Microsoft-Diensten übersetzt werden.

IOC-Pfosten mit Quelle und Datum verwenden. die Ransomware-Gruppeninfrastruktur ändert sich schnell; Verhaltenskodex um C2 Cloaking, Datenastaging und Privilegierungsnutzung bleiben länger nutzbar.

Opfermuster und Lektionen

DragonForce Schadensfälle betreffen verschiedene Sektoren. Die wichtigste Lehre ist nicht ein einzelner Sektor, sondern die Kombination von technischem Stealth und Marktverhalten. Affiliates suchen Zugang und Druck; die Marke bietet Verhandlungsmacht.

Eine zweite Lektion ist, dass Collaboration-Plattformen Teil der Sicherheitsüberwachung sind. Teams, Relais, SaaS-Integrationen und Cloud-Verbindungen sind geschäftsbezogen, können aber auch missbraucht werden, um den Datenverkehr normal erscheinen zu lassen.

Eine Reklamation erfordert die Überprüfung, ob Daten allein veröffentlicht wurden, tatsächlich neu gestohlen, wiederverwendet oder von einem Partner in eine andere Gruppe übernommen wurden.

Wie man sich bewaffnet

Bauen Sie Erkennung auf ungewöhnliche Cloud- und Collaboration-Trafficmuster. Lay EDR, Proxy, Firewall, DNS und Identität nebeneinander sowie Forschungshosts, die sich als Relais oder Tunnel verhalten.

Stärkung der Identitäts- und Managementebenen. Affiliates leben von wiederverwendbaren Anmeldeinformationen und schnellem Privileg Building. MFA, PAM, Jump Hosts und Account Tiering begrenzen die Geschwindigkeit des Schadens.

Bereiten Sie sich auf die doppelte oder wiederholte Erpressung vor: Zeichnen Sie Datenklassifizierung, Exfiltrationserkennung, Protokollierungsspeicherung und Kommunikationsprozesse auf, damit Ansprüche schnell validiert werden können.

Spezifische Jagd

Beginnen Sie bei DragonForce mit Jagd auf versteckte C2 in der normalen Geschäftskommunikation. Suchen Sie nach Endpunktprozessen, die Verbindungen über Collaboration, Cloud oder Relay-Routen ohne aktiven Anruf, Besprechung oder Verwendung einer geeigneten Anwendung öffnen. Die Beziehung zum Prozessnamen, dem übergeordneten Prozess und der Zeit ist wichtiger als Domänenblockierung.

Überprüfen Sie Teams, Proxy, Firewall und EDR-Daten um Hosts herum, die hohen Relay-Verkehr erzeugen. Beachten Sie verschiedene Volumes, Dienstkonten, Server, die benutzerähnlichen Kommunikationsverkehr und Prozesse außerhalb von Standard-Microsoft-Pfaden generieren.

Suche nach Affiliate-Verhalten: Credential Dumping, Remote Execution, neue Dienste, RDP-hopping, Datenastaging und Zugriff auf Backup-Konsolen. DragonForce kann technisch kreativ sein, aber der Angriff muss immer noch Privilegien, Daten und Auswirkungen erreichen.

Exposition und Prävention

Die Expositionsprüfungen sollten Collaboration-Plattformen und SaaS nicht überspringen. Teams, Microsoft 365, OAuth Apps, Service Principals und Conditional Access bestimmen, ob auch normaler Cloud Traffic missbraucht werden kann.

Begrenzen Sie, welche Server direkt mit Cloud- und Collaboration-Diensten kommunizieren dürfen. Ein Dateiserver, Domänencontroller oder Backup-Server sollte normalerweise keine benutzerähnlichen Teams oder Relay-Muster zeigen. Abweichungen sind zu beachten.

Wenn sich ein Zugriff oder Datensatz mit einer kriminellen Gruppe ändert, muss die Wiederverwendung durch Token-Rotation, Passwort-Resets, Scoped Service Accounts und Datenklassifizierung eingeschränkt werden.

Quellen und Unsicherheit

Berichterstattung überTURN - Relaismissbrauch ist aktuell und wichtig, sollte aber nicht zu vereinfachenden Schlussfolgerungen führen.IOC ; die verdächtige Kombination von Host, Prozess, Volumen und Incident Phase ist.

DragonForce wird auch in Ökosystemkonflikten erwähnt, was für das Risiko einer doppelten Erpressung relevant ist, aber keine technischen Beweise dafür, dass ein Opfer von zwei Gruppen getroffen wurde.

Daher ist durch Beobachtung festzuhalten, ob es sich um eine Quellenaussage, einen Ökosystemkontext, ein Malware-Artefakt, das Netzwerkverhalten oder die eigene Telemetrie handelt.

Executive Scenario und SOC

Ein DragonForce-Szenario kann mit einer scheinbar normalen Cloudverbindung beginnen. SOC sieht Traffic zu bekannten Microsoft oder Relay-Infrastrukturen, während ein Endpunktprozess es als verdeckte C2-Route verwendet. Der Akteur verwendet anschließend Credials, um intern weiterzugehen.

Der Entscheidungspunkt ist, ob Cloud-Datenverkehr einen Kontext hat. Ein Team-Client auf einem Benutzer-Laptop während der Arbeitszeit ist normal; ein Serverprozess, der Relay-Datenverkehr direkt nach einer Privilegeskalation verwendet, nicht.

Für das Management ist das Risiko einer doppelten Erpressung besonders wichtig. Affiliate-Konflikte, Rebrandings und Wiederverkauf können dieselben Daten oder Zugriffe wiederverwenden. Ein Vorfall wird nur geschlossen, wenn Anmeldeinformationen, Tokens, Datenexposition und externe Ansprüche bearbeitet wurden.

Was der Besucher konkret überprüfen muss

Prüfen Sie, ob Cloud- und Collaboration-Logs verfügbar sind: Entra ID, Anmeldeprotokolle, Audit-Logs, Teams-bezogene Ereignisse, Proxylogs und Endpunkttelemetrie. Ohne diese Quellen ist der Missbrauch von Relais nach wie vor schwer zu unterscheiden.

Wenn Sie sehen, welche Server Cloud-Datenverkehr generieren können, erstellen Sie eine Basislinie pro Serverrolle. Ein Backup-Server, Dateiserver oder Domänencontroller sollte keine benutzerähnlichen Kollaborationsmuster haben.

Überprüfen Sie, ob der Affiliate-Switch in der Incident Response enthalten ist. Drehen Sie Passwörter, Pull-Tokens, schließen Sie den Anbieterzugriff und überwachen Sie Leckstellen auch nach technischer Wiederherstellung.

Zusammenhang mit Amuneth Exposition

Die Exposition sollte nicht nur eine klassische Internetexposition bei DragonForce aufweisen, sondern auch Cloud- und Identitätsrisiken in verständliche Handlungen umwandeln.

Die Berichterstattung sollte zeigen, welche Systeme über das Internet zugänglich sind, aber auch welche Managementketten dahinter stehen.

Die Scans helfen vor allem, die Diskussion von ... wir werden gehackt ... welche Route morgen einen Affiliate verwenden würde ... Das ist der richtige präventive Wert.

Zusätzliche Verteidigungshinweise

DragonForce fordert besondere Aufmerksamkeit für das Vertrauen in bekannte Plattformen. Viele Unternehmen behandeln den Datenverkehr mit großen Cloud-Anbietern als weniger verdächtig, aber genau dieses Vertrauen kann missbraucht werden. Daher ist die Unterscheidung zwischen Ziel und Verhalten: bekannter Bestimmungsort, unbekannter Prozess, seltsame Zeit und abnormales Datenvolumen immer noch misstrauisch.

Nehmen Sie auch rechtliche und kommunikative Vorbereitungen mit. Schneiderbildung und Affiliate-Konflikte ermöglichen es, ein Opfer nach dem ersten Anspruch noch einmal von einer anderen Partei kontaktiert zu werden. Erfassen Sie, wer die Erpressungskommunikation führt, wer Proben auswertet und wer entscheidet, ob Kunden oder Lieferanten proaktiv informiert werden.

Für technische Teams ist eine nützliche Übung: Simulieren Sie einen Host, der Daten über legitime Cloud-Routen und -Maßnahmen oder Proxy übermittelt.EDR undSIEM Wenn diese Korrelation fehlt,DragonForce -wie Stealth ist zu schwer zu sehen.

Kompromittierungsindikatoren (IOCs)

Indikatoren sind historische Beobachtungen, kein Beweis für eine aktuelle Infektion. Prüfen Sie Quelle, Alter und Kontext vor Erkennung oder Blockierung; legitime Verwaltungswerkzeuge können Fehlalarme auslösen.

Quellen

• TechRadar: DragonForce abusing Teams TURN relays
• Tom’s Hardware: DragonForce and ransomware turf war reporting
• Ransomware.live — DragonForce

Belege und Einschränkungen

Die Zuordnung beschreibt die Einschätzung der Quelle, keine verifizierte Identität. Ein Eintrag auf einer Leak-Seite allein belegt weder Verschlüsselung noch Datendiebstahl, eine bestimmte Schwachstelle oder eine Affiliate-Beziehung. Fehlende Informationen werden ausdrücklich benannt.