[datensicherheit.de, 27.03.2025] Der IT-Sicherheitshersteller ESET veröffentlicht heute eine umfassende Analyse zur aktuellen Ransomware-Landschaft. Im Zentrum steht die Gruppe RansomHub, die sich innerhalb kürzester Zeit zur dominierenden Kraft unter den sogenannten Ransomware-as-a-Service (RaaS)-Anbietern entwickelt hat. RansomHub trat anscheinend in Erscheinung, nachdem internationale Strafverfolgungsmaßnahmen die Aktivitäten der früheren „Marktführer“ LockBit und BlackCat weitgehend zum Erliegen brachten.

Die Forschungsergebnisse wurden auf der diesjährigen ESET World präsentiert.

„2024 markierte gleich zwei Wendepunkte – der Niedergang der beiden größten Ransomware-Gruppen und ein Rückgang der Lösegeldzahlungen um rund 35 Prozent“, so ESET Forscher Jakub Souček, der die Untersuchungen leitet. „Gleichzeitig stieg jedoch die Zahl öffentlich gemeldeter Opfer um 15 Prozent. Ein Großteil davon geht auf das Konto von RansomHub.“

Schematischer Überblick über die Verbindungen zwischen Medusa, RansomHub, BianLian und Play , Bild: ESET

EDR-Killer: Maßgeschneidertes Tool gegen Sicherheitssoftware im Einsatz

Eine zentrale Rolle spielt ein gefährliches, besonders perfides Tool: EDRKillShifter. Dabei handelt es sich um einen sogenannter EDR-Killer (Endpoint-Detection-&-Response), der gezielt Sicherheitslösungen auf kompromittierten Rechnern ausschaltet. Hierzu missbraucht die Schadsoftware einen fehlerhaften Treiber im System des Zielgeräts. Unternehmen, die ESET Lösungen nutzen, sind vor solchen EDR-Killern sicher.

EDRKillShifter – Werkzeug wurdevon RansomHub selbst entwickelt

Entwickelt wurde das Werkzeug von RansomHub selbst, was eine Seltenheit im Bereich der RaaS-Angebote ist. Es wird den Partnern der Gruppe bereitgestellt, um Sicherheitsmaßnahmen gezielt auszuhebeln. Laut ESET findet der EDRKillShifter mittlerweile auch in Angriffen anderer Ransomware-Gruppen wie Play, Medusa und BianLian Verwendung.

Die Verbindung zwischen diesen Gruppen ist ein brisanter Befund. „Es ist bekannt, dass einige Affiliates – also Partner, die im Auftrag der Betreiber arbeiten – gleichzeitig für mehrere Gangs aktiv sind. Dass sie intern entwickelte Tools gruppenübergreifend einsetzen, zeigt: Selbst in der Welt der Ransomware gibt es keine vollständige Abschottung“, so Souček weiter.

Ransomware als Geschäft – mit ungewöhnlichen Geschäftsmodellen

Wie jede aufstrebende RaaS-Gruppe mussten auch in diesem Fall Partnerangeworben werden, die die Dienste der Gruppe anmieten. Die Gruppe rekrutierte seine ersten Partner Anfang 2024 über das russischsprachige RAMP-Forum, nur acht Tage bevor die ersten Opfer gemeldet wurden. Auffällig: Partner dürfen die gesamte Lösegeldsumme behalten – lediglich eine freiwillige Beteiligung von zehn Prozent wird an die Entwickler erwartet. Ein Vertrauensmodell, das in der Cybercrime-Szene als ungewöhnlich gilt.

Ungewöhnlich ist zudem, dass einzelne Akteure von RansomHub gleichzeitig für drei rivalisierende Banden arbeiten: Play, Medusa und BianLian. Eine plausible Erklärung hierfür ist, dass vertrauenswürdige Mitglieder von Play und BianLian nebenbei mit anderen Gruppen wie RansomHub zusammenarbeiten und dabei Werkzeuge, die sie dort erhalten, auch für ihre eigenen Angriffe verwenden.

Angriffe auf Ziele in Russland, Nordkorea, China und Kuba sind bei RansomHub untersagt – ein Muster, das auf politische Rücksichten oder geografische Ursprünge hinweist. ESET sieht in RansomHub keinen bloßen Nachfolger von LockBit, sondern einen neuen Schlüsselakteur, der das Machtgefüge im Ransomware-Markt neu ordnet – mit eigener Toolentwicklung, aggressiver Partnerpolitik und zunehmender Sichtbarkeit.

Weitere Informationen zum Thema:

welivesecurity by ESET
RansomHubs EDRKillShifter: Ein Werkzeug geht auf Reisen

Von unserer Gastautorin Camellia Chan, CEO und Gründerin von X-PHY, einer Marke von Flexxon

[datensicherheit.de, 14.10.2022] Der jüngst verzeichnete Anstieg bei der Nutzung des Ransomware-as-a-Service (RaaS)-Angebots von BlackCat löst zunehmend Besorgnis aus. Forscher von Microsoft haben in einem Fachartikel die ausgefeilten Möglichkeiten der Software bereits ausführlich dargelegt. Daraus ergibt sich ein erhebliches Risiko für Unternehmen, weil es zu immer komplexeren Angriffen kommt, die vor allem Organisationen ohne robuste Cybersicherheitsstrategie gefährden. Im Folgenden werden Gründe für die Zunahme der Risiken eines Angriffes, die Vorgehensweise der Ransomware-Emtwickler und Gegenmaßnahmen diskutiert.

Gründe für den drastischen Anstieg des RaaS-Risikos

Einer der Hauptgründe für die immer häufigeren Angriffe mit RaaS-Tools wie BlackCat ist deren Vielseitigkeit in Bezug auf die Angriffsmethoden. Wo früher vor allem Remote-Desktop-Anwendungen und gestohlene Anmeldedaten genutzt wurden, geraten laut Microsoft jetzt verstärkt Schwachstellen bei Exchange-Servern ins Fadenkreuz. Die BlackCat-Variante ist wegen ihrer Verwendung der unkonventionellen Programmiersprache Rust und der zahlreichen unterstützten Angriffsvektoren ein bedeutendes Beispiel.

Camellia Chan, CEO und Gründerin von X-PHY, Bild: Flexxon

Je nach Angreifer können RaaS-Attacken zudem deutliche Unterschiede aufweisen, was ihre Erkennung und Abwehr für das anvisierte Unternehmen zusätzlich erschwert. Die Tatsache, dass jede BlackCat-Bereitstellung anders ist, lässt erkennen, wie viele unterschiedliche Strategien und Verfahren bei der Entwicklung zum Einsatz kommen. Darüber hinaus werden RaaS-Varianten allgemein ständig weiterentwickelt und in ihrer Effizienz optimiert, weshalb sie sich immer besser verkaufen.

Vorgehensweise der Ransomware-Entwickler

An der Entwicklung von Ransomware und der Verbreitung von RaaS-Angriffen sind verschiedene Interessengruppen beteiligt. RaaS-Betreiber arbeiten an der Entwicklung der erforderlichen Tools, während sogenannte „Access Broker“ sich auf das Eindringen in die Netzwerke der Opfer konzentrieren. Dem RaaS-Kunden selbst obliegt das Abgreifen der zu verschlüsselnden Daten und die eigentliche Bereitstellung der Ransomware.

Der Schadcode wird in der Regel gegen eine feste Gebühr oder gegen einen Anteil am erzielten Lösegeld über Schwarzmärkte, wie etwa das Dark Web, angeboten. Bei Angriffen wird das Opfer häufig auf eine Website gelenkt, auf der die Ransomware gehostet ist, oder der Schadcode wird in einem Anhang gesendet, um den Zielrechner zu infizieren. Bei der Koordination der Angriffe und den Verhandlungen mit den Opfern spielen die Entwickler häufig eine wichtige Rolle, sodass seitens der Kunden kaum entsprechendes Know-how und auch keine Erfahrung mit Cyberangriffen erforderlich ist.

Eingesetzte Strategien

Ein prominentes Beispiel dafür, wie folgenschwer und gut durchdacht RaaS-Strategien sein können, ist die Ransomware-Variante Cerber aus dem Jahr 2021. Ihre Entwickler lizenzierten die Ransomware gegen einen Anteil des Erlöses aus Angriffen an andere Cyberkriminelle, was sich als lukratives Geschäftsmodell erwies. Dieses Beispiel wird häufig als der bisher größte RaaS-Ring bezeichnet, der zu Spitzenzeiten für acht neue Angriffe pro Tag verantwortlich war.

In einigen Fällen sind RaaS-Kits mit Support rund um die Uhr erhältlich oder auch als Bestandteil von Paketangeboten. Nicht selten gibt es Rezensionen und Benutzerforen, ähnlich wie dies bei seriösen SaaS-Anbietern der Fall ist. Auch die Umsatzmodelle unterscheiden sich: Möglich sind monatliche Abonnements, Einmalzahlungen, Partnerprogramme und Gewinnbeteiligungen. Preise können von 40 € bis zu mehreren tausend Euro variieren.

Dies belegt einmal mehr, wie sehr sich dieser Markt industrialisiert hat und in manchen Punkten schon als „Gig Economy“ gelten kann. Für potenzielle Opfer bedeutet dies, dass immer ausgefeiltere Attacken von mehr Angreifern als je zuvor zu erwarten sind – und sie dringend Maßnahmen zum Schutz vor dieser wachsenden Bedrohung ergreifen müssen.

Die Lösung: Zero Trust und künstliche Intelligenz

Angesichts der zunehmenden Anzahl, Professionalität und Komplexität von RaaS-Angriffen müssen heute mehr Unternehmen denn je davon ausgehen, dass böswillige Akteure schon längst in ihre Netzwerke eingedrungen sind. Deshalb ist ein Zero-Trust-Framework für eine robuste Sicherheit unverzichtbar, wobei sowohl interne wie auch externe Benutzer und Aktivitäten kontinuierlich authentifiziert und validiert werden müssen. Die Einstufung sämtlicher Benutzer, Geräte, Anwendungen, Datenflüsse und Workloads als zunächst nicht vertrauenswürdig ist eine effektive Maßnahme zum Schutz vor Datenschutzverletzungen, und zwar unabhängig vom verwendeten Angriffsvektor.

Dieser Ansatz kann mithilfe von Künstlicher Intelligenz (KI) noch untermauert werden. Dabei lernen IT-Systeme selbstständig, bekannte und unbekannte Bedrohungen schnell zu identifizieren und abzuwehren. KI trägt zudem durch die Automatisierung der Überprüfung sämtlicher Benutzer und Aktivitäten dazu bei, die Reaktionen auf Bedrohungsszenarien zu beschleunigen. Dadurch wird nicht nur das Risiko durch menschliches Versagen und böswillige interne Manipulationen deutlich verringert, sondern Firmen werden auch in die Lage versetzt, den enormen Datenverkehr in ihrem Netzwerk zu analysieren und zu validieren. Durch die Kombination von Zero Trust und KI in einer einzigen Lösung kann ein Unternehmen über sämtliche Kontaktpunkte hinweg in Echtzeit Abweichungen erkennen und Datenzugriffsmuster überprüfen. So entsteht ein wirksames Verteidigungssystem, das von menschlichen Eingriffen unabhängig ist – und letztendlich auch gegen RaaS-Angriffe hilft.

Weitere Informationen zum Thema:

datensicherheit.de, 10.08.2022
Ransomware-as-a-Service missbraucht Windows Defender

Von unserem Gastautor Christoph M. Kumpa, Director DACH & EE bei Digital Guardian

[datensicherheit.de, 02.06.2020] Durch die enorme Professionalisierung der Vertriebswege wie Ransomware-as-a-Service (RaaS), benötigen Angreifer nicht mehr zwingend tiefgreifende technische Fähigkeiten, sondern vielmehr unternehmerisches Talent, um hohe Summen von ihren Opfern zu erpressen. Die Entwickler des GandCrab-RaaS rühmten sich, 2,5 Millionen US-Dollar pro Woche einzunehmen. Aktuelle Angriffe mit dem polymorphen Emotet-Virus, der den TrickBot-Trojaner einführt, daraufhin Daten stiehlt und die Ryuk-Ransomware herunterlädt, können ebenso effektiv wie profitabel sein.

Christoph M. Kumpa, Director DACH & EE bei Digital Guardian. Bild: Digital Guardian

Neues Druckmittel: Victim-Outing von Unternehmen, die kein Lösegeld bezahlen

Darüber hinaus greifen Cyberkriminelle zu neuen Mitteln, um den Druck auf ihre Opfer weiter zu erhöhen. Die Angreifer hinter der Ransomware-Variante Maze haben begonnen, öffentlich bekanntzumachen, wenn Unternehmen sich weigern, Lösegeld zu zahlen. Auf einer Website gaben die Kriminellen kürzlich Namen, Websites und sogar gestohlene Daten von Opferfirmen weiter.

Weitere Akteure, die die Ransomware-Wirtschaft antreiben

Ransomware bleibt nicht nur eine ernsthafte Bedrohung, weil sie für Cyberkriminelle eine effektive Einnahmequelle ist. Das florierende Geschäft der Daten-Geiselnahme wird auch durch weitere Akteure zusätzlich angefacht:

Versicherungsanbieter: Teilweise Ermutigung zur Zahlung von Lösegeldern

Traditionell ermöglichen Anbieter, die auf Cyber-Versicherungen spezialisiert sind, eine Deckung für Verluste, die durch eine Ransomware-Infektion entstehen. Wie die Non-Profit-Nachrichtenseite ProPublica vor kurzem herausfand, haben einige Versicherer dazu ermutigt, Lösegelder zu zahlen, wenn es wahrscheinlich ist, dass die Kosten durch eine schnelle Wiederherstellung des Geschäftsbetriebs minimiert werden können. Dies ermöglicht es den betroffenen Unternehmen zwar, schneller einen Decryption-Key zu erhalten, doch durch Lösegeldzahlungen an die Erpresser wird das Problem nur noch weiter verschärft.

Ransomware-Broker zur Abwicklung der Lösegeldzahlungen

Nicht jede Organisation, die von Ransomware betroffen ist, ist mit den treuhänderischen Forderungen der Angreifer vertraut; dazu gehört auch, wie Krypto-Währungen wie Bitcoin funktionieren. Hierfür gibt es mittlerweile Vermittlerservices, die von Unternehmen oder deren Rechtsberatung beauftragt werden können, um eine Reduzierung der geforderten Summe auszuhandeln oder den Prozess der Lösegeldzahlung abzuwickeln. Zu diesen Dienstleistern zählt etwa die Firma Coveware, die sich selbst als „Ransomware Recovery First Responder“ bezeichnet und Unternehmen bei der Erleichterung von Zahlungen, aber auch bei der Erhebung und Weitergabe von Daten hilft, die sie mit Strafverfolgungsbehörden und Sicherheitsforschern austauscht. Eine Handvoll anderer Firmen wie Gemini Advisory und Cytelligence sind in letzter Zeit ebenfalls entstanden.

Solange Cyberkriminelle, Vermittlerfirmen und Versicherer weiterhin Gewinne erzielen, wird Ransomware ein Problem bleiben – eine Win-Win-Situation für alle, außer für die Opfer. Laut eines Berichts von Coveware steht viel Geld auf dem Spiel: Die durchschnittliche Lösegeldzahlung sei allein vom ersten bis zum zweiten Quartal 2019 um 184 Prozent von 12.762 auf 36.295 US-Dollar gestiegen.

Grundlegende Best Practices gegen Ransomware

Die Einhaltung grundlegender Best Practices bleiben der Schlüssel zur Minimierung von Schäden durch Ransomware. Zu den wichtigsten Sicherheitspraktiken zählen:

1. Aufklärung: Eine effektive Ransomware-Abwehr fußt maßgeblich auf der umfangreichen Mitarbeiterschulung. Zu den häufigen Infektions- oder Angriffsvektoren gehören:
   • E-Mail-Anhänge: Eine der gängigsten Methoden zur Verbreitung von Ransomware ist die Versendung bösartiger E-Mail-Anhänge durch Phishing-Attacken, beispielsweise als gefälschte Rechnungen oder Bewerbungsunterlagen.
   • Social Media: Ein weiteres Mittel der Täuschung ist ein Angriff über Social Media. Einer der bekanntesten Kanäle ist der Facebook Messenger: Kriminelle erstellen Konten, die die aktuellen Kontakte eines Benutzers nachahmen und Nachrichten mit bösartigen Dateien oder Links versenden.
   • Online-Popups: Ein älterer, gängiger Angriffsvektor sind Online-Popups, die häufig verwendete Software nachahmen und Nutzer dazu bringen wollen, auf das gefälschte Fenster zu klicken, um die Malware herunterzuladen.
   • Gefälschte Apps: Im Bereich der mobilen Ransomware zählen gefälschte Apps zu den häufigsten Infektionsvektoren. Apps sollten daher nur von vertrauenswürdigen Quellen bezogen werden.
2. Häufige und getestete Backups: Die Sicherung aller wichtigen Dateien und Systeme ist eine der stärksten Abwehrmaßnahmen gegen Ransomware. Backups sollten regelmäßig getestet werden, um sicherzustellen, dass die Daten vollständig und nicht beschädigt sind.
3. Strukturierte, regelmäßige Updates: Die meiste Software, die Unternehmen verwenden, aktualisiert der Softwarehersteller regelmäßig. Diese Updates können Patches beinhalten, um die Software vor bekannten Bedrohungen zu schützen. Jedes Unternehmen sollte einen Verantwortlichen benennen, der die Software aktualisiert.
4. Korrekte Verfolgung von Berechtigungen: Jeder Mitarbeiter, der Zugang zu Systemen erhält, schafft eine potenzielle Schwachstelle für Ransomware. Fehlende Aktualisierung von Passwörtern und unzulässige Nutzerberechtigungen können zu noch höheren Angriffswahrscheinlichkeiten führen.
5. Weitere Security-Technologien und -Services: Darüber hinaus können zusätzliche Security-as-a-Service-Dienste wie etwa Managed Detection and Response (MDR) Unternehmen durch externe Sicherheitsexperten dabei unterstützen, Bedrohungen zu jagen, zu erkennen und in Echtzeit auf Angriffe zu reagieren, um Ransomware-Angriffe und andere Advanced Threats zu stoppen, bevor sensible Unternehmensdaten gefährdet werden.

Prävention bleibt die beste Verteidigung. Mit einem mehrschichtigen Sicherheitsansatz aus Mitarbeiteraufklärung, kontinuierlichen Update- und Backup-Praktiken sowie Sicherheitstechnologien lässt sich das Risiko eines Ransomware-Angriffs deutlich verringern.

Weitere Informationen zum Thema:

Digital Guardian
Enterprise IP & DLP Software

datensicherheit.de, 14.05.2020
Gesundheitswesen: Globaler Anstieg von Ransomware- und Cyberangriffen