Vad har hänt?
Tyska federala myndigheten för säkerhet inom informationsteknik (BSI) har via Mastodon bekräftat att attackkampanjen "TerminalFix" var inkörsporten för cyberattacken mot Berlins senatsförvaltningar. Drabbade var senatsförvaltningarna för stadsutveckling, byggande och boende samt för mobilitet, trafik, miljö och klimatskydd. Attacken blev känd i mitten av augusti 2026 och ledde till ett massivt dataläckage med delvis kritisk information. Enligt rapporter från Spiegel ligger det välkända ransomware-gänget Rhysida bakom attacken.
Detaljerna
Händelseförloppet visar krisens omfattning: Redan mellan 7 och 12 augusti 2026 exfiltrerade angriparna data, men själva attacken inleddes betydligt tidigare. Den 14 augusti isolerades de drabbade senatsförvaltningarna från landets nätverk, tre dagar senare informerade senatskansliet offentligt om en "IKT-incident i Berlins landsnätverk" och inrättade en krisstab. BKA och LKA (den federala respektive delstatliga polisens utredningsenheter) inledde utredningar.
Följderna märktes även för medborgarna: Den 21 augusti uppstod problem med transfereringar, bland annat kunde bostadsbidrag inte betalas ut till 50 000 berättigade hushåll i Berlin. Först den 24 augusti var alla delar av senatsförvaltningen åter uppkopplade. Den 28 augusti bekräftades att angriparna hade kommit över data och ställt ett lösenkrav – regerande borgmästaren Kai Wegner förklarade att delstaten Berlin inte skulle låta sig utpressas. På Rhysidas darknet-sida dök ett krav på 30 bitcoin upp, motsvarande cirka 2 miljoner euro, tillsammans med påstådda dataextrakt inklusive lösenordslistor i klartext, domstolsdokument och över 46 500 avtal från delstaten.
Den 4 september publicerade slutligen de kriminella cirka 1,44 miljoner filer på darknet, däribland personaldokument, uppgifter om disciplinärenden, finansiella dokument samt detaljer om Berlins kritiska infrastruktur. BSI varnade därefter den 5 september för ett "förhöjt hotläge" för samhället.
TerminalFix – teknisk genomgång
Enligt Microsoft är TerminalFix en variant av den redan i februari 2026 kända skadlig kod-kampanjen "ClickFix". Användare lurades att öppna Windows-terminalen – men till skillnad från ClickFix, som använder tangentkombinationen [Windows]+[R], utnyttjar TerminalFix vägen via [Windows]+[X] och därefter [I] för direkt åtkomst till PowerShell.
Via PowerShell körs ett skadligt kommando som användaren själv måste klistra in från urklipp. Det hamnar där genom att en manipulerad webbsida via JavaScript automatiskt kopierat det. Dessa sidor simulerar en förfalskad Cloudflare-captcha – en form av social ingenjörskonst som utnyttjar att riktiga captchas från Cloudflare ändå kräver olika typer av användarinteraktion, vilket gör att ovanliga tangenttryckningar inte väcker omedelbar misstanke.
Det körda kommandot laddar i bakgrunden ner den första skadliga koden via ett skript, medan den manipulerade webbsidan avleder användarens uppmärksamhet med den falska captchan. Bland annat missbrukas den signerade, i grunden legitima Windows-filen "LockScreenContentServer.exe" för att via sideloading installera filen "dui70.dll". Denna laddar i sin tur ner PNG-bildfiler där ytterligare skadlig kod döljs genom steganografi.
Skadlig koden förankrar sig därefter permanent via registernycklar, kontrollerar sin egen status varje timme och väntar på nya kommandon från angriparna. Dessutom upprättas en SOCKS-proxy som ger angriparna en tunnel in i den drabbade organisationens nätverk. Filer och mappar döljs i Utforskaren i Windows för att försvåra upptäckt.
Analys
Särskilt allvarligt: hos Berlins myndigheter förvarades lösenord uppenbarligen i klartext, vilket enligt rapporten gav Rhysida ett relativt enkelt spel. Hur angriparna till slut fick åtkomst till i princip all data hos båda senatsförvaltningarna är fortfarande oklart.
Offentliga förvaltningar räknas som särskilt sårbara mål, eftersom namn, e-postadresser och personalstrukturer ofta delvis är offentligt tillgängliga – en idealisk grogrund för social ingenjörskonst. Sådana attacker kallas också "water-holing", eftersom de manipulerade webbsidorna placeras där offren regelbundet befinner sig, exempelvis via nätfiskemejl, länkar på sociala medier eller foruminlägg. Även om ett försök bara lyckas efter många omgångar lönar sig ansträngningen med tanke på lösenkravet på cirka 2 miljoner euro.
BSI hänvisar dessutom till en inte närmare namngiven extern leverantör, enligt vilken Rhysida i 92 procent av fallen där publicering hotas också faktiskt genomför hotet. Gruppen koncentrerar sig främst på hälso- och utbildningssektorn, men offentliga förvaltningar räknas också bland de fem oftast nämnda måltyperna.
Varning för följdskador
CCC-talespersonen Joachim Selzer varnade redan den 30 augusti för möjlig identitetsstöld och fortsatta bedrägeriförsök. Medborgare vars personuppgifter kan finnas med i det publicerade datasetet riskerar dessutom lätt att bli offer för utpressningsförsök.
Praktiska tips
- Anställda bör utbildas i att kritiskt ifrågasätta misstänkta uppmaningar att använda terminal, PowerShell eller Kör-dialogen – särskilt när dessa dyker upp i samband med en captcha eller verifiering.
- Lösenord får under inga omständigheter lagras i klartext; användning av lösenordshanterare med kryptering är obligatoriskt.
- Regelbunden kontroll av registerposter och ovanlig nätverkstrafik (till exempel SOCKS-proxyanslutningar) kan hjälpa till att upptäcka beständig skadlig kod i ett tidigt skede.
- Eftersom signerade, legitima Windows-filer kan missbrukas för sideloading är det lämpligt med lösningar för endpoint-detection som också övervakar beteendet hos signerad programvara.
- Myndigheter och organisationer bör, precis som skedde i Berlins fall, konsekvent isolera sina system i en krissituation och kommunicera transparent både internt och externt.
Framåtblick
Delstaten Berlin har numera inrättat en "styrenhet" genom vilken de som drabbats av läckan ska kontaktas via e-post och brev. Samtidigt pågår enligt senatsförvaltningen en granskning av samtliga cirka 12 000 system i delstaten "dygnet runt". Exakt hur angriparna lyckades få åtkomst till i princip all data hos båda förvaltningarna är fortfarande föremål för BKA:s och LKA:s utredningar. Att klarlägga denna punkt kommer sannolikt att vara avgörande för hur liknande attacker mot andra myndigheter kan förhindras i framtiden. Med tanke på det "förhöjda hotläge" som BSI utropat är det rimligt att anta att fler detaljer om incidenten och om Rhysidas aktiviteter kommer att följa.
