Wenn der Hacker die Tür verliert, baut er sich eine neue
Forscher von Cato Networks dokumentieren einen Fall, in dem ein französischsprachiger Angreifer ein kleines Unternehmen aus der Automobilbranche kompromittiert. Nach dem Initial Access werden Keylogger ausgerollt, Mail-, Banking- und Domain-Anmeldedaten abgegriffen.
Kurz bevor sein Havoc-C2 offline geht, installiert der Angreifer OpenSSH und Tailscale als zweite Persistenzschiene. 18 Tage später wachen die Systeme über das Tailnet wieder auf – der Zugriff lebt weiter. Insgesamt 339 Befehle in 33 Tagen – komplett aus Sicht des Angreifers nachvollziehbar.
Zeitachse des Angriffs
Vom ersten Einbruch über die stille Persistenz bis zum Reconnect nach 18 Tagen Funkstille.
Kompromittierung, Keylogger ausgerollt, Mail/Banking/Domain-Creds abgegriffen.
Kurz vor Abschaltung installiert der Angreifer OpenSSH + Tailscale auf den Opfersystemen.
Klassische C2-Erkennung greift – Verbindung zum Command-Server bricht ab.
Nach 18 Tagen Stille wachen die Opfersysteme über das Tailscale-Mesh wieder auf – Angreifer ist drin.
Wie der Angriff abläuft
Vier Phasen vom Initial Access bis zum Reconnect – ohne klassische Malware-Signatur.
Einbruch ins Netzwerk eines französischen Automobilzulieferers.
Mail-, Banking- und Domain-Anmeldedaten werden mitgeschnitten.
Legitime Tools werden zur unsichtbaren Backdoor – WireGuard-Mesh statt C2-Beacon.
C2 ist tot – das Tailscale-Mesh verbindet die Opfer trotzdem zurück zum Angreifer.
Das unsichtbare Tailnet
Tailscale baut ein verschlüsseltes WireGuard-Mesh quer durch Firewalls – ohne klassische C2-Signatur. Jeder kompromittierte Host wird zum eigenen Node.
Warum dieser Angriff besonders gefährlich ist
Living-off-the-Land mit Admin-Tools – die zweite Schiene fällt durch alle klassischen Raster.
Tailscale und SSH sind Standard-Tools für Fernwartung – Security-Stacks alarmieren nicht.
WireGuard-Tunnel sind opak für klassische DPI- und IDS-Regeln.
Tailscale-Coordination läuft über *.tailscale.com – kaum eine Firewall blockt das.
Mesh-VPN-Traffic hat keine typische C2-Signatur, also keine Anomalie-Detection.
Jeder kompromittierte Endpunkt ist ein eigener, dauerhafter Tailnet-Node.
Sinkholing oder Domain-Block des Havoc-C2 hatte null Effekt auf die zweite Schiene.
Aus Sicht des Angreifers nachvollziehbar
Der Täter hinterließ SSH-Schlüssel und eine ausführliche Schritt-für-Schritt-Anleitung in einem öffentlich erreichbaren Speicherbereich. Forscher konnten dadurch 339 ausgeführte Befehle über 33 Tage hinweg rekonstruieren – ungewöhnlich tiefer Einblick in moderne Persistenz-Workflows.
IoCs – was Incident Response jetzt prüfen muss
Wer nur den C2 blockt, sieht die zweite Schiene nicht. Diese Checks gehören in jede Post-Incident-Forensik.
Häufige Fragen
Antworten zu Tailscale-Missbrauch, Incident Response und dauerhafter Härtung.
Verdacht auf Persistenz im Netzwerk?
Wasacon übernimmt Incident Response, Tool-Inventarisierung und Persistenz-Forensik – inklusive Tailscale-, SSH- und Remote-Management-Hunt. EDR/XDR mit Allow-Listing erlaubter Admin-Tools, 24/7-Monitoring, Outbound-Anomaly-Detection.
Fazit
Der aktuelle Fall zeigt, wie professionell selbst vergleichsweise unerfahrene Angreifer mittlerweile vorgehen. Statt sich allein auf klassische Malware zu verlassen, kombinieren sie legitime Admin-Werkzeuge mit bewährten Angriffstechniken und schaffen so persistente Zugänge, die selbst nach dem Abschalten eines C2-Servers bestehen bleiben. Für Unternehmen bedeutet das: Nicht jede Hintertür ist Malware. Nach einem Vorfall muss zusätzlich geprüft werden, welche legitimen Tools – Tailscale, OpenSSH, RMM-Software, Cloud-Tunnel – möglicherweise frisch installiert wurden. Wenn der Hacker die Tür verliert, baut er sich einfach eine neue – und manchmal sieht diese aus wie ganz normale Administrationssoftware.
