Ingram Micro wurde gebreached (SafePay)

[DRAKO1337]

Hallo zusammen,


falls ihr es noch nicht mitbekommen habt: Seit Donnerstag, 03. Juli 2025, sind Ingram Micro und alle zugehörigen Dienste aufgrund eines mutmaßlichen Ransomware-Angriffs komplett offline.

Wir haben daraufhin aus Vorsicht sämtliche GDAP-Beziehungen im Microsoft Partner Center/Admin Center sowohl für uns selbst als auch für unsere Endkunden entfernt. Hintergrund ist, dass aktuell völlig unklar ist, wie tief die Angreifer in den Ingram-Systemen stecken.

Wie geht ihr mit der Situation um? Habt ihr zusätzliche Maßnahmen ergriffen?

Quelle: Link

 

[wern001]

Backup aller Daten und plan eines Desaster recovery.

Ein Backup das online ist, ist kein Backup. Ich mag LTO-Bänder

 

[DJMadMax]

Ein Backup das online ist, ist kein Backup.

Da fehlt ein Wort: Ein Backup, das "nur" online ist... dann lasse ich diese sehr pauschale Aussage gelten

Ich bin am Montag gespannt, da werde ich mal mit unserem IT-Dienstleister sprechen, der u.A. bei Ingram Micro bezieht.

 

[wern001]

@DJMadMax jo simmt das nur fehlt.
Wenn ich ein verschlüsselungstrojaner wäre würde ich jede NAS verschlüssen

 

[DRAKO1337]

Backup aller Daten und plan eines Desaster recovery.

Ein Backup das online ist, ist kein Backup. Ich mag LTO-Bänder

Wenn die Gerüchte stimmen aus der Reddit Bubble.

• 100% Onpremise...
• veralterate Appliances (Palo Alto) = Entry Point
• alle Backup und Disaster Recovery Server/Failover Server verschlüsselt.
• sind seit 8 Monaten in ihrer Infrastruktur drin

Mich wundert es nur, dass die keine "Shadow" Backup-Server in der Cloud hatten... nun stehen die seit Donnerstagabend und keiner weiß wie Tief die von SafePay drin sind..

 

[wern001]

erinnert mich irgendwie ein bisschen an den Heiße.de hack

 

[DRAKO1337]

Da fehlt ein Wort: Ein Backup, das "nur" online ist... dann lasse ich diese sehr pauschale Aussage gelten

Ich bin am Montag gespannt, da werde ich mal mit unserem IT-Dienstleister sprechen, der u.A. bei Ingram Micro bezieht.

Ich finde es wirklich sehr dreist, dass seit Freitag früh niemand abgehoben oder sich auf irgendeinem Weg weder per Telefon, E-Mail noch über LinkedIn gemeldet hat. Es hätte völlig ausgereicht, uns einfach kurz mitzuteilen, dass etwas vorgefallen ist und man aktuell daran arbeitet, eine Lösung zu finden. Ich weiß, dass solche Situationen schwierig sein können, aber ein kurzer Hinweis hätte wirklich niemandem geschadet.

 

[DJMadMax]

• 100% Onpremise...
• veralterate Appliances (Palo Alto) = Entry Point
• alle Backup und Disaster Recovery Server/Failover Server verschlüsselt.
• sind seit 8 Monaten in ihrer Infrastruktur drin

Wenn das stimmt: AUTSCH! ^^

Ich weiß, dass solche Situationen schwierig sein können, aber ein kurzer Hinweis hätte wirklich niemandem geschadet.

Insbesondere im Sinne aller Kundschaft: 100% agree!

 

[wern001]

Da bleibt einem nicht mehr viel übrig als neu zu installiern und alle datenbanken wiederherzustellen

 

[WeisheitsTroll]

Wiederherstellen, sofern es ein backup gibt welches nicht verschlüsselt ist...

 

[Atkatla]

@WeisheitsTroll Es geht nicht darum, ob ein Backup verschlüsselt ist, sondern ob der Zustand der Systeme in dem Backup unkompromittiert ist. Daher kann man nicht einfach die letzten Backups von VMs o.ä. einspielen. Meistens sind Angreifer aber schon eine längere Zeit im Netz des Angegriffenen unterewegs um sich nach und nach möglichst viele Rechte zu verschaffen, Daten abzuziehen und Backups zu sabotieren.

Du musst zuerst herausfinden, wie die Angreifer reingekommen sind. Und das weiss man eben anfangs nicht. Und dann muss man herausfinden, welche Systeme sie nach dem initialen Einbruch kompromittiert haben (laterale Bewegung). Oft werden wichtige Systeme neu aufgesetzt um wieder in die Gänge zu kommen, weil die Forensik meist relativ lange dauert. Oft finden sich schnell Spuren, aber du musst ja schließlich sicher sein, dass du alle Füße gefunden hast, die die Angreifer in der Tür haben.

 

[redjack1000]

Ich weiß, dass solche Situationen schwierig sein können, aber ein kurzer Hinweis hätte wirklich niemandem geschadet.

Dann komm mal in die Situation, ich bin ja mal gespannt wie Du reagieren wirst.

CU
redjack

 

[DRAKO1337]

@redjack1000 Dort, wo ich arbeite, beraten wir gerade solche Unternehmen.
Sich wegzuducken und zu schweigen, ist auch falsch.
Ehrlichkeit zählt,sonst folgen nur Frust und Anklagen.

CU
DRAKO1337

 

[redjack1000]

Dort, wo ich arbeite, beraten wir gerade solche Unternehmen.

Dann ist ja ein leichtes für Dich, die Frage zu beantworten:"Wie wirst Du reagieren?"

Cu
redjack