Eine traditionelle Ransomware-Kampagne kann viele Endpunkte ins Visier nehmen und fokussiert sich darauf, die Daten vor Ort zu verschlüsseln. Das Betriebssystem des Rechners bleibt funktionsfähig, aber die Informationen sind nicht mehr zugänglich. Ein Angriff auf einen Hypervisor richtet sich dagegen gegen die zentrale IT-Administration: Gelangen Cyberkriminelle hier hinein, können sie alle zugehörigen virtuellen Maschinen (VM) beenden.

Der dafür eingesetzte Code läuft im privilegierten Kontext des Hosts und zielt direkt auf die betreuten VMs. Hacker verschlüsseln diese, sodass sie nicht mehr starten können, während der Hypervisor selbst weiterläuft. In der Folge sind Applikationen, Server und Dienste effektiv blockiert – Endnutzer oder externe Anwender bemerken paradoxerweise zunächst kaum etwas.

Verschiedene Ransomware-as-a-Service-Gruppen zielen auf Hypervisoren. Die Akteure von LockBit setzen Linux-basierte Verschlüsselungstools auf ESXi-Hosts ein. RansomHouse nutzt ein eigenes Werkzeug, um sämtliche verwalteten VMs zu verschlüsseln. Die Scattered-Spider-Gruppe kombiniert Social-Engineering-Angriffe über das Helpdesk, um Zugriff zu erhalten und Privilegien zu eskalieren.

Wichtig ist den angeschlossenen Gruppen dabei, möglichst lange unerkannt zu bleiben. So blendeten die Cyberkriminellen von RedCurl etwa die für das Routing zuständigen VMs aus: Die Netzwerkkonnektivität blieb funktionsfähig und die Mehrzahl der Mitarbeiter bemerkte keinerlei Unterbrechung.

Die Methoden für Angriffe auf Hypervisoren entwickeln sich kontinuierlich weiter. Künstliche Intelligenz spielt dabei bislang nur eine mittelbare Rolle. Wichtiger ist der Umstieg auf betriebssystemunabhängige Programmiersprachen wie Rust und Golang. Ein einziger, hierauf basierender Code kann sowohl Linux-basierte VMware-ESXi-Systeme als auch Windows- oder Linux-Server adressieren. Angriffe lassen sich dadurch mit minimalem Aufwand skalieren – KI unterstützt eher als Code-Assistent, statt völlig neue Malware-Varianten zu schaffen.

Angreifer nutzen außerdem verstärkt native Virtualisierungsfunktionen wie Hyper-V oder das Windows Subsystem for Linux (WSL) auf Endpunkten, um Command-and-Control-Verbindungen aufzubauen oder Linux-basierte Malware einzusetzen. Mit letzterer umgehen sie Sicherheitsprodukte, die primär auf typisches Windows-Verhalten abgestimmt sind und entsprechende Aktivitäten nicht erkennen.

Zusätzlich suchen Hacker verstärkt den Weg über die cloudbasierte Supply-Chain. Sie zielen dabei auf geteilte Virtualisierungskomponenten von Managed-Service-Providern, um mehrere nachgelagerte Kunden gleichzeitig zu treffen.

Auch auf der Virtualisierungsebene selbst kommt es zu innovativen Angriffstechniken. Proofs of Concept zeigen etwa, wie sich Code in eine laufende Hyper-V-VM injizieren lässt, als sei er Teil eines regulären Prozesses. Die Angreifer erlangen dabei Schritt für Schritt Kontrolle über die VM: durch Injektionen in den Virtual Machine Worker Process (vmwp.exe), in die Root-Partition und in den Kernel des Gastbetriebssystems. Zuletzt platzieren sie Shellcode im UserMode-Ablauf der VM.

Angriffe auf die virtuelle IT sind für Cyberkriminelle aus mehreren Gründen attraktiv. Zum einen erzeugen sie eher diskreten Handlungsbedarf statt großer Aufmerksamkeit: Der gezielte Angriff auf die Kerninfrastruktur bei weitgehend intakt bleibenden Endnutzergeräten und Frontend-Prozessen bleibt zunächst unentdeckt. Dadurch reduziert sich der interne wie der öffentliche Druck auf das Opferunternehmen. Für Ransomware-Gruppen bedeutet das: weniger Aufmerksamkeit von Strafverfolgern und mehr Zeit, um im Hintergrund zu verhandeln. Die Betroffenen sehen darin häufig eine scheinbar praktikable Alternative zur sofortigen öffentlichen Meldung – verbunden mit einem auf den ersten Blick vertretbar erscheinenden Lösegeld.

Gleichzeitig steigt der Druck innerhalb des Unternehmens. Geschäftsbereiche und C-Level erwarten eine schnelle Wiederherstellung des Betriebs. Wie der Bitdefender Cybersecurity Assessment Report 2025 [1] zeigt, forderten in fast der Hälfte der Fälle (48,4 Prozent) Entscheider IT- und Sicherheitsteams dazu auf, Cybervorfälle zu verschweigen – selbst dann, wenn eine Meldepflicht wahrscheinlich war.

Ein weiterer Vorteil aus Sicht der Angreifer: Wer Lösegeld fordert, muss auch liefern. Gruppen, die Systeme nach Zahlung nicht zuverlässig entschlüsseln, verlieren ihren Ruf und langfristig Einnahmen. Bei Angriffen auf virtuelle Maschinen fällt es ihnen leichter, dieses Versprechen einzuhalten. Grund dafür ist das Vorgehen: Beim Angriff auf den Hypervisor werden zunächst alle aktiven VMs heruntergefahren. Dateien sind geschlossen, keine Prozesse greifen darauf zu – ein Dekryptor kann daher mit höherer Wahrscheinlichkeit erfolgreich arbeiten. Gerade Hacker, die später über verbliebene Backdoors erneut angreifen wollen, profitieren von einem positiven Leumund bei den Opfern.

Nicht zuletzt kommen Schwächen in der Abwehr den Cyberkriminellen entgegen. IT-Teams vernachlässigen auf der virtuellen Ebene teilweise grundlegende Schutzmechanismen. Fehlende Multifaktor-Authentifizierung (MFA) für administrative Hypervisor-Schnittstellen oder nicht gepatchte Schwachstellen eröffnen unnötige Angriffspfade. So nutzten die ESXiArgs-Akteure Lücken aus, für die seit Jahren Updates bereitstanden.

Hacker profitieren vom verbreiteten Glauben an die hohe Isolation virtueller Umgebungen und von der daraus entstehenden Nachlässigkeit. Viele Administratoren setzen voraus, dass der Hypervisor selbst ausreichend geschützt ist. Das ist jedoch ein Irrtum: Nach einer Kompromittierung auf Hostlevel können Angreifer Sicherheitskontrollen auf dem Hypervisor umgehen und erhalten direkten, unautorisierten Zugriff auf sämtliche Ressourcen und Daten der physikalischen Maschine.

Ein strukturelles Problem besteht darin, dass Hypervisoren laut Herstellerangaben EDR/XDR-Agenten der Sicherheitsanbieter nicht direkt auf dem Host unterstützen. Stattdessen wird empfohlen, solche Dienste innerhalb jeder VM auszuführen. Da diese VMs im Angriffsfall jedoch heruntergefahren werden, verlieren dort platzierte Agenten ihre Wirkung.

IT-Administratoren sollten grundsätzlich davon ausgehen, dass bösartige Akteure ins interne Netzwerk gelangen können, und ihre Abwehrstrategie entsprechend anpassen. Wer dennoch Agenten auf dem Host schützt, realisiert einen höheren und im Vergleich zum Schutz in jeder VM effizienteren Sicherheitsgewinn. Ergänzend gilt es, das Host-Betriebssystem zu härten: Unnötige Dienste wie OpenSLP deaktivieren, administrative Schnittstellen durch Firewallregeln begrenzen oder dedizierte Verwaltungsnetze einrichten.

Legitime Living-Off-the-Land-Tools bleiben auch auf Hypervisor-Ebene ein bevorzugtes Mittel, um Aktivitäten zu verschleiern. Nach einem erfolgreichen Zugriff werden Workflows der Angreifer zunehmend komplex. Diese müssen frühzeitig erkannt werden, idealerweise mit KI-basierten Analyseplattformen, die abweichende Muster identifizieren. Wichtig ist der Wechsel von einer rein reaktiven zu einer präventiven Sicherheitsstrategie. Zusätzliche menschliche Expertise – etwa durch ein internes SOC oder einen externen MDR-Anbieter – kann in solchen Szenarien entscheidend sein.

Darüber hinaus gelten für Hypervisoren dieselben Grundsätze einer soliden Sicherheitsadministration wie für andere Kernsysteme. Dazu zählt, Host und Administrationssoftware aktuell zu halten. Ein robustes Patchmanagement-Programm mit klarer Priorisierung für Hypervisor-bezogene Schwachstellen ist ebenso essenziell wie eine konsequent aktivierte Multifaktor-Authentifizierung für alle administrativen Zugriffe. Das Prinzip der geringsten Privilegien muss strikt umgesetzt werden: Kein Benutzer oder Dienst sollte mehr Rechte besitzen, als für die jeweilige Aufgabe erforderlich ist.

Angesichts stetig komplexer Angriffe lässt sich ein vollständiger Schutz jedoch nie garantieren. Eine funktionierende Wiederherstellungsstrategie bleibt daher ein zentraler Rettungsanker. Bewährt hat sich die 3-2-1-1-0-Backup-Regel: Drei Kopien der Daten auf zwei unterschiedlichen Medientypen, eine Kopie außerhalb des Standorts und eine unveränderliche beziehungsweise per Air-Gap getrennte Kopie, die nicht verschlüsselt oder gelöscht werden kann. Die Null steht für regelmäßig geprüfte Backups, um Wiederherstellungsfehler auszuschließen.

Schließlich benötigen Unternehmen Werkzeuge, um Angriffe auf Hypervisor-Ebene einzugrenzen. Dazu gehört unter anderem das physische Abtrennen kompromittierter Hosts, um eine weitere Ausbreitung der Malware zu verhindern.

Cyberkriminelle richten ihre Aktivitäten zunehmend auf Hypervisoren. Diese Angriffe sind effizienter, skalierbarer, leichter zurückzuspielen und oft deutlich diskreter als klassische Endpunktattacken. Dadurch gewinnen die Angreifer Zeit und Verhandlungsspielraum. IT-Verantwortliche stehen vor der Aufgabe, etablierte Sicherheitsmechanismen konsequenter auf die Virtualisierungsebene zu übertragen und Hypervisoren als kritische Infrastruktur zu behandeln.