Play
Ransomware-Gruppe mit Fokus auf Exchange-Schwachstellen und öffentliche Einrichtungen.
Play (auch PlayCrypt) ist seit Juni 2022 aktiv und hat sich auf die Ausnutzung von Microsoft Exchange-Schwachstellen spezialisiert. Die Gruppe hat zahlreiche Unternehmen und öffentliche Einrichtungen in Europa angegriffen, darunter die Stadt Antwerpen, den IT-Dienstleister Rackspace und mehrere Kommunen im DACH-Raum.
Exchange-Server als Ziel
Play ist bekannt für die Ausnutzung von ProxyNotShell-Schwachstellen (CVE-2022-41040, CVE-2022-41082) in Microsoft Exchange-Servern. Die Gruppe nutzt diese Schwachstellen, um initialen Zugang zu Unternehmensnetzwerken zu erlangen. Von dort aus erfolgt die systematische Kompromittierung des Active Directory, Credential Harvesting und schließlich die Verschlüsselung.
Angriff auf öffentliche Einrichtungen
Play hat sich einen Namen durch Angriffe auf Kommunen und öffentliche Einrichtungen gemacht. Der Angriff auf die Stadt Antwerpen im Dezember 2022 legte kritische städtische Dienste für Wochen lahm. Im DACH-Raum waren mehrere Stadtverwaltungen, Landkreise und kommunale IT-Dienstleister betroffen.
Verschlüsselungstechnik
Play nutzt eine intermittierende Verschlüsselung — nur Teile jeder Datei werden verschlüsselt, was den Prozess erheblich beschleunigt. Die verschlüsselten Dateien erhalten die Endung .play. Die Gruppe praktiziert Double Extortion und betreibt eine Leak-Site, auf der gestohlene Daten veröffentlicht werden.
Taktiken von Play
- ✗ProxyNotShell-Exploits für Microsoft Exchange
- ✗Intermittierende Verschlüsselung für Geschwindigkeit
- ✗Fokus auf öffentliche Einrichtungen und Kommunen
- ✗Active Directory-Kompromittierung
- ✗Double Extortion mit eigener Leak-Site
- ✗Nutzung von Cobalt Strike und SystemBC
Unser Vorgehen bei Play
- Exchange-Server-Forensik und Schwachstellenanalyse
- Analyse der Active Directory-Kompromittierung
- Prüfung auf intermittierende Verschlüsselung (partielle Recovery möglich)
- Koordination mit Kommunal-IT und Behörden
- Exchange-Härtung und Patch-Management
- Aufbau einer gehärteten Wiederherstellungsumgebung
Von Play betroffen?
Unser Team hat umfangreiche Erfahrung mit Play-Angriffen. Wir reagieren innerhalb von 30 Minuten — rund um die Uhr.